Sicurezza nell’offboarding dei dipendenti

Quando un dipendente lascia la tua azienda—volontariamente o involontariamente—è un punto di massima vulnerabilità. Infatti, la ricerca mostra che oltre il 20% delle violazioni dei dati coinvolge un insider, spesso un ex dipendente insoddisfatto che ha mantenuto l'accesso che avrebbe dovuto perdere.

Come specialista di cybersecurity che ha condotto innumerevoli indagini forensi, ho visto il danno che un singolo account "admin" dimenticato può causare. Un ex responsabile IT accede tre mesi dopo per "controllare qualcosa", o un rappresentante di vendita scarica l'intero database clienti prima del suo ultimo giorno.

Questa Checklist di Sicurezza per l'Offboarding dei Dipendenti è progettata per chiudere tali lacune. Colma il divario tra HR e IT per garantire che quando un dipendente esce dalla porta, i tuoi dati rimangano dentro.

Le Azioni Critiche del "Giorno Zero"

Questi passaggi devono avvenire immediatamente al momento del licenziamento o dell'accettazione delle dimissioni.

1. Il "Kill Switch" (Gestione Identità e Accessi)

Disabilita Single Sign-On (SSO): Se usi Okta, Azure AD o Google Workspace, sospendi l'utente immediatamente. Questo dovrebbe propagarsi alle app collegate (Slack, Salesforce, Zoom).
Reimposta password Active Directory: Cambia la password e forza il logout della sessione per tutti i dispositivi.
Revoca Accesso VPN: Disabilita il loro certificato o rimuovili dal gruppo utenti VPN per prevenire l'accesso remoto alla rete.

2. Contenimento del Dispositivo

Cancellazione Remota Dispositivi Mobili: Se usavano un telefono aziendale (o BYOD con MDM), avvia immediatamente una cancellazione dei dati aziendali.
Blocca Laptop Aziendale: Se hai agenti di gestione installati (Intune, Jamf), emetti un comando di blocco remoto.

Sicurezza Fisica e Hardware (Giorno 1-3)

3. Recupero Beni

Raccogli Hardware: Laptop, telefono, chiavi di sicurezza (YubiKey) e badge di accesso all'edificio.
Verifica Accessori: Non dimenticare hard disk esterni o dongle specializzati che potrebbero contenere dati sensibili.

4. Revoca Accesso Fisico

Disattiva Badge/Tessera: Rimuovi il loro numero seriale dal sistema di sicurezza dell'edificio.
Cambia Codici: Se conoscevano codici di allarme condivisi o codici pin della sala server, questi devono essere ruotati.

L'Accesso Digitale "Silenzioso" (Spesso Dimenticato)

Qui è dove il 90% delle aziende fallisce. Gli ex dipendenti spesso mantengono l'accesso ad account "shadow IT" che non erano collegati al SSO.

5. Account Condivisi e Social Media

Cambia Password Condivise: Avevano accesso al Twitter aziendale, LinkedIn o a una casella email support@ condivisa? Ruota quelle password immediatamente.
Chiavi API e Segreti Sviluppatore: Se erano sviluppatori, avevano chiavi API personali o accesso alle credenziali root AWS? Ruota le chiavi critiche. Questa è una backdoor comune.

6. Audit SaaS di Terze Parti

Rivedi Account Indipendenti: Controlla servizi come Canva, Trello o strumenti di marketing specializzati dove potrebbero aver creato un account usando la loro email di lavoro ma impostato una password separata.
Trasferisci Proprietà Dati: Assicurati che i loro file Google Drive / OneDrive siano trasferiti a un manager prima di eliminare l'account.

Il Livello Legale e di Conformità

7. Promemoria Non-Concorrenza e NDA

Colloquio di Uscita: Le HR dovrebbero ricordare formalmente i loro obblighi sulla Proprietà Intellettuale (IP) e gli accordi di riservatezza.
Attestazione Restituzione Dati: Fai firmare loro un documento che attesti che non hanno conservato copie dei dati aziendali su dispositivi personali o cloud storage.

La finestra di preavviso: pianificare T-7, T-1, T-0 e T+7

Un offboarding solido non si costruisce l'ultimo giorno: si costruisce quando arriva la lettera di dimissioni o viene comunicato il licenziamento. Dividere l'intero periodo in quattro punti di controllo rende le revoche operative e riduce gli errori di timing.

T-7: a una settimana dalla data di cessazione

Estrai l'inventario degli accessi: gruppi AD, liste di distribuzione, cartelle condivise e abbonamenti SaaS intestati alla persona. Questo documento è la base delle revoche e del verbale finale.
Trasferisci la proprietà amministrativa: se la persona è l'unico owner di un abbonamento, di un account fornitore o di una pipeline CI, nomina un successore adesso, non a fine contratto.
Metti in coda le credenziali condivise: password di gruppo, pin delle sale riunioni e chiavi degli account fornitori si ruotano al T-0. Anticiparle significa bloccare il lavoro del team per giorni senza alcun vantaggio in sicurezza.

T-1: il giorno precedente

Salva in anticipo i contenuti: e-mail di progetto, proposte, preventivi e note di passaggio vanno trasferiti nella casella del manager o nel drive designato prima della sospensione. Dopo la disattivazione il ripristino può richiedere giorni e un'autorizzazione interna.
Prepara la nota di transizione: definisci chi comunica a clienti, fornitori e colleghi, con quale nuovo punto di contatto. Senza una nota pronta, un fornitore continua a scrivere alla casella "morta" per mesi.
Verifica le dipendenze critiche: la persona non deve restare l'unico legittimo proprietario di account di servizio, attività pianificate o mail relay. Sposta queste dipendenze adesso.

