Amministratore di sistema: il messaggio di Windows e l’obbligo di legge

Pubblicato il 23 gennaio 2016, riscritto integralmente il 22 agosto 2026. I commenti in fondo sono quelli raccolti all’epoca.

«Contattare l’amministratore di sistema.» È il messaggio che Windows mostra quando provi a fare qualcosa che il tuo utente non può fare — e nella maggior parte dei casi chi lo legge non ha la più pallida idea di chi sia questo amministratore, né sospetta che dietro quella frase ci sia una figura prevista dalla legge.

Sono due problemi diversi, uno pratico e uno che riguarda le aziende. Li affronto in quest’ordine.

Il messaggio sul tuo computer

Compare quando installi o rimuovi un programma, modifichi un account, cambi le impostazioni di rete o tocchi qualcosa nelle cartelle di sistema. Significa una cosa sola: l’utente con cui sei entrato non ha i privilegi per farlo.

Se il computer è tuo, la verifica si fa in un minuto: nel Pannello di Controllo, sotto Account utente, si vede se il proprio utente appartiene al gruppo Administrators. Se non ci appartiene, o si usa un altro utente che ci appartiene, o si chiede a chi gestisce la macchina.

La pratica corretta, anche su un computer di casa, è avere due utenti: uno normale per lavorare tutti i giorni, uno con i privilegi di amministrazione da usare solo quando servono davvero, con una password diversa e robusta. Lavorare sempre da amministratore è comodo per dieci secondi al giorno e costoso una volta sola.

In azienda è una figura prevista dalla legge

Qui il discorso cambia del tutto, e la maggior parte delle piccole aziende che incontro non sa che l’obbligo esiste.

L’amministratore di sistema è chi ha accesso privilegiato alle macchine e ai dati: chi gestisce i server, la rete, gli apparati di sicurezza, i database, i sistemi software complessi. Non è una qualifica contrattuale, è un ruolo di fatto — se hai le chiavi di tutto, lo sei, indipendentemente da come sia scritto sul tuo contratto.

Il riferimento è un provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, modificato nel 2009. È vecchio ma è tuttora in vigore: il GDPR non ha definito questa figura, quindi le prescrizioni italiane restano quelle.

Che cosa chiede esattamente il provvedimento

Il caso che trovo praticamente sempre

L’azienda ha affidato l’informatica a un fornitore esterno, che quindi ha accesso a tutto: server, posta, backup, credenziali di amministrazione. Nessuno lo ha mai designato formalmente amministratore di sistema, nessuno ha un elenco delle sue attività, e i registri degli accessi o non esistono o vengono sovrascritti dopo pochi giorni.

Non è cattiva fede di nessuno: semplicemente non se n’è mai occupato nessuno. Ma è il caso in cui la mancanza si sente più forte, per due ragioni che non c’entrano con le sanzioni.

La prima è che quell’accesso è il bersaglio più prezioso che esista. Chi vuole colpire dieci aziende non ne attacca dieci: ne attacca una, quella che le gestisce tutte. È diventato uno degli schemi più frequenti degli ultimi anni, e le credenziali di un fornitore valgono più di qualunque falla tecnica.

La seconda è che senza registri non si capisce cos’è successo. Dopo un incidente la domanda è sempre la stessa: da dove sono entrati, quando, e per quanto tempo sono stati dentro. Se i registri degli accessi privilegiati non esistono, quella risposta non c’è — e senza quella non si sa nemmeno quali dati siano stati toccati, che è esattamente ciò che va dichiarato al Garante entro settantadue ore.

Le cose da fare, in ordine

• Fai l’elenco di chi ha accesso privilegiato, interni ed esterni. È un esercizio che dura mezz’ora e riserva quasi sempre qualche sorpresa: account di fornitori passati, utenze condivise che non si sa più a chi appartengano, accessi remoti attivati anni fa per un intervento e mai più chiusi.
• Designa formalmente ciascuno, con l’ambito di ciò che può fare.
• Verifica che i registri esistano e che siano conservati almeno sei mesi. È anche la misura che serve a te, non solo all’ispezione.
• Elimina le utenze condivise. «La password dell’amministratore la sanno in tre» significa che dopo un incidente non saprai chi ha fatto cosa, e che quando uno dei tre se ne va la password resta sua.
• Metti la verifica in due passaggi su tutti gli accessi privilegiati, a partire da quelli raggiungibili da fuori.
• Segna in calendario la verifica annuale. Se non è in calendario non succede.

Da grandi poteri derivano grandi responsabilità.
Ben Parker

Una ricognizione fatta bene, tra l’altro, si ripaga due volte: l’elenco di cosa c’è acceso serve alla nomina, ma serve anche a scoprire quanti apparati stanno consumando corrente senza fare più niente di utile. Su questo ho scritto la cybersecurity per il risparmio energetico ed economico.

Se ti serve qualcuno che faccia questa ricognizione sulