Credenziali MSP: 7 modi per proteggere l’accesso ai clienti

Sette pratiche che si basano sull’avviso congiunto di cybersicurezza del 2022 per i fornitori di servizi gestiti (MSP), eliminano la ricerca delle credenziali da molti ticket e Le permettono di mostrare ai clienti chi ha avuto accesso ai loro sistemi.

12 novembre 2026

Steven Lafortune

Conservi le credenziali di ogni cliente in una cassaforte separata, dia ai tecnici accesso solo ai clienti che seguono, inietti le credenziali al momento della connessione invece di condividerle, protegga la cassaforte con l’autenticazione a più fattori (MFA) e consideri i log di accesso per tecnico tra i Suoi log più importanti, conservandoli per almeno sei mesi. In questo modo applica le indicazioni su privilegio minimo e logging dell’avviso congiunto del 2022 per i fornitori di servizi gestiti (MSP) ed elimina le ricerche manuali che erodono il tempo fatturabile.

Perché la gestione delle credenziali è un problema su misura di MSP

Un MSP detiene un accesso amministrativo a molte organizzazioni contemporaneamente. Questo ne fa un bersaglio redditizio: compromettendo un solo fornitore si possono raggiungere tutti i clienti che gestisce. Nel maggio 2022 le agenzie di cybersicurezza di Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda hanno pubblicato un avviso congiunto che metteva in guardia proprio da questa tendenza.

Nella quotidianità di molti MSP la realtà è meno drammatica, ma altrettanto costosa.

Le credenziali sono sparse in troppi posti

L’accesso di un cliente è diviso tra un foglio di calcolo, una pagina wiki, il password manager personale di un tecnico e un vecchio ticket. Nessuno sa con certezza quale copia sia aggiornata, e ogni copia è qualcosa in più da proteggere.

Ogni ricerca è tempo non fatturabile

Trovare i dati della VPN, poi la password, poi digitarli entrambi aggiunge minuti a molti ticket. Moltiplicato per un intero team e per un mese, è tempo che l’MSP paga e non può fatturare.

I tecnici vedono più del necessario

Quando tutti possono aprire tutto, un solo account di tecnico compromesso espone tutti i clienti. Inoltre diventa impossibile dimostrare il privilegio minimo, una raccomandazione chiave per gli MSP.

I clienti chiedono prove

L’avviso invita i clienti ad assicurarsi che gli account del loro MSP siano monitorati e sottoposti ad audit, quindi si aspetti che clienti, revisori e assicuratori cyber Le chiedano quali persone del Suo team hanno avuto accesso ai loro sistemi, e quando. Un foglio di calcolo condiviso non può rispondere.

Sette pratiche per la gestione delle credenziali negli MSP

Dia a ogni cliente la sua cassaforte. Separi connessioni e credenziali di ogni cliente, così da poter concedere, rivedere e revocare l’accesso cliente per cliente.
Conceda l’accesso per cliente e lo aggiorni quando cambiano i ruoli. I tecnici dovrebbero raggiungere solo i clienti che seguono. L’avviso congiunto del 2022 raccomanda di applicare il privilegio minimo in tutto l’ambiente e di aggiornare subito i privilegi quando cambiano i ruoli amministrativi.
Inietti le credenziali invece di condividerle. Quando le connessioni si aprono con la credenziale già inserita, i tecnici non copiano, non incollano e non conservano le password dei clienti.
Tenga i dati di connessione insieme alla credenziale. Salvi i dati di VPN, gateway e host del cliente nella stessa voce, così il tecnico passa dal ticket alla sessione in un solo passaggio.
Protegga la cassaforte con l’MFA. La piattaforma che contiene le credenziali di tutti i clienti non dovrebbe mai essere a una sola password dall’esposizione.
Registri gli accessi per tecnico e conservi i log. Registri chi ha aperto quale voce cliente e quando. L’avviso congiunto raccomanda di conservare i log più importanti per almeno sei mesi; verifichi che il Suo periodo di conservazione rispetti questa soglia.
Monitori le scadenze e gestisca le uscite rapidamente. Riceva una notifica prima che scadano le credenziali dei clienti e altre voci, e revochi l’accesso di un tecnico in uscita da un unico punto nel suo ultimo giorno.

