Come formalizzare il processo di approvazione delle eccezioni dei clienti

La gestione delle eccezioni è una responsabilità (e un grattacapo) della governance IT con cui tutti i provider di servizi gestiti (MSP) devono fare i conti. Prima o poi ti troverai a dover infrangere una regola per permettere l’esecuzione di software non aggiornato, concedere privilegi speciali a un utente o aggirare in altro modo una situazione che richiede “un’eccezione”, per ragioni tecniche o burocratiche.

Formalizzare il processo di approvazione delle eccezioni dei clienti aiuta a chiarire chi ha fatto la richiesta, chi l’ha approvata e chi risponde dei risultati. Allo stesso tempo, garantisce che tutte le eccezioni siano documentate e possano essere monitorate o ridotte, così da non trasformarsi in lacune di sicurezza nascoste.

Che cosa si intende per “eccezione” nella governance IT

Nella governance IT, un’eccezione è una deroga a una regola stabilita dalle policy di sicurezza o da altre policy IT. In questo contesto non si parla quindi di un errore del software.

Le policy di sicurezza IT nascono per un motivo preciso: assicurare che vengano distribuite configurazioni e autorizzazioni sensate e sicure, in grado di proteggere gli utenti finali dalle minacce informatiche. Questo significa, ad esempio, imporre che i sistemi operativi dei dispositivi siano aggiornati, che tutto il software riceva regolarmente le patch e che gli utenti dispongano solo di autorizzazioni limitate (nel rispetto del principio del minimo privilegio). Queste e altre best practice di settore, insieme alle policy specifiche di ogni organizzazione, proteggono infrastruttura e dati, mantengono al sicuro le informazioni riservate e limitano i danni in caso di incidente dovuto a malware o ad attacchi informatici.

Prima o poi, però, dovrai infrangere controvoglia una di queste regole e creare un’eccezione. Un cliente potrebbe dipendere da software legacy che non funziona sull’ultimo sistema operativo, oppure utilizzare applicazioni che girano solo con privilegi di amministratore locale. A volte i motivi non sono di natura tecnica: un dirigente dei vertici con una forte influenza, ad esempio, potrebbe insistere per continuare a usare il suo cellulare ormai obsoleto perché non gradisce l’estetica dei nuovi modelli.

I vantaggi della formalizzazione delle eccezioni per il team del tuo MSP

Senza una gestione adeguata delle eccezioni, queste irregolarità apparentemente trascurabili si accumulano e creano lacune di sicurezza nascoste, che possono sfociare in violazioni di dati o interruzioni di servizio di grande portata. Inoltre, indeboliscono le procedure operative standard (SOP), rendono più difficile per i tecnici che non sono al corrente dell’eccezione diagnosticare e risolvere i problemi e complicano il reporting di conformità e gli audit.

Adottando un framework strutturato per gestire le eccezioni richieste dai clienti, puoi garantire che vengano valutate con criteri coerenti, documentate in modo completo e rimosse quando non servono più. In questo modo riesci a soddisfare le esigenze dei clienti con flessibilità, mantenendo però la tracciabilità delle responsabilità per ogni richiesta. Ti fornisce anche motivazioni documentate sul perché una richiesta è stata respinta, qualora fosse necessario spiegare ai clienti perché un’eccezione non è stata concessa.

È fondamentale agire sempre nel rispetto delle leggi applicabili alla tua azienda e ai suoi clienti. Se un’eccezione rischia di avere conseguenze legali (ad esempio, violando i requisiti di trattamento dei dati previsti dai framework di protezione dei dati come GDPR, CCPA o HIPAA), respingi la richiesta e documenta la norma specifica che ne impedisce l’attuazione.

Prerequisiti per formalizzare il processo di approvazione delle eccezioni dei clienti

Per formalizzare il processo di approvazione delle eccezioni in modo ripetibile, documentato, verificabile e trasparente per i tuoi clienti, ti servono i seguenti strumenti:

• Una piattaforma di documentazione centralizzata (come NinjaOne Docs, IT Glue, Confluence, SharePoint)
• SOP e baseline di sicurezza definite, rispetto alle quali le eccezioni possono rappresentare una deroga
• Ruoli chiaramente definiti per chi esamina le eccezioni (ad esempio Service Manager, Security Lead)
• Un accordo sulla frequenza delle revisioni (mensile, trimestrale o secondo quanto imposto dalla conformità)

Guarda l’analisi dettagliata nel video Come formalizzare il processo di approvazione delle eccezioni dei clienti.

