Log accessi e amministratori di sistema
Il registro degli accessi che il provvedimento del Garante chiede, raccolto in tre modi, dagli endpoint, da Microsoft 365 e da Google Workspace, senza lavoro manuale.
Chi accede ai tuoi sistemi, e quando
Il provvedimento del Garante per la protezione dei dati personali sugli amministratori di sistema, pubblicato nella Gazzetta Ufficiale n. 300 del 24 dicembre 2008, chiede ai titolari del trattamento di registrare gli accessi logici di chi amministra sistemi, reti e banche dati, e di conservarne traccia.
Riguarda praticamente ogni azienda, perché gli amministratori di sistema possono essere interni o esterni: il fornitore IT, il consulente, la software house che accede da remoto. Hanno accesso privilegiato ai dati, e la registrazione dei log serve proprio a monitorarne le attività.
Dottor Box raccoglie gli accessi in tre modi: dagli endpoint, con il Cyber Agent che fa da SIEM, e dagli ambienti cloud Microsoft 365 e Google Workspace. Tutto finisce nello stesso registro, consultabile ed esportabile. È uno dei sei controlli del Vulnerability Assessment.
Cosa serve predisporre. Per gli endpoint, il Cyber Agent sui PC e server da controllare. Per il cloud, il collegamento in sola lettura del modulo Microsoft Entra ID e/o del modulo Google Workspace. Puoi attivare una, due o tutte e tre le sorgenti.
Cosa ottieni
Un registro unico
Accessi agli endpoint, a Microsoft 365 e a Google Workspace nello stesso posto, consultabili per ricerca.
Chi sono gli amministratori
L'elenco dichiarato degli amministratori di sistema, interni ed esterni, accanto ai loro accessi.
Export CSV completo
Il registro pronto da allegare come evidenza in un audit o durante un'ispezione.
Avvisi sugli accessi anomali
Tentativi ripetuti, accessi da paesi nuovi, ingressi con utenze amministrative.
Tre sorgenti, un solo registro
1. Endpoint, con il Cyber Agent come SIEM
L'agente installato su PC e server centralizza i log di accesso, come un SIEM. Per ogni accesso registriamo utente, postazione, indirizzo IP, dominio, host, esito, se l'utenza è amministrativa, data e ora.
Il registro può contare centinaia di migliaia di righe: per questo si consulta partendo da una ricerca, con risultati paginati dal più recente.
2. Microsoft 365, tramite Entra ID
Un riepilogo degli accessi al tenant, filtri per esito e periodo, e gli avvisi: tentativi falliti oltre soglia, accesso riuscito da un paese mai visto, accesso di un account amministrativo.
Da questi avvisi può nascere una proposta di blocco dell'account.
3. Google Workspace
Se la tua azienda lavora con Google, gli accessi agli account Google Workspace entrano nello stesso registro, accanto a quelli delle postazioni.
Il collegamento al dominio è in sola lettura, lo stesso usato per la verifica della configurazione di Google Workspace.
Il blocco dell'account lo decide una persona
Quando un avviso lo giustifica, la piattaforma propone di bloccare l'account Microsoft coinvolto. La disabilitazione avviene solo quando una persona la conferma. Mai in automatico.
Non è una limitazione, è una scelta di progetto. Se il blocco scattasse da solo sui tentativi falliti, chiunque conosca gli indirizzi email della tua azienda potrebbe bloccare i tuoi dipendenti a comando, semplicemente sbagliando la password più volte. Un sistema di difesa diventerebbe uno strumento di disservizio nelle mani di chi attacca.
Una raffica di tentativi falliti, un accesso riuscito dall'estero, un ingresso con un'utenza amministrativa: la piattaforma ti avvisa e propone il blocco. La decisione resta a una persona, sempre.
Come funzionano gli avvisi di Dottor Box
Cosa ti aiuta a dimostrare
Chi ha aperto l'adempimento sugli amministratori di sistema deve poter mostrare chi sono, cosa hanno fatto e che qualcuno lo controlla.
- L'elenco nominativo degli amministratori di sistema
- La registrazione degli accessi logici, con data, ora ed esito
- La distinzione fra utenze amministrative e ordinarie
- Gli accessi al cloud Microsoft e Google accanto a quelli sulle postazioni
- Un export completo da consegnare in audit
- Avvisi che dimostrano un controllo attivo, non solo un archivio
Le domande che ci fanno più spesso
Il Cyber Agent registra anche gli accessi degli amministratori esterni?
Sì, registra gli accessi alle postazioni e ai server su cui è installato, indipendentemente da chi li esegue: dipendenti, fornitore IT o consulenti esterni.
Posso consegnare il registro durante un'ispezione?
Sì. L'export CSV contiene il registro completo e si allega come evidenza, insieme all'elenco dichiarato degli amministratori di sistema.
Perché il blocco dell'account non è automatico?
Perché un blocco automatico sui tentativi falliti potrebbe essere provocato da chiunque conosca un indirizzo email aziendale. La piattaforma ti avvisa e prepara la proposta; la conferma è sempre di una persona.
A quali norme contribuisce
Oltre al provvedimento del Garante, la registrazione e la revisione degli accessi privilegiati sono richieste da tutti i principali framework.
Spesso attivati insieme
Cyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereGoogle Workspace
35 controlli sul catalogo CIS per la configurazione di Google Workspace, posta compresa.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.