T-0: l'ultimo giorno

Esegui una revoca centralizzata: sospensione SSO, revoca del token MFA e rimozione dai gruppi in un'unica finestra, eseguita da un solo operatore con un verbale. Gli interventi sparsi fatti da amministratori diversi in momenti diversi lasciano finestre di esposizione.
Revoca i token, non solo le password: chiavi SSH, token OAuth di refresh, sessioni persistenti e segreti nei vault sopravvivono al cambio di password. Una rotazione che ignora i token è una revoca solo apparente.
Disattiva l'invio e imposta un'auto-risposta: la sospensione di un account non impedisce sempre l'invio dalla casella associata; blocca la funzione e attiva una risposta automatica con il nuovo riferimento, così chi scrive ottiene subito la rotta giusta.
Archivia l'inventario firmato: attacca al verbale l'elenco degli accessi revocati, con ora e sistema per ciascuno. È la prova che presenterai in caso di contestazione o verifiche successive.

T+1 / T+7: la settimana successiva

Rileggi i diari di autenticazione: tentativi falliti con l'account sospeso, sfide MFA negate, dispositivi non riconosciuti. Sono i segnali più veloci di una credenziale superstite.
Crea un alias di monitoraggio: un indirizzo generico che eredita la posta in arrivo dell'ex casella, così nessun messaggio importante finisce in uno strumento non presidiato.
Verifica la propagazione: controlla che la disconnessione sia arrivata su tutte le app integrate nel SSO; alcuni prodotti mantengono la sessione finché non viene espulsa manualmente dall'amministratore.

Preavviso, CCNL e privacy: le regole italiane che cambiano il piano

L'offboarding in Italia ha un vincolo che altre giurisdizioni non subiscono: il preavviso ex art. 2103 del codice civile, con durata fissata dai CCNL applicabili in base al livello e all'anzianità. Il rapporto resta attivo per settimane o mesi dopo la comunicazione, e questa finestra impone di coordinare IT, HR e legale su un calendario unico.

Licenziamento per giusta causa: qui non c'è alcuna finestra. La revoca degli accessi avviene a volte mentre la persona è ancora nell'edificio: serve una procedura che l'helpdesk sappia eseguire in meno di un'ora, a qualsiasi orario, senza improvvisazioni.
Preavviso in corso: la strategia è la decrescita graduale. Rimuovi subito i privilegi amministrativi, i permessi sui dati più sensibili e gli accessi verso partner esterni; mantieni solo ciò che serve alla fase di passaggio. Se nel frattempo il dipendente fruisce del permesso per ricerca di altra occupazione previsto da molti CCNL, o di ferie residue, aggiorna il calendario con HR: i punti T-7 e T-1 seguono l'inizio del preavviso, mentre il T-0 segue l'ultimo giorno effettivo di presenza.
Privacy (GDPR e art. 88 del Codice Privacy): la rilettura dei log dopo la cessazione è ammessa come misura di sicurezza, purché a fronte di una finalità documentata e con responsabilità chiare (di solito IT insieme a HR o al legale). Si limita ai dati di autenticazione e ai sistemi aziendali coinvolti: non si trasforma in un'ispezione della casella personale.
Revoca anticipata: tagliare ogni accesso dal primo giorno di preavviso, senza motivi di sicurezza concreti, va discussa con HR e legale. Il dipendente in preavviso deve poter continuare a lavorare, e una condotta percepita come ostile complica proprio la fase in cui la collaborazione serve di più.

Colloquio di uscita: raccogliere attestazioni con metodo

Il colloquio di uscita è l'ultimo momento in cui ottieni informazioni direttamente dalla persona: dopo la partenza, contattarla per chiarimenti diventa difficile. Renderlo utile richiede preparazione, non improvvisazione.

Preparati con l'inventario di T-7: HR e IT confrontano la lista degli accessi con le dichiarazioni della persona, cercando lacune su ciò che sta fuori dal SSO.
Fai domande precise, non generiche: "Quali servizi hai usato con la mail di lavoro ma senza SSO?" e "Con quali dispositivi non gestiti hai lavorato da remoto?" producono elenchi concreti; una domanda vaga produce risposte vaghe.
Fai firmare elenchi, non solo attestati: l'attestazione di restituzione dati vale di più se è corredata dagli elenchi firmati dei dispositivi restituiti e degli account comunicati. Un attestato generico è difficile da far valere in caso di contesa.
Conduci in due e stila un verbale: HR più responsabile IT o manager. Le dichiarazioni vengono riportate con data e nome dei presenti; il verbale archiviato insieme all'inventario di accessi.
Se emergono sospetti fondati: copie di dati conservate, cancellazioni inspiegate, contese in corso: riporta i fatti nel verbale senza accusare, informa subito il legale e segui le sue indicazioni sulla conservazione mirata dei log dei sistemi coinvolti. Nessuna indagine fai-da-te al di fuori di un mandato.

Perché questo è importante: Il costo dell'inazione

Recentemente abbiamo gestito un caso in cui uno sviluppatore licenziato ha tenuto le sue chiavi SSH. Due settimane dopo, ha cancellato il database di produzione. Il recupero è costato all'azienda $400.000 in tempi di inattività e forense.

Non affidarti alla fiducia. Affidati al processo.

Hai bisogno di un Audit di Sicurezza?

Se sei preoccupato che ex dipendenti possano ancora avere accesso alla tua rete, o se hai bisogno di aiuto per automatizzare questa checklist, contatta Cyberlord oggi. Possiamo eseguire una Revisione dell'Accesso Utente completa per identificare e chiudere account dormienti prima che diventino minacce interne.

Panoramica

Decisioni chiave, rischi e azioni di implementazione per questo argomento.

Checklist di Sicurezza per l'Offboarding dei Dipendenti: Come prevenire le minacce interne (2026)