Passaggio 1: definisci che cosa costituisce un’eccezione e crea delle categorie

Stabilisci che cosa costituisce un’eccezione sulla base delle policy del cliente e suddividi le eccezioni in categorie. Puoi prevedere, ad esempio, categorie come sicurezza (esclusioni relative a firewall, anti-malware, autenticazione a più fattori e patch del software), operatività (deroghe legate a uno specifico flusso di lavoro o agli SLA) oppure accesso (privilegi elevati o mantenimento dell’account dopo l’offboarding). Raccogli queste informazioni in una tabella, così da poterle consultare in seguito.

Tieni presente che c’è una differenza tra la preferenza di un utente e un’eccezione. Ad esempio, un utente che desidera usare una risoluzione dello schermo più bassa con tutta probabilità non sta creando un’eccezione a una policy stabilita, e difficilmente questa modifica richiederà un’approvazione formale. Documentare queste preferenze come eccezioni genera rumore di fondo e può rendere difficile individuare le altre eccezioni che possono scadere o che richiedono una supervisione continua.

Passaggio 2: standardizza il processo di richiesta delle eccezioni

Standardizzare il processo di richiesta delle eccezioni permette agli utenti finali di comunicare facilmente le proprie esigenze e avvia una traccia documentale delle responsabilità. Crea un modulo web che registri informazioni strutturate come un ID univoco dell’eccezione, la data della richiesta, chi l’ha presentata, una descrizione di ciò che serve, la motivazione e l’impatto sul business in caso di rifiuto.

Vanno inoltre previsti campi aggiuntivi a uso interno, come le note sulla valutazione del rischio e lo spazio per documentare le ulteriori misure di monitoraggio e riduzione necessarie se la richiesta viene approvata e introduce vulnerabilità note.

L’esito di questi moduli standardizzati dovrebbe essere archiviato nella tua piattaforma di documentazione.

Passaggio 3: definisci un flusso di lavoro di revisione e approvazione

Definisci e documenta un flusso di lavoro di revisione e approvazione verificabile, che comprenda:

1. Invio: le richieste dei clienti vengono registrate tramite ticket o modulo
2. Revisione: il Service Manager valuta ambito e rischi
3. Approvazione: il Security Lead approva o respinge la richiesta di eccezione
4. Implementazione: il tecnico applica l’eccezione, se approvata
5. Registrazione: la traccia dell’eccezione viene archiviata nel repository centrale della documentazione

Durante il processo di revisione e approvazione è importante comunicare con il cliente e assicurarsi che abbia perfettamente chiari i rischi legati alla concessione dell’eccezione (e, se opportuno, chiedergli un’approvazione formale per la tracciabilità delle responsabilità).

Passaggio 4: monitora le eccezioni con date di scadenza

Le eccezioni non dovrebbero essere permanenti per impostazione predefinita. Assegna a ciascuna eccezione una data di scadenza o di revisione (idealmente con la creazione automatica di un ticket di assistenza) e, dove tecnicamente possibile, richiedi una riattivazione esplicita dell’eccezione.

Per una supervisione completa, le eccezioni vanno registrate tutte nello stesso posto, anziché essere sparse su piattaforme diverse. Usando tag o categorie nell’helpdesk e nella documentazione, dovresti riuscire a generare un report con l’elenco di tutte le eccezioni attualmente approvate.

Passaggio 5: elimina le eccezioni o trasformale in SOP

Rivedi periodicamente tutte le eccezioni ed elimina quelle che non servono più. Documenta sempre il motivo per cui un’eccezione è stata rimossa: fornirà un contesto utile se la stessa eccezione dovesse essere richiesta di nuovo.

Le eccezioni ricorrenti o permanenti potrebbero dover entrare a far parte delle SOP abituali o portare a una modifica delle policy, se non introducono vulnerabilità di sicurezza o problemi di conformità.

Con NinjaOne il tuo MSP gestisce le eccezioni dei clienti in modo fluido e tracciabile

NinjaOne offre una suite completa di strumenti per MSP, tra cui gestione dei dispositivi mobili (MDM), accesso remoto, helpdesk, gestione degli asset e strumenti di documentazione, che si integrano con la sicurezza degli endpoint e offrono un’automazione basata su script. Così puoi documentare in modo completo i dispositivi endpoint e gli utenti, oltre a tutte le eccezioni approvate per loro.

Puoi applicare tag ai dispositivi con configurazioni particolari per individuarli e verificarli facilmente, e usare l’automazione dell’helpdesk per garantire che le eccezioni vengano monitorate ed eliminate quando non servono più. Puoi generare report per discutere i compromessi tra sicurezza ed esigenze di business legati alle eccezioni durante le revisioni periodiche con i clienti, assicurandoti che nessuna eccezione resti fuori controllo o diventi un punto cieco della sicurezza.