CYBSicurezza informatica

Fornitori e tecnici esterni nei sistemi aziendali: la porta che nessuno controlla

Assistenza da remoto, utenze condivise, programmi installati anni fa e mai tolti: gli accessi dei fornitori sono una delle vie d’ingresso più sfruttate. Come si censiscono, si limitano, si registrano e si chiudono.

Redazione Strategic 12 ottobre 2026 8 min di lettura

Copertina: «Accessi dei fornitori: la porta che nessuno controlla», Sicurezza informatica

Gli accessi di fornitori e tecnici esterni ai sistemi aziendali sono una delle porte più sfruttate negli attacchi, perché nessuno ne ha la responsabilità intera: l’IT li concede, gli acquisti firmano il contratto, il fornitore li usa e nessuno li chiude. Si mettono sotto controllo con quattro regole: censirli tutti, limitarli a persone, sistemi e momenti precisi, registrare ciò che accade, chiuderli quando il lavoro finisce. Nel Data Breach Investigations Report 2026 di Verizon le violazioni con il coinvolgimento di una terza parte sono il 48% del totale, in aumento del 60% rispetto all’anno precedente.

Qui la questione è vista da chi apre la porta; il caso opposto, il fornitore che risponde ai questionari dei clienti, è trattato nell’approfondimento su NIS2 e fornitori.

Perché proprio gli accessi esterni?

Per tre ragioni che si sommano.

La responsabilità è divisa. Chi ha chiesto l’intervento pensa che la sicurezza sia compito dell’IT; l’IT considera l’accesso una clausola del contratto; il contratto spesso non ne parla.

Gli accessi si accumulano. Il tecnico del gestionale, il manutentore delle macchine, l’assistenza della centrale telefonica, chi ha installato la videosorveglianza: ognuno, negli anni, ha avuto un modo per entrare. I lavori finiscono, gli accessi restano.

Gli strumenti sono legittimi. L’agenzia statunitense per la sicurezza informatica, la CISA, ha avvertito nel gennaio 2023 che gli attaccanti usano programmi regolari di controllo remoto come porta di servizio: alcune versioni portatili si avviano senza privilegi di amministratore e senza installazione, aggirando i controlli più comuni. Per un antivirus, un programma di assistenza che si collega di notte può sembrare normale.

Che cosa è successo quando la porta era aperta?

Tre casi pubblici mostrano tre varianti dello stesso problema.

Le credenziali del fornitore. Nel rapporto del 25 marzo 2014 la commissione Commercio del Senato statunitense ha ricostruito la violazione subita dalla catena Target alla fine del 2013: l’azienda aveva dato accesso alla propria rete a un piccolo fornitore di impianti di climatizzazione, e da lì è partito l’attacco che ha esposto circa 40 milioni di carte di pagamento e fino a 70 milioni di dati personali. Il rapporto segnala anche che i sistemi più delicati non erano isolati a sufficienza.
Lo strumento del fornitore. Il 2 luglio 2021 un attacco ransomware ha colpito VSA, il software di gestione remota di Kaseya usato da molti fornitori di servizi informatici. Secondo la stessa Kaseya sono stati colpiti circa 50 clienti diretti e, attraverso di loro, tra 800 e 1.500 aziende che quei fornitori gestivano.
Una falla nel programma di accesso. Nel febbraio 2024 è stata resa pubblica una vulnerabilità di ConnectWise ScreenConnect, un diffuso programma di assistenza remota, che permetteva di aggirare l’autenticazione (CVE-2024-1709, gravità 10 su 10). Il 22 febbraio la CISA l’ha inserita nel catalogo delle vulnerabilità già sfruttate dagli attaccanti.

La lezione è comune: un’organizzazione può curare bene i propri sistemi ed essere raggiunta attraverso le credenziali, gli strumenti o i ritardi di aggiornamento di chi la assiste.

Quali accessi esterni ha davvero un’organizzazione?

Tipo di accesso	Esempio	Domanda da fare
Programmi di assistenza remota	Installato anni fa dal tecnico del gestionale e sempre attivo	Chi può collegarsi, da dove, e chi lo sa quando succede?
Utenze VPN	Un’unica utenza «assistenza» usata da più tecnici	A quale persona corrisponde ogni utenza, oggi?
Utenze nei sistemi	Privilegi da amministratore sul gestionale o sul database	Quei privilegi servono sempre, o solo durante l’intervento?
Servizi cloud	Utenti ospiti o partner con diritti di amministrazione	Chi li ha concessi e quando scadono?
Impianti e macchinari	Router di teleassistenza sulle linee, videosorveglianza, centralino	Sono separati dalla rete degli uffici?
Integrazioni	Chiavi di accesso e utenze di servizio usate da un software esterno	Chi le cambia, e chi se ne accorge se vengono usate altrove?

Quali regole servono?

