Chi può intervenire se la persona di riferimento non è disponibile?
Immaginiamo di dover correggere un recapito sul sito o verificare una richiesta commerciale. La persona che conosce gli accessi è assente e il codice di conferma arriva soltanto sul suo telefono. Il servizio può essere perfettamente funzionante, ma l'azienda non riesce a gestirlo.
Il nostro punto di partenza è questo: ogni servizio importante deve avere un responsabile e un percorso di recupero praticabile. Il rapporto ENISA Threat Landscape 2026, pubblicato il 22 settembre 2026, richiama l'attenzione sulle dipendenze fra sistemi digitali. Analizza eventi del 2025 nell'Unione europea: non misura la probabilità che un singolo hotel subisca un incidente. Qui ci concentriamo su una scelta organizzativa concreta: rendere visibili e gestibili le dipendenze della propria attività.
La mappa dei servizi: sei voci da controllare
Proponiamo di partire da un inventario essenziale. Per ciascuna voce annotiamo fornitore, referente interno, persone autorizzate, scadenza, modalità di recupero e data dell'ultima verifica.
- Dominio e DNS: chi gestisce il nome del sito e le impostazioni che indirizzano sito e posta verso i rispettivi servizi?
- Hosting e CMS: chi ospita il sito, chi può modificarne i contenuti e chi può intervenire sul funzionamento tecnico?
- Posta aziendale: chi amministra le caselle, i gruppi e gli indirizzi che ricevono le richieste?
- Prenotazioni e vendite: quali accessi servono per booking engine, e-commerce o software commerciale?
- Visibilità e misurazione: chi amministra scheda Google, campagne, Search Console, Analytics e Tag Manager?
- Rinnovi e assistenza: a chi arrivano avvisi, fatture e comunicazioni urgenti? Chi può autorizzare un intervento?
L'inventario descrive gli accessi, non contiene le password. Le credenziali vanno custodite in uno strumento protetto con accesso controllato. Un documento operativo condiviso può indicare dove reperirle e chi è autorizzato a farlo, senza esporle.
Dominio, sito e posta: evitare il recupero circolare
Il nome del sito merita un controllo specifico. La guida ICANN SSAC sulla protezione degli account di registrazione dei domini considera questi account risorse operative e affronta autorizzazioni e recupero. È un documento di base del 2010, non una nuova regola del 2026; le funzioni effettivamente disponibili vanno verificate con il proprio gestore.
Controlliamo chi risulta intestatario del dominio, chi riceve gli avvisi di rinnovo e come si contatta l'assistenza. Poi poniamoci una domanda: se la posta del dominio smettesse di funzionare, riusciremmo comunque ad avviare il recupero dell'account che lo gestisce? Proponiamo di concordare con il fornitore un canale alternativo protetto, evitando che il recupero dipenda interamente dal servizio da ripristinare.
Se il dominio è amministrato da un partner, documentiamo deleghe e procedura di intervento. Questo non implica ottenere accesso agli account condivisi o all'infrastruttura del fornitore: serve sapere come esercitare il controllo sul proprio servizio attraverso le modalità concordate.
Assegnare i permessi secondo il lavoro da svolgere
Nella guida ENISA alla cibersicurezza per le PMI, pubblicata nel 2021 e disponibile anche in italiano, responsabilità, gestione dei fornitori e protezione degli accessi fanno parte dell'organizzazione della sicurezza.
Noi traduciamo questi principi in tre ruoli da chiarire per ogni servizio: chi decide, chi lavora ogni giorno e chi interviene tecnicamente. Chi aggiorna una pagina non ha necessariamente bisogno di modificare dominio o fatturazione. Dove il sistema lo consente, proponiamo utenze personali e permessi adeguati al compito, con autenticazione a più fattori: un controllo aggiuntivo oltre alla password.
Preparare il recupero prima che serva
Un secondo referente è utile soltanto se dispone davvero del percorso autorizzato per intervenire. Le procedure cambiano tra prodotti e non vanno improvvisate. Per esempio, Microsoft documenta account di emergenza specifici per Entra ID, con autenticazione forte, monitoraggio e verifiche periodiche. Sono indicazioni per quella piattaforma: non una configurazione da copiare indistintamente su ogni CMS.
Per la propria attività proponiamo una verifica assistita: il referente alternativo deve conoscere i passaggi, trovare i recapiti corretti e verificare l'accesso consentito senza cambiare impostazioni in produzione. Conserviamo gli eventuali codici di recupero in modo protetto e definiamo chi può usarli.
Una procedura per il passaggio delle consegne
Quando cambia un collaboratore o un fornitore, usiamo questa sequenza operativa:
- Ricostruire il perimetro: elencare servizi, ruoli e attività automatiche collegati alla persona in uscita.
- Verificare il subentro: confermare che il nuovo referente abbia i permessi concordati e possa accedere autonomamente.
- Aggiornare i recapiti: controllare avvisi, recupero, fatturazione e contatti di assistenza.
- Rimuovere ciò che non serve: revocare accessi e sessioni non più autorizzati, secondo le funzioni disponibili.
- Controllare le dipendenze: far verificare al tecnico eventuali integrazioni prima di eliminare utenze usate da processi automatici.
- Registrare l'esito: annotare responsabile, data e problemi ancora aperti.
Un esempio ipotetico per un hotel
Una struttura stagionale cambia il responsabile marketing. Il nuovo collaboratore riceve accesso al CMS, ma le campagne e gli avvisi del dominio restano legati al precedente referente. Nel metodo che proponiamo, il passaggio si considera concluso soltanto dopo una verifica separata di contenuti, campagne, rinnovi e recupero. Lo stesso criterio vale per una PMI che cambia commerciale o agenzia. È un esempio organizzativo, non un caso cliente o un risultato misurato.
Da dove partire questa settimana
Proponiamo di scegliere tre servizi la cui indisponibilità fermerebbe richieste, vendite o comunicazioni e compilare la relativa mappa. Per ciascuno chiediamoci: chi può intervenire oggi, chi lo sostituisce e quale prova lo conferma?
Nella progettazione di un sito web per il turismo e nelle soluzioni software su misura, queste responsabilità vanno chiarite insieme ai flussi di lavoro. Se vuoi rivedere l'organizzazione degli strumenti collegati al tuo sito, confrontiamoci sul perimetro e sulle priorità.