Fogli di calcolo, password manager personali o una piattaforma centrale

Domanda	Foglio di calcolo o wiki	Password manager personale di ogni tecnico	Piattaforma centrale per connessioni e credenziali
Separazione per cliente?	Solo per scheda o pagina	Dipende da ogni persona	Una cassaforte per cliente
Privilegio minimo?	Chi ha il file vede tutto	Nessun controllo centrale	Accesso per cliente, ruolo o gruppo
I tecnici vedono le password?	Sì	Sì	No, grazie all’iniezione delle credenziali
Chi ha avuto accesso ai sistemi di un cliente?	Sconosciuto	Sconosciuto	Audit trail per tecnico
Uscita di un tecnico	Cambiare ogni password che ha visto	Affidarsi a ciascuno perché cancelli le sue copie	Revocare l’accesso una sola volta
Tempo dal ticket alla sessione	Cercare, copiare, incollare	Cercare, compilare automaticamente	Un clic, VPN inclusa

Come Devolutions Remote Desktop Manager (RDM) supporta queste pratiche

Remote Desktop Manager risponde alle sette pratiche descritte sopra (edizione Team con uno spazio di lavoro cloud o self-hosted):

Una cassaforte per cliente in uno spazio di lavoro Devolutions Cloud o Devolutions Server, con autorizzazioni per cassaforte, cartella o voce.
Controllo degli accessi basato sui ruoli, con gruppi di utenti che Devolutions Server può collegare a gruppi di Active Directory o importare da provider di identità come Microsoft Entra ID, Okta o PingOne.
Iniezione delle credenziali all’avvio delle sessioni, in un’unica app che copre RDP, SSH, web e oltre 150 protocolli in totale.
Gestione integrata delle VPN Microsoft, Cisco, SonicWall e IPsec.
MFA con Duo, YubiKey o qualsiasi app TOTP.
Un audit trail, l’audit dell’uso delle password e l’esportazione dei report in CSV, oltre a notifiche per le voci scadute e in scadenza.

Vuole vedere come RDM gestisce un tipico ticket di un cliente, dall’apertura alla connessione? Prenoti una demo dal vivo, scarichi RDM o consulti i prezzi.

Domande frequenti

Come dovrebbe un MSP conservare le password dei clienti?

Un MSP dovrebbe conservare le password dei clienti in una piattaforma centrale e crittografata, con una cassaforte separata per ogni cliente, accesso concesso solo ai tecnici che seguono quel cliente, MFA sulla piattaforma e un audit trail per tecnico. Fogli di calcolo, wiki e password manager personali non possono applicare né dimostrare tutto questo in modo affidabile.

Che cosa raccomanda agli MSP l’avviso congiunto del 2022?

L’avviso congiunto AA22-131A, pubblicato nel maggio 2022 dalle agenzie di cybersicurezza di Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda, raccomanda agli MSP di imporre l’MFA, applicare il privilegio minimo e aggiornare i privilegi quando cambiano i ruoli, migliorare monitoraggio e logging, segmentare le reti e definire le responsabilità di sicurezza nei contratti con i clienti.

Come possono i tecnici accedere ai sistemi dei clienti senza vedere le password?

Con l’iniezione delle credenziali. Uno strumento come RDM inserisce la credenziale del cliente all’apertura della connessione, così il tecnico lavora sul sistema senza vedere, copiare o conservare la password.

Per quanto tempo un MSP dovrebbe conservare i log di accesso?

L’avviso congiunto del 2022 raccomanda di conservare i log più importanti per almeno sei mesi. Contratti con i clienti, norme di settore o polizze cyber possono richiedere periodi più lunghi, quindi verifichi anche questi.

Che cosa dovrebbe fare un MSP quando un tecnico se ne va?

Revochi l’accesso del tecnico a tutte le casseforti dei clienti da un unico punto nel suo ultimo giorno. Se poteva vedere direttamente le password, cambi anche le credenziali più sensibili dei clienti. Con l’iniezione delle credenziali, le password a cui è stato esposto sono molte meno.