Consegna password aziendali: fac simile comunicazione PDF
La lettera di consegna password ai dipendenti si utilizza ogni volta che l’azienda deve comunicare formalmente l'assegnazione delle credenziali di accesso a sistemi informatici, garantendo tracciabilità e responsabilità.
Quando un'azienda deve rilasciare le password?
La gestione delle password aziendali non è solo una questione tecnica, ma un pilastro della sicurezza informatica e della protezione dei dati (Privacy) che coinvolge responsabilità legali sia per il datore di lavoro che per il dipendente.
L'assegnazione delle credenziali di accesso può avvenire in momenti diversi della vita lavorativa:
- nuova assunzione. In questa fase ogni nuovo lavoratore deve ricevere accessi personali e unici per poter operare in sicurezza;
- cambio di ruolo. Se un dipendente cambia mansione, i suoi permessi devono essere aggiornati per riflettere le nuove necessità, così da consentirgli l'accesso solo a ciò che è strettamente necessario;
- assegnazione di nuovi strumenti. Quando vengono forniti nuovi dispositivi o software (es. un'app specifica o un nuovo servizio cloud);
- reset o modifica di vecchie credenziali. Questa situazione si verifica in caso di smarrimento password, reset per sicurezza, aggiornamento periodico dei sistemi informativi, ecc.
Gli account devono essere sempre personali e mai condivisi. La condivisione deve essere l'eccezione e, se inevitabile, deve essere gestita tramite strumenti sicuri come i gestori di password aziendali (Password Manager).
Quali accortezze per l'azienda
L'azienda ha il dovere di tutelare il proprio patrimonio informativo e rispettare la normativa GDPR. Nello specifico:
- non deve inviare le password via email o messaggi non protetti. La prassi suggerita è la consegna tramite busta chiusa e sigillata o altri metodi che ne garantiscano la segretezza;
- deve far firmare al dipendente un disciplinare informatico che spieghi come utilizzare correttamente gli strumenti e le sanzioni previste in caso di violazione (ecco un fac simile di disciplinare utilizzo strumenti informatici);
- deve disciplinare la gestione dell'uscita del dipendente. Quando un rapporto di lavoro termina, gli account devono essere disattivati tempestivamente (entro 30 giorni) e le password dei servizi condivisi a cui il dipendente aveva accesso devono essere resettate.
- deve istruire il personale sui rischi della cybersicurezza.
Quali accortezze per i dipendenti
Il dipendente è responsabile del proprio account e deve adottare comportamenti prudenti. Nello specifico:
- deve al primo accesso modificare la password fornita inizialmente dall'amministratore di sistema;
- scegliere una password lunga (ad es. 8 o 12 caratteri), che includa maiuscole, minuscole, numeri e simboli (es. @, #, %), evitando nomi o date di nascita facilmente riconducibili alla persona;
- deve mantenere la segretezza della password, non riportandola su post-it, agende o file non protetti;
- aggiornare periodicamente la password (solitamente ogni 6 mesi, o ogni 3 se si trattano dati molto sensibili).
Cosa succede in caso di utilizzo password non autorizzato?
Se una password finisce nelle mani sbagliate (terzi non autorizzati), si può configurare una responsabilità del dipendente. Se l'accesso avviene per negligenza del lavoratore (es. password lasciata sul monitor), egli ne è direttamente responsabile. In caso di sospetto, deve avvisare immediatamente l'amministratore di sistema e il Responsabile Privacy.
Chiaramente un accesso non autorizzato può causare una violazione dei dati (Data Breach), con conseguente perdita di informazioni strategiche e pesanti sanzioni da parte del Garante della Privacy.
Il Garante può infliggere sanzioni pecuniarie elevate (anche nell'ordine di decine di migliaia di euro) se l'azienda non ha adottato misure di sicurezza adeguate o non ha risposto correttamente alle richieste degli interessati.
Lettera consegna password a dipendenti: esempio
Gentile
_______
_______
Oggetto: Consegna credenziali di autenticazione e disciplinare per l’utilizzo degli strumenti informatici
Gentile ________ (nome dipendente),
con la presente Le vengono consegnate le credenziali per l’accesso alle risorse informatiche aziendali relative alla Sua postazione di lavoro.
Dati di Accesso (provvisori):
- Username (o Codice Utente): ____________
- Password Temporanea: ______________
- Sistema/i di accesso: ______________________ (es. posta elettronica aziendale, gestionale, VPN, piattaforme cloud, sistema contabile, ecc.)
Istruzioni e Obblighi:
- Cambio Password - Lei è tenuto a modificare la password sopra indicata al momento del primo accesso.
- Segretezza - Le credenziali sono strettamente personali e non cedibili a terzi, inclusi i Suoi superiori o colleghi.
- Custodia - È vietato trascrivere le password su supporti fisici (es. post-it) o digitali non protetti.
- Sicurezza - La nuova password dovrà essere composta da almeno 12 caratteri, includendo numeri e caratteri speciali, evitando riferimenti alla Sua persona.
- Responsabilità - Lei è responsabile di ogni operazione compiuta tramite il Suo account. In caso di smarrimento o sospetto uso illecito, è obbligatorio darne immediata comunicazione all'Amministratore di Sistema.
Si ricorda che l'utilizzo degli strumenti informatici deve avvenire nel rispetto del Disciplinare Interno che Le viene consegnato in allegato alla presente.
DICHIARAZIONE DI PRESA IN CARICO
Il/La sottoscritto/a ______, in forza presso l’azienda con la mansione di _________, dichiara di aver ricevuto le suddette credenziali e di impegnarsi a rispettare tutte le disposizioni aziendali in materia di sicurezza informatica e protezione dei dati.
Data: _________
Firma del Dipendente: _____________
Firma per l’Azienda: ________________
Foto
Pixabay
