Gestione delle autorizzazioni di accesso alle caselle PEC: il sistema che riduce il rischio di data breach

Perché le autorizzazioni di accesso alle PEC non sono una formalità burocratica

Quando ho iniziato a supportare le piccole imprese nel passaggio al digitale, la PEC era ancora vista come un obbligo noioso. Un semplice indirizzo email certificato, niente di più. Eppure negli ultimi anni ho visto accadere di tutto: impiegati che condividevano password, consulenti rimasti con accesso alla casella anni dopo il loro incarico, amministratori che sparivano e nessuno sapeva più chi potesse leggere i documenti importanti. Una di queste situazioni mi è capitata direttamente: una cliente mi chiese di recuperare una comunicazione ufficiale dalla sua PEC perché il collega che l’aveva letta non c’era più, e nessuno sapeva la password della casella condivisa.

Qui è scattato qualcosa in me. Non si trattava semplicemente di un problema di accesso. Era un buco di sicurezza. E purtroppo questo buco ha un nome preciso: data breach.

Il rischio concreto di un sistema senza controllo

Una casella PEC contiene alcuni dei documenti più sensibili di un’azienda: fatture, contratti, comunicazioni con clienti e fornitori, corrispondenza bancaria, dati personali. Se chiunque dentro l’azienda può accedervi senza traccia, o se le credenziali vengono condivise, il rischio di una violazione aumenta esponenzialmente.

Potrebbe interessarti anche

Obblighi di conservazione delle comunicazioni PEC: la regola che ti tutela in caso di controlliÈ legale inoltrare email PEC di altri? L’errore che mette a rischio la privacy dei tuoi clientiDisattivare la PEC: quali rischi corri se non segui la procedura correttaPerché la fatturazione digitale è più sicura? 3 motivi concreti che cambiano la quotidiana gestione amministrativa

La normativa italiana, in particolare il Codice della privacy e il Regolamento UE 679/2016 (GDPR), impostano chiaramente un principio: i dati devono essere accessibili solo a chi ne ha diritto, e tale accesso deve essere tracciabile. Una PEC senza controlli delle autorizzazioni non solo viola questi principi, ma espone l’azienda a responsabilità civili e penali notevoli.

Mi è capitato di leggere il rapporto di un’ispezione del Garante della Privacy in cui veniva segnalato esattamente questo: l’azienda controllata non aveva un registro delle persone abilitate ad accedere alla PEC aziendale. Una situazione che, se scoperta durante una verifica, comporta sanzioni importanti.

Come strutturare le autorizzazioni in modo scientifico

Un buon sistema di autorizzazioni per la PEC parte da una domanda semplice: chi deve accedere a cosa e perché? Sembra banale, ma in pratica quasi nessuno lo fa.

Il primo passo è creare una matrice di accesso. Non serve un foglio Excel complicato: basta uno schema che mappa ogni figura professionale (amministratore, commercialista, responsabile pagamenti, direttore generale) alle aree della casella PEC che le riguardano. Un commercialista non ha motivo di leggere i messaggi sulla gestione HR, così come un impiegato amministrativo non dovrebbe accedere ai colloqui confidenziali del proprietario.

Il secondo passo è implementare credenziali individuali, non condivise. Ogni persona deve avere username e password propri, registrati nel sistema. Questa non è una raccomandazione di sicurezza astratta: è la base per tracciare chi ha fatto cosa e quando. Se succede un problema, saprai esattamente da dove è venuto.

Il terzo elemento è la tracciabilità. I provider di PEC professionali (non quelli base) permettono di attivare log di accesso: registrano data, ora, indirizzo IP di chi entra nella casella. È uno strumento che sembra tecnico, ma diventa indispensabile se devi fare un audit interno o rispondere a un’ispezione.

Gli errori che vedo ripetersi ancora

Dopo anni di consulenza, ho identificato gli stessi errori che si ripetono nelle aziende: password eterna, in mano alla stessa persona da dieci anni; nessuno che verifica periodicamente chi ha effettivamente accesso; utenti disattivati che continuano a restare nel sistema; accessi da esterni (commercialisti, consulenti) senza scadenza temporale.

Un mio lettore mi ha scritto di recente per segnalare che la sua ex segretaria, dopo cinque anni, aveva ancora le credenziali della casella PEC. È riuscito a scoprirlo solo per caso, verificando gli accessi dal portale del provider. In quel lasso di tempo, poteva leggere ogni comunicazione sensibile dell’azienda senza che nessuno se ne accorgesse.

Il problema non è cattiveria: è negligenza organizzativa. Nella gestione quotidiana, controllare gli accessi alle caselle PEC non è considerato urgente. Eppure è proprio questo atteggiamento che crea le condizioni per un data breach.

Il sistema che conviene davvero implementare

La soluzione non è complicata né costosa. Serve innanzitutto un responsabile interno (non necessariamente tecnico) che periodicamente verifichi: chi ha accesso, da quando, per quale motivo. Può farlo trimestrale o semestrale, a seconda della dimensione dell’azienda.

Secondo: usa la autenticazione a due fattori per la PEC, se il tuo provider la supporta. Un sms o un’app di verifica aggiuntiva riduce drasticamente il rischio di accesso non autorizzato, anche se qualcuno riesce a rubare una password.

Terzo: quando un dipendente se ne va o cambia ruolo, disattiva immediatamente l’accesso. Non sospendere, disattivare. E aggiorna il registro delle autorizzazioni.

Quarto: per gli accessi esterni (commercialisti, consulenti), utilizza credenziali temporanee con data di scadenza automatica.

Questa struttura non chiede investimenti enormi. Quello che serve è metodo e una verifica periodica. Ho visto aziende di venti dipendenti implementarlo in poche ore, e il risultato è stato una riduzione visibile del rischio.

La sicurezza della PEC inizia da qui: dalle autorizzazioni gestite correttamente. Il resto, incluso il valore legale della casella certificata, dipende proprio da questa base.