Registro di audit e accessi del supporto: chi, cosa, quando

Immaginate Marta, office manager in un'azienda di 250 persone con due piani e un parcheggio. Martedì, ore 9:50. Tre persone le scrivono nel giro di dieci minuti: le loro prenotazioni di scrivania sono state rilasciate per mancata presenza, anche se sono arrivate alle 9:40 come ogni settimana. Qualcosa è cambiato, e nessuno ricorda di averlo cambiato. Nell'organizzazione ci sono quattro amministratori, più un'integrazione che sincronizza gli utenti dalla directory aziendale. La domanda è semplice: chi ha cambiato cosa, e quando?

Una settimana dopo il suo responsabile della protezione dei dati (DPO) pone un'altra domanda per la revisione annuale dei fornitori: "Quest'anno il fornitore del software ha avuto accesso ai nostri dati, e se sì, quando?" A domande del genere spesso si risponde con un documento di policy. Marta vorrebbe rispondere con un elenco.

Questo articolo mostra come il registro di audit di Desk & Park risponde a entrambe le domande, passo dopo passo, e che cosa non fa.

Passo 1: aprire il registro di audit e trovare la modifica

Gli amministratori trovano il registro in Registro di audit. In alto ci sono tre contatori: eventi nelle ultime 24 ore, avvisi ed eventi critici. Sotto c'è una tabella con le voci più recenti, dalla più nuova, con queste colonne:

• Data e ora: quando è successo.
• Gravità: Info, Avviso o Critico.
• Autore: l'indirizzo e-mail di chi ha effettuato la modifica, con il suo ruolo sotto, oppure "system" per le azioni automatiche.
• Azione e Risorsa: che cosa è stato fatto e su quale tipo di oggetto.
• Dettagli: i valori coinvolti, per esempio role: MEMBER → ADMIN per un cambio di ruolo.
• Indirizzo IP: da dove proveniva la richiesta.

Marta digita "policy" nella casella di ricerca ("Cerca per autore, azione o dettagli..."). La voce c'è: ieri alle 17:12 uno degli amministratori ha modificato la policy di prenotazione e accorciato il termine per il check-in. La voce registra i valori prima e dopo la modifica, quindi la conversazione che segue riguarda se il nuovo termine abbia senso, non chi l'abbia cambiato. (Se state regolando quel termine, il nostro articolo su prenotazioni fantasma e rilascio automatico spiega il compromesso.)

Che cosa viene registrato

Il registro copre le modifiche che un amministratore potrebbe mai aver bisogno di ricostruire: utenti e ruoli, prenotazioni, spazi e mappe, sedi, la policy di prenotazione, integrazioni, impostazioni di single sign-on e SCIM, sincronizzazione dei calendari, visitatori, dispositivi kiosk e backup. Compaiono anche le modifiche effettuate automaticamente dal provisioning SCIM, così "la directory ha disattivato questa persona" si distingue da "l'ha fatto un amministratore".

Ogni voce memorizza l'autore e il suo ruolo, l'azione e l'oggetto interessato, l'esito, i valori prima e dopo, l'indirizzo IP e lo user agent del browser.

Il filtro per gravità

Cambi di ruolo, disattivazioni ed eliminazioni sono contrassegnati come Avviso. Le azioni non riuscite sono Critico. Filtrare per gravità è la revisione settimanale più rapida: impostate il filtro su Avviso, scorrete chi è stato promosso o disattivato, fatto.

Passo 2: il registro di sicurezza, nella stessa tabella

Le modifiche ai contenuti sono solo metà del quadro. La stessa tabella mostra anche il registro di sicurezza: accessi riusciti e falliti, blocchi dopo ripetuti fallimenti, codici a due fattori richiesti e falliti, due fattori attivati o disattivati, reimpostazioni e modifiche della password, e riutilizzo di un token di sessione revocato. Un accesso fallito, un blocco o un token riutilizzato compaiono come Critico; la disattivazione dei due fattori compare come Avviso.

Per Marta questo significa un unico posto in cui guardare. Se un account è stato bloccato alle 7:00 e il suo ruolo è cambiato alle 7:05, le due righe stanno una accanto all'altra.

Passo 3: rispondere al DPO, l'accesso del supporto è registrato nel vostro registro

Ora la seconda domanda. Quando l'operatore della piattaforma, il team che gestisce Desk & Park, apre la vista di supporto della vostra organizzazione per gestire un ticket, il sistema scrive una voce nel registro di audit della vostra organizzazione. Compare come TENANT SUPPORT ACCESS, con l'indirizzo e-mail dell'operatore, l'ora e l'indirizzo IP.

