Quando un processo viene automatizzato, un programma ottiene l’accesso a dati e sistemi che prima erano maneggiati da persone: gestionale, e-commerce, posta, archivi. Questo accesso deve essere progettato con le stesse cautele riservate alle persone, e in alcuni casi con cautele maggiori, perché un’automazione può ripetere un errore centinaia di volte prima che qualcuno se ne accorga.

Permessi minimi

Ogni automazione dovrebbe avere solo i permessi necessari per il suo compito. Se deve leggere gli ordini, non deve poterli cancellare; se deve creare contatti nel CRM, non deve accedere alla contabilità. Molte piattaforme permettono di creare utenze o chiavi con permessi limitati: è una protezione semplice ed efficace.

Gestione delle credenziali

  • Le chiavi di accesso non vanno scritte nei file di codice o nei documenti condivisi.
  • Vanno conservate in sistemi dedicati alla gestione dei segreti o, almeno, in posizioni protette.
  • Vanno sostituite quando una persona lascia l’azienda o in caso di sospetto.
  • Ogni automazione dovrebbe avere credenziali proprie, così da poterle revocare singolarmente.

Registri e avvisi

Un’automazione deve lasciare traccia di ciò che fa: quando è partita, quali operazioni ha eseguito, quali errori ha incontrato. Questi registri sono indispensabili per capire cosa è successo in caso di problema. Gli errori devono generare avvisi a una persona responsabile, non restare nascosti in un file che nessuno legge.

Prova prima di agire

Per le operazioni che modificano molti dati, come aggiornamenti di prezzi o cancellazioni, conviene una modalità di prova che mostri cosa verrebbe fatto, prima di eseguirlo davvero.

Backup

Prima di attivare un’automazione che modifica dati importanti bisogna essere sicuri di poter tornare indietro. Backup regolari dei sistemi coinvolti, verificati con prove di ripristino, sono la rete di sicurezza contro errori di programmazione, dati in ingresso sbagliati o comportamenti imprevisti.

Protezione dei dati personali

Le automazioni che trattano dati personali rientrano nelle misure di sicurezza richieste dal GDPR e dalla legge svizzera sulla protezione dei dati. Vanno documentate: quali dati trattano, dove li trasferiscono, con quali fornitori. Il principio di minimizzazione vale anche qui: un’automazione non dovrebbe copiare dati che non le servono.

Un piano per quando qualcosa va storto

  1. Chi viene avvisato e come.
  2. Come si sospende l’automazione rapidamente.
  3. Come si individuano e correggono i dati coinvolti.
  4. Come si comunica con eventuali clienti interessati.
  5. Cosa si cambia per evitare che succeda di nuovo.

Domande frequenti

Le automazioni aumentano i rischi informatici?

Possono aumentarli se progettate male. Con permessi minimi, credenziali protette e controlli, il rischio resta contenuto.

Chi è responsabile di un’automazione?

Va indicato un responsabile interno, anche se la soluzione è stata realizzata da un fornitore esterno.

Ogni quanto rivedere la sicurezza?

Almeno una volta all’anno e ogni volta che cambiano sistemi, persone o fornitori coinvolti.

Ogni automazione realizzata con CMXD SmartFlow viene progettata con permessi limitati, registri degli errori e avvisi. Per una verifica delle automazioni che già usi, contattaci.