Quando una persona lascia l’azienda, rimuovere accessi ex dipendenti non è una formalità da rimandare a fine giornata. È un passaggio operativo che protegge dati, posta elettronica, clienti, documenti, software gestionali e continuità del lavoro. Un account ancora attivo può diventare una porta aperta, anche quando l’ex collaboratore è corretto e il rapporto si è chiuso senza problemi.
Nelle PMI il rischio nasce spesso dalla semplicità apparente della situazione: si disattiva la casella email, si ritira il computer e si pensa di aver concluso. Ma le credenziali possono essere presenti in molti altri punti: servizi cloud, VPN, cartelle condivise, smartphone, software contabili, piattaforme di fatturazione, social aziendali, strumenti di assistenza e account creati direttamente dal dipendente nel tempo.
La soluzione non è complicare l’uscita del personale. Serve una procedura chiara, assegnata a qualcuno e ripetibile ogni volta. Così l’azienda evita sia i buchi di sicurezza sia il rischio opposto: cancellare in fretta un accesso che serve ancora per recuperare documenti, gestire una pratica o garantire un passaggio di consegne ordinato.
Perché gli accessi residui sono un rischio reale
Un account non chiuso non equivale sempre a un incidente, ma aumenta inutilmente la superficie esposta dell’azienda. Se una password è stata riutilizzata, compromessa da phishing o memorizzata su un dispositivo personale, chi la possiede può entrare in strumenti che contengono informazioni riservate. A volte basta una casella email attiva per reimpostare altre password e raggiungere sistemi più critici.
C’è poi un tema di continuità operativa. L’ex dipendente può essere l’unico proprietario di una cartella cloud, di un calendario condiviso, di un account per le videoconferenze o di una licenza software. Disattivare tutto senza verifiche può bloccare il reparto; non intervenire può invece lasciare l’azienda dipendente da un utente che non fa più parte dell’organizzazione.
Dal punto di vista della protezione dei dati, mantenere permessi non necessari contrasta con un principio semplice: ogni persona dovrebbe accedere solo alle informazioni utili al proprio ruolo e solo per il tempo necessario. Questo vale per dipendenti, collaboratori, consulenti esterni e stagisti.
La procedura per rimuovere accessi ex dipendenti
La gestione migliore comincia prima dell’ultimo giorno di lavoro. Risorse umane, amministrazione, responsabile diretto e referente IT devono sapere con un minimo di anticipo quando termina il rapporto e quali attività devono essere trasferite. Non occorre creare passaggi burocratici pesanti: è sufficiente una checklist condivisa, adattata agli strumenti realmente usati in azienda.
1. Mappare account, dispositivi e responsabilità
Prima di disattivare l’utente, verificate quali sistemi utilizza e quali risorse gestisce. La domanda non è solo “quale email possiede?”, ma anche “di cosa è proprietario?”. Occorre individuare cartelle, documenti, caselle condivise, contatti, licenze, password aziendali, dispositivi mobili e eventuali account registrati con l’indirizzo personale.
Questa fase richiede attenzione nei ruoli commerciali, amministrativi e tecnici. Un commerciale può avere conversazioni con clienti e preventivi nella posta; un amministrativo può ricevere documenti fiscali; un tecnico può disporre di credenziali privilegiate per server, firewall, backup o servizi cloud. Non tutti gli accessi hanno lo stesso impatto e non tutti vanno gestiti nello stesso momento.
2. Mettere in sicurezza gli accessi più sensibili
In caso di uscita programmata, la disattivazione può avvenire al termine dell’ultimo giorno. Se la cessazione è immediata o il rapporto è conflittuale, gli accessi critici vanno sospesi contestualmente alla comunicazione, senza attendere il recupero fisico del PC.
Tra le priorità rientrano posta elettronica, VPN, accessi remoti, gestionali, account amministrativi, strumenti finanziari e pannelli di controllo di dominio, hosting o telefonia. Se l’utente conosce password condivise, queste devono essere cambiate. Idealmente, le password condivise non dovrebbero esistere: ogni persona dovrebbe avere credenziali nominative, con autorizzazioni coerenti al ruolo.
L’autenticazione a più fattori aiuta molto, ma non sostituisce la disattivazione dell’account. Se il codice di verifica arriva su un telefono personale, va revocata anche quell’associazione. Lo stesso vale per sessioni già aperte su browser, app mobili e computer non gestiti dall’azienda.