Così Marta digita "support" nella casella di ricerca e ottiene la risposta sotto forma di elenco: quando qualcuno dal lato del fornitore ha aperto i dati dell'organizzazione, e chi era. È la differenza tra "abbiamo una policy" ed "ecco la registrazione". La voce finisce nel vostro registro, non in un registro che solo il fornitore può leggere. Poiché la pagina mostra le voci più recenti, Marta fa di questo controllo un'abitudine mensile e conserva l'esportazione, invece di aspettare la revisione annuale.

Dove si trova il registro e per quanto tempo resta

Ogni organizzazione in Desk & Park ha il proprio database PostgreSQL, con il proprio ruolo di accesso al database, e il registro di audit è conservato lì, insieme a utenti, mappe e prenotazioni. Spieghiamo perché questa architettura conta in perché i dati del vostro ufficio meritano un database isolato. Il registro di sicurezza è conservato dal servizio di accesso della piattaforma e vi viene mostrato filtrato sulla vostra organizzazione.

Le voci di audit e di sicurezza sono conservate per 365 giorni per impostazione predefinita e poi eliminate automaticamente, in linea con i periodi di conservazione previsti dall'informativa sulla privacy. Attorno al registro ci sono gli altri controlli che un amministratore ha sui dati dell'organizzazione:

• Backup notturni cifrati del database dell'organizzazione, che l'amministratore dell'organizzazione può disattivare.
• Un'esportazione JSON dei dati dell'organizzazione, per gli amministratori.
• Una richiesta di cancellazione per l'intera organizzazione.

Le condizioni sul trattamento dei dati sono nel DPA.

Consigli pratici

• Date a ciascuno il proprio account amministratore. Un login condiviso "admin@" rende inutile la colonna Autore. Una persona, un account.
• Fate una revisione settimanale di cinque minuti. Filtrate per Avviso, poi per Critico. Cercate cambi di ruolo inattesi e accessi falliti ripetuti.
• Conservate una copia se vi serve uno storico più lungo. Il pulsante Esporta CSV scarica le voci attualmente caricate nella pagina, cioè le più recenti. Se i vostri auditor vogliono più di un anno, esportate a intervalli regolari e archiviate i file con gli altri documenti di conformità.
• Aggiungete l'accesso del supporto alla revisione dei fornitori. Una volta al mese cercate "support", esportate il risultato e archiviatelo per la revisione annuale. Ci vuole un minuto.
• Abbinate il registro a un accesso robusto per gli amministratori. Il registro vi dice che cosa è successo; i due fattori su ogni account amministratore rendono meno probabile che succeda qualcosa di grave. Vedi SSO, passkey e accesso a due fattori.

Ambito: che cosa non fa

La pagina di amministrazione mostra le voci più recenti e offre su di esse una ricerca a testo libero e un filtro per gravità, non un filtro per intervallo di date. L'esportazione CSV copre le voci caricate nella pagina, non l'intero anno. Non c'è lo streaming degli eventi di audit verso un SIEM. Le voci più vecchie del periodo di conservazione vengono eliminate, quindi l'archiviazione a lungo termine è affidata alla vostra esportazione, non al prodotto. E l'isolamento descritto sopra è un database separato per organizzazione, non hardware separato.

FAQ

Chi può vedere il registro di audit?

Gli amministratori dell'organizzazione. La pagina mostra in un'unica tabella le modifiche ai contenuti (utenti, ruoli, prenotazioni, mappe, policy, integrazioni) e il registro di sicurezza (accessi, fallimenti, blocchi, eventi relativi a due fattori e password).

Possiamo vedere quando il team di supporto del fornitore ha avuto accesso ai nostri dati?

Sì. Quando l'operatore della piattaforma apre la vista di supporto della vostra organizzazione, nel vostro registro di audit viene scritta una voce TENANT SUPPORT ACCESS con l'e-mail dell'operatore, l'ora e l'indirizzo IP. Cercate "support" per elencare quelle recenti, ed esportatele regolarmente se volete una registrazione dell'intero anno.

Per quanto tempo vengono conservate le voci di audit?

365 giorni per impostazione predefinita; le voci più vecchie vengono eliminate automaticamente. Se vi serve uno storico più lungo, esportate regolarmente il registro in CSV e conservate voi i file.

Possiamo filtrare il registro di audit per data?

Non nella pagina di amministrazione. Potete cercare tra le voci più recenti per autore, azione o dettagli, filtrarle per gravità ed esportarle in CSV per analizzarle in un foglio di calcolo.

Il registro di audit è conservato separatamente da quello degli altri clienti?

Sì. Il registro di audit di ogni organizzazione è conservato nel database PostgreSQL proprio di quell'organizzazione, insieme ai suoi utenti, mappe e prenotazioni.