Ho una situazione in cui il mio datore di lavoro ha un contratto di assistenza con un venditore per un'applicazione che utilizziamo. Questa applicazione viene eseguita su un server (Windows 2008 R2) che non memorizza o non ha accesso a informazioni che considero confidenziali o che richiedono una protezione rigorosa come carta di credito, informazioni personali o record relativi alla salute. Questo fornitore ha personale di supporto che supporta centinaia di clienti con questo tipo di sistema.
La domanda si riferisce a se forzare o meno ogni contatto di supporto del fornitore ad avere le proprie credenziali per accedere a questo sistema tramite VPN e RDP, o per consentire loro di condividere un singolo account di supporto generico del fornitore. Finora abbiamo creato account utente individuali per due dei loro contatti di supporto.
Il fornitore richiede un account generico condiviso per l'accesso VPN e desktop remoto invece dei singoli account per facilitare il supporto rapido. Il nostro reparto di sicurezza IT non è comprensibilmente soddisfatto dal fatto che rende difficile l'accesso e le azioni di auditing se non possiamo legarlo a una persona specifica. D'altra parte, posso vedere il punto di vista del venditore dove hanno centinaia di clienti e molte persone diverse che supportano. Se ciascun collaboratore di supporto ha bisogno di un account sul sistema di ogni cliente è un enorme problema di gestione delle credenziali per loro.
Sono inoltre in grado di vedere le situazioni in cui il supporto remoto verrà ritardato con inevitabili scadenze della password, blocchi degli account e così via perché uno specifico addetto all'assistenza fornitori accede solo raramente ai sistemi.
Ci sono le migliori pratiche per affrontare questo tipo di situazione?
La risposta cambia se altri sistemi dell'azienda, non correlati a questo particolare sistema, contengono dati che devono essere mantenuti altamente sicuri?