Una mattina, qualche anno fa, ero a Shanghai. Stavo sistemando le macerie di una vicenda spiacevole: un IT manager cinese che era stato assunto pochi mesi prima e che aveva avuto il tempo di cambiare tutte le password, lasciare porte aperte sul firewall, cancellare i backup, e tentare di esfiltrare brevetti dei clienti più importanti prima di essere arrestato. Quella mattina mi ha posto una domanda sul monitoraggio file server che sembrava banale. Luk Wing Hay, AD di Horizons Corporate Advisory, mi ha guardato negli occhi e mi ha detto una sola frase: “Davide, io voglio sapere chi ha aperto, chi ha copiato, chi ha spostato, chi ha modificato un file. Per ogni file delle cartelle condivise del file server. Sempre.” Sembra una richiesta semplice. Non lo è. È il salto di livello tra controllo degli accessi e sorveglianza vera degli accessi.
Permessi e monitoraggio file server: due livelli diversi
Quando si parla di sicurezza dei file aziendali, la maggior parte delle aziende si ferma a un solo livello: i permessi. Chi può leggere quale cartella, chi può modificare quale file, chi può eliminare cosa. È la base, ed è essenzialmente quello che fanno le aziende che hanno “messo a posto i permessi NTFS (New Technology File System)” o “configurato bene Active Directory”. Bene, ma c’è un limite invisibile in questa logica.
I permessi rispondono solo alla domanda chi può fare cosa?. Non rispondono mai alla domanda chi ha fatto cosa?. E nel caso di Luk, dopo aver scoperto che un dipendente con permessi assolutamente legittimi aveva passato mesi a guardare i file dei clienti più sensibili, preparandosi a portarli fuori, la seconda domanda era diventata l’unica che contava davvero.
I permessi sono cancelli. Il monitoraggio file server è il libro mastro che registra ogni passaggio attraverso quei cancelli, anche di chi ha la chiave legittima.
Cosa fa davvero un sistema di monitoraggio file server
Per la situazione di Luk ho implementato Netwrix Auditor con il modulo File Server. Il principio è semplice da raccontare e ha conseguenze importanti: ogni evento che accade sul file server (apertura, lettura, scrittura, copia, spostamento, modifica, cancellazione, ridenominazione, cambio di permesso) viene registrato in un log centralizzato. Insieme all’evento, il sistema annota chi l’ha fatto, da quale workstation, a che ora, con quale account, da quale indirizzo IP.
Concretamente, qualche settimana dopo l’installazione, Luk mi ha chiamato chiedendo “chi ha aperto la cartella dei progetti del cliente XY ieri pomeriggio?”. La risposta è arrivata in pochi secondi: un nome, un cognome, una workstation, un timestamp. Non “presumibilmente questa persona perché ha i permessi”. Esattamente questa persona, in questo momento preciso, da quella workstation.
Sono tre le cose che il monitoraggio file server fa, e che i permessi da soli non possono fare.
Detection di pattern anomali. Se un dipendente che di solito apre 10 file al giorno comincia ad aprirne 5.000 in due ore, il sistema lo segnala. Se qualcuno accede a documenti che non aveva mai toccato in tre anni di lavoro, il sistema lo segnala. Sono i segnali esatti che precedono un’esfiltrazione, gli stessi che i permessi, da soli, non possono distinguere.
Ricostruzione forense. Se domani sospetti che qualcosa sia stato copiato fuori, hai il log. Puoi tornare indietro nel tempo e vedere chi ha toccato cosa nelle settimane precedenti. Senza l’audit, hai solo intuizioni, e le intuizioni in un’aula di tribunale, o anche in una semplice contestazione disciplinare, valgono zero.
Compliance e responsabilità. Per chi tratta dati riservati per contratto, cosa che riguarda quasi tutte le PMI manifatturiere che lavorano con brevetti, fornitori internazionali, certificazioni di settore, poter dimostrare l’esistenza di un audit log completo non è un dettaglio. È spesso una clausola contrattuale, ed è la prima cosa che chiede un perito quando qualcosa va storto.
La lezione
Quel libro mastro a Shanghai non ha mai fermato un attacco. Non era il suo lavoro. Il suo lavoro era raccontare con precisione quello che era successo, mentre stava succedendo, e prima che diventasse un disastro. Per un’azienda che tratta dati sensibili, è la differenza tra subire un incidente nel buio e poterlo affrontare con i fatti in mano.
Per Luk, ad anni di distanza, quel monitoraggio file server è ancora lì. Non perché nel frattempo siano arrivati altri IT manager con cattive intenzioni, ma perché la stessa lucidità che lo ha portato a chiederlo quella mattina vale per ogni azienda che tratta progetti, brevetti, contratti, listini. La differenza tra chi sa solo “chi può” e chi sa anche “chi ha” è enorme. La maggior parte delle PMI italiane vive ancora nella prima metà.
Se anche tu gestisci un file server con dati sensibili e ti rendi conto che i tuoi permessi rispondono alla domanda sbagliata, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Analizzare chi accede davvero ai vostri file aziendali
✅ Attivare un registro degli accessi consultabile e conservato
✅ Rivedere i permessi sulle cartelle critiche
Contattaci e parliamone insieme
