Un hacker ha messo in vendita su un forum underground 35 gigabyte di dati sottratti ad Accenture: chiavi di accesso Azure, token, file di configurazione e codice sorgente prelevati da un repository privato su Azure DevOps. Accenture ha confermato l’incidente, dichiarando di averlo contenuto e di non aver riscontrato impatti sui servizi erogati ai clienti.
Per chi affida la gestione dei propri sistemi IT a un fornitore esterno, quello che è successo ad Accenture pone una domanda più vicina di quanto sembri. Se succedesse al tuo fornitore, lo sapresti? E soprattutto, cosa uscirebbe insieme ai suoi dati?
Il fornitore IT come punto di ingresso
Le violazioni raramente colpiscono l’obiettivo finale in modo diretto. Un attaccante entra dal punto più debole della catena e risale fino a dove vuole arrivare davvero. Un fornitore che gestisce sistemi per decine o centinaia di clienti è un obiettivo particolarmente redditizio, perché violarne uno solo può aprire un varco verso molti altri contemporaneamente.
Chiavi API, token di accesso e file di configurazione come quelli sottratti ad Accenture non contengono necessariamente i dati dei clienti in modo diretto, ma spesso contengono le credenziali per raggiungerli. Un repository di configurazione può includere endpoint di rete, indirizzi dei server, script di deployment e riferimenti a sistemi di terze parti: informazioni che riducono drasticamente il lavoro di chi vuole muoversi lateralmente verso l’infrastruttura di un cliente.
Le domande da fare al proprio fornitore IT
Prima di scegliere o rinnovare un fornitore IT, ci sono verifiche che riguardano direttamente la sicurezza della propria azienda, anche quando la gestione tecnica resta esterna.
Come vengono segmentati gli accessi tra clienti diversi
Un fornitore che condivide credenziali o infrastrutture tra più clienti li espone tutti nel momento in cui uno solo viene compromesso. Le architetture multi-tenant ben progettate isolano ogni cliente, in modo che una violazione resti circoscritta.
Esiste un piano di notifica in caso di incidente a monte
Non è scontato. Molti contratti di fornitura IT non specificano tempi né modalità di comunicazione in caso di violazione lato fornitore. Chiedere per iscritto come e quando verresti avvisato è una domanda legittima, non un’accusa di sfiducia.
I sistemi di configurazione hanno l’autenticazione a più fattori
I repository di codice e configurazione sono spesso meno protetti dei sistemi di produzione, proprio perché percepiti come strumenti interni e non esposti al pubblico. È lì, però, che finiscono per sedimentarsi le credenziali più sensibili.
Con quale frequenza vengono ruotate le credenziali condivise
Chiavi e token statici, mai rinnovati, restano validi anche mesi dopo una compromissione non ancora scoperta. La rotazione periodica delle credenziali riduce la finestra di tempo utile a un attaccante.
Cosa puoi mettere nero su bianco nel contratto
Non tutte le PMI hanno la forza contrattuale per imporre condizioni a un fornitore IT di grandi dimensioni, ma quasi sempre è possibile chiedere che alcuni punti vengano scritti nel contratto o in un allegato tecnico.
- Una clausola di notifica con un termine definito, tipicamente 24-72 ore, per qualsiasi incidente che coinvolga anche indirettamente i dati del cliente.
- Il diritto di richiedere un report sintetico delle misure di sicurezza applicate, senza dover accedere ai dettagli tecnici riservati del fornitore.
- Un impegno scritto sulla rotazione periodica delle credenziali condivise.
- Un riferimento esplicito a una certificazione di sicurezza indipendente, come ISO 27001, quando applicabile.
Un fornitore che non può mostrare tutto per ragioni di riservatezza dovrebbe comunque poter rispondere con chiarezza a queste richieste. Il modo in cui reagisce a domande di questo tipo dice già molto sulla propria maturità in materia di sicurezza.
Cosa cambia, concretamente, per chi legge questa notizia da fuori
Accenture ha gestito l’incidente in modo trasparente, comunicando pubblicamente la violazione e le misure di contenimento adottate. È un livello di struttura che non tutti i fornitori IT, specialmente quelli di dimensioni più contenute, sono organizzati per garantire. Per una PMI, la domanda utile non è se il proprio fornitore verrà mai violato, perché prima o poi càpita quasi a tutti, ma se saprebbe gestire la comunicazione e il contenimento con la stessa rapidità.
La sicurezza informatica di un’azienda si misura anche su questo: non solo sui propri sistemi, ma sulla resilienza dell’intera rete di fornitori a cui è stata affidata parte della gestione digitale. Vale la pena chiedere, con chi gestisce oggi i tuoi sistemi, se quelle domande avrebbero già una risposta chiara.
💾 Scarica la presentazione PDF — la sintesi in slide di questo articolo, pronta da condividere con il tuo team.
Prima di scegliere o rinnovare un fornitore, vale la pena farsi le stesse domande anche su backup e disaster recovery. Le 5 domande da fare al tuo fornitore prima di firmare il contratto.