3. Conservare ciò che serve, senza lasciare accessi aperti
Chiudere un account non significa perdere automaticamente le informazioni contenute. Prima della rimozione occorre trasferire la proprietà di file, cartelle, calendari e altri contenuti a un responsabile interno. Per la posta elettronica, può essere utile impostare una risposta automatica temporanea con un nuovo contatto di riferimento, evitando di inoltrare indiscriminatamente tutte le email a un’altra persona.
L’inoltro completo e permanente della casella di un ex dipendente merita prudenza. Può creare problemi di riservatezza, confondere i clienti e far arrivare all’azienda comunicazioni che non dovrebbe trattare. La scelta dipende dal ruolo, dal tipo di corrispondenza e dalle regole interne. In molti casi è preferibile una gestione limitata nel tempo, documentata e affidata a persone autorizzate.
Anche il computer deve essere controllato prima di essere riassegnato. Vanno recuperati i dati aziendali, verificati i programmi installati, rimossi gli account personali e applicate le procedure previste dall’azienda per la cancellazione o la reimpostazione del dispositivo. Un notebook riconsegnato non è automaticamente sicuro: potrebbe contenere file sincronizzati, sessioni attive o credenziali salvate nel browser.
4. Revocare licenze, deleghe e strumenti meno visibili
Gli accessi dimenticati spesso non sono quelli principali. Sono le piattaforme attivate per esigenze specifiche: firma elettronica, invio newsletter, CRM, portali fornitori, sistemi di ticketing, strumenti di progettazione, app per note spese, social media, servizi di archiviazione o applicazioni SaaS acquistate con carta aziendale.
Una lista aggiornata delle applicazioni utilizzate rende questa verifica più rapida. Se l’azienda non sa quali servizi possiede, non può sapere con certezza chi vi accede. Per questo conviene centralizzare la gestione delle licenze e usare account aziendali, non indirizzi email personali, per le registrazioni importanti.
Controllate inoltre deleghe, procure digitali, autorizzazioni di pagamento e ruoli di amministrazione. In molti strumenti l’utente non è solo un utilizzatore, ma può creare altri account, modificare configurazioni o esportare dati. Revocare il solo accesso standard non è sufficiente se restano privilegi elevati.
Gli errori che creano più problemi
Il primo errore è agire solo sulla posta elettronica. La mail è centrale, ma rappresenta una parte dell’ecosistema digitale aziendale. Il secondo è cancellare subito tutto senza un passaggio di consegne. Questo può interrompere servizi, far sparire documenti condivisi o lasciare senza risposta clienti e fornitori.
Un altro errore frequente è affidarsi alla memoria di una sola persona. Se il titolare o un dipendente storico conosce “quasi tutti” gli accessi, la procedura resta fragile. Le informazioni devono essere documentate, aggiornate e consultabili solo da chi ne ha effettivamente bisogno.
Infine, non va sottovalutato il momento della verifica. Dopo la disattivazione, controllate i registri di accesso disponibili, le sessioni attive e le notifiche di sicurezza. Se emergono tentativi anomali, password riutilizzate o dispositivi sconosciuti, intervenite subito. Una procedura di offboarding efficace non termina con un clic su “elimina utente”.
Rendere l’offboarding una pratica ordinaria
Le aziende più tranquille non gestiscono ogni uscita come un’emergenza. Definiscono ruoli, tempi e responsabilità: chi comunica la cessazione, chi recupera i dispositivi, chi trasferisce i dati, chi revoca gli accessi e chi conferma che il processo è completato. La checklist va poi rivista quando cambiano gli strumenti o l’organizzazione interna.
Per molte PMI, il supporto di un referente IT esterno è utile proprio qui: non per aggiungere complessità, ma per sapere con precisione quali account, dispositivi e privilegi esistono. Helpwebnet può affiancare l’azienda nella gestione ordinata degli utenti e nel controllo degli accessi, riducendo le attività lasciate alla memoria o svolte in urgenza.
Una buona uscita del personale protegge l’azienda e rispetta chi se ne va. Quando accessi, dati e consegne vengono gestiti con ordine, il lavoro continua senza tensioni inutili e la sicurezza smette di dipendere dall’improvvisazione.