Portem aquest any auditant entorns IT d'empreses d'entre 30 i 300 empleats en sectors que van des de la logística fins als serveis professionals. L'stack varia —Azure, on-prem, híbrid, SaaS pur—, els sectors són diferents i els pressupostos d'IT també. Però hi ha tres problemes que apareixen en gairebé tots els entorns, independentment de tot.
Problema 1: credencials que ningú ha revisat en anys
En pràcticament tots els entorns trobem comptes d'usuari actives de persones que ja no treballen a l'empresa. De vegades són ex-empleats de fa dos anys; en un cas, vam trobar un compte d'administrador d'un proveïdor extern que havia acabat el contracte feia tres anys. No és descuit maliciós: és que no hi ha cap procés sistemàtic de revisió. Ningú té la responsabilitat explícita d'auditar el directori d'usuaris quan algú marxa.
Problema 2: còpies de seguretat que existeixen però mai s'han provat
La pregunta que genera més incomoditat en una auditoria no és 'teniu còpia de seguretat?' sinó 'quan va ser l'última vegada que vau restaurar alguna cosa des de la còpia de seguretat?'. La resposta habitual és silenci o 'això es pot provar?'. Una còpia de seguretat que no s'ha provat no és una còpia de seguretat: és un arxiu que potser funcionarà el dia que més ho necessitis, o potser no.
Problema 3: accessos de tercers sense data de caducitat
Proveïdors de software, consultores externes, empreses de manteniment IT anteriors: tots deixen accessos. La majoria d'aquests accessos mai es revoquen formalment. En l'última auditoria que vam fer vam trobar 14 accessos VPN actius de proveïdors, dels quals 9 corresponien a relacions comercials ja acabades.
- Revisa el llistat complet d'usuaris al teu directori actiu o IdP com a mínim trimestralment
- Assigna una persona responsable d'executar les baixes d'accés en el moment que acaba una relació laboral o comercial
- Estableix dates de caducitat automàtiques per a accessos de tercers des del moment de la creació
- Prova la restauració des de còpia de seguretat com a mínim un cop per trimestre amb un procés documentat
- Mantén un registre de qui té accés a què, actualitzat i accessible per a auditoria
Per què es repeteix en empreses tan diferents
Aquests tres problemes no són errors tècnics. Són conseqüències de gestionar la seguretat de forma reactiva en lloc de com un procés continu. Quan no hi ha un calendari de revisions, no hi ha propietari clar de cada control i no hi ha ningú que mesuri si els controls funcionen, els problemes s'acumulen de forma silenciosa fins que alguna cosa falla.
empreses que auditem tenen almenys un accés de proveïdor actiu que hauria d'estar tancat
La bona notícia és que aquests tres problemes es poden corregir sense inversió extraordinària. Només requereixen procés i assignació de responsabilitat. La mala notícia és que sense un impuls extern, rarament s'aborden de forma proactiva.
Si vols saber què trobaríem al teu entorn, fem un diagnòstic inicial sense compromís.
Sol·licitar una auditoria