Un registro unico. Ogni fornitore con accesso ha una riga: sistemi raggiungibili, strumenti usati, persone autorizzate e un referente interno che risponde di quell’accesso.
Utenze nominative e autenticazione a più fattori. Mai utenze condivise: senza un nome non c’è responsabilità, e una password condivisa sopravvive a chi lascia il fornitore. Il decreto legislativo 138/2024, che recepisce la NIS2 in Italia, elenca l’autenticazione a più fattori tra le misure richieste ai soggetti in ambito.
Accesso su richiesta e a tempo. L’accesso si apre per l’intervento, con l’approvazione del referente, e si chiude alla fine; le urgenze seguono una procedura scritta, con un reperibile interno.
Un solo punto d’ingresso. Le sessioni esterne passano da un sistema controllato, non da programmi installati qua e là. Gli strumenti non autorizzati si individuano e si bloccano, come raccomanda la CISA; quelli autorizzati si aggiornano come ogni altro software.
Privilegi minimi e reti separate. Il tecnico delle macchine raggiunge le macchine, non la contabilità.
Registrazione. In Italia il provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 chiede, per gli amministratori di sistema, anche esterni, un elenco aggiornato con i loro estremi identificativi, verifiche almeno annuali sul loro operato e registrazioni degli accessi complete, inalterabili e conservate per almeno sei mesi. I criteri per conservare i registri sono nell’approfondimento su file di log e ricostruzione degli attacchi.
Chiusura. Si chiude a fine intervento, a fine contratto e quando un tecnico lascia il fornitore; una revisione periodica confronta il registro con le utenze che esistono davvero.

Che cosa va scritto nel contratto?

Le regole reggono se il fornitore le ha accettate per iscritto. Nel contratto conviene prevedere:

l’elenco nominativo dei tecnici e l’obbligo di comunicare ingressi e uscite;
gli strumenti di accesso ammessi e il divieto di installarne altri;
le misure di sicurezza richieste, a partire dall’autenticazione a più fattori;
l’avviso tempestivo in caso di incidente presso il fornitore;
il diritto di verifica;
la chiusura degli accessi e la restituzione o cancellazione dei dati a fine rapporto.

Quando il fornitore tratta dati personali per conto dell’azienda, l’articolo 28 del GDPR prevede già un contratto con alcune di queste clausole: ricorso ad altri responsabili solo con autorizzazione scritta, cancellazione o restituzione dei dati al termine del servizio, informazioni e verifiche a disposizione del titolare. Per le imprese sammarinesi il quadro è diverso: va valutato caso per caso.

Chi ne risponde in azienda?

La direzione. Per i soggetti in ambito NIS2, l’articolo 23 del decreto legislativo 138/2024 chiede agli organi di amministrazione di approvare le modalità di attuazione delle misure di sicurezza, di sovrintendere e ne prevede la responsabilità; l’articolo 24 comprende tra le misure la sicurezza dei rapporti con i fornitori diretti. Anche per chi non è soggetto alla norma resta una decisione di rischio che spetta al vertice.

La divisione dei compiti è semplice: il referente interno risponde del singolo accesso; l’IT gestisce registro, strumenti e registrazioni; acquisti e legale curano le clausole; il responsabile della protezione dei dati segue i trattamenti. Alla direzione arrivano pochi numeri a cadenza fissa: accessi attivi, accessi chiusi, eccezioni concesse.

Scenario tipico. Un’azienda manifatturiera avvia la ricognizione e trova sui server tre programmi di controllo remoto diversi: uno del fornitore del gestionale, uno del manutentore delle linee, uno installato da un tecnico che non lavora più per nessuno dei due. L’utenza VPN «assistenza» è usata da sei persone con la stessa password. La direzione decide un solo punto d’ingresso, utenze nominative con autenticazione a più fattori, accessi aperti su richiesta del referente e la rete delle macchine separata da quella degli uffici. Il manutentore chiede un accesso sempre aperto per i guasti notturni; si concorda invece una procedura d’urgenza con un reperibile interno.

Da dove si comincia?

Elenco dei fornitori che assistono sistemi informatici, impianti e software.
Confronto con ciò che esiste: utenze VPN, programmi di accesso remoto su computer e server, utenti ospiti nei servizi cloud, regole del firewall.
Utenze senza titolare sospese, concordando i tempi con la produzione per non fermare nulla.
Per ogni accesso rimasto: referente, autenticazione a più fattori, orari, registrazione.
Una prova: un penetration test che verifichi fin dove arriverebbe chi usasse le credenziali di un fornitore.

In sintesi

Gli accessi esterni si moltiplicano negli anni e restano aperti perché nessuno ne risponde per intero.
Credenziali, strumenti e falle dei fornitori sono entrati in violazioni documentate.
Servono registro unico, utenze nominative, autenticazione a più fattori, accessi a tempo e un solo punto d’ingresso.
Contratto e registrazioni rendono le regole verificabili.
La decisione spetta alla direzione, che riceve pochi numeri a cadenza fissa.

Domande frequenti

Un fornitore di fiducia da anni va trattato allo stesso modo?

Sì. La fiducia riguarda le persone, le regole riguardano le credenziali, che possono essere rubate a chiunque. Nel caso Target l’attacco è partito da un fornitore, non da un dipendente.

I programmi di assistenza remota vanno vietati?

No. Vanno scelti, autorizzati, aggiornati e fatti passare da un punto controllato. Quelli non autorizzati si individuano e si bloccano.

Quanto si conservano le registrazioni degli accessi?

Per gli amministratori di sistema il Garante indica almeno sei mesi; il periodo effettivo dipende dal rischio e dalle norme applicabili.

Serve anche a chi non è soggetto alla NIS2?

Sì. Le regole del Garante sugli amministratori di sistema non dipendono dalla NIS2, e i clienti soggetti alla norma chiedono sempre più spesso come l’azienda controlla i propri fornitori.

Ricognizione degli accessi esterni, penetration test dal punto di vista di un fornitore e procedure per gli incidenti sono il lavoro della nostra divisione cybersecurity. Quando gli accessi riguardano database Oracle con utenze privilegiate, il lavoro si fa insieme alla divisione Oracle & Database Engineering.

Fonti

Consultate il 16 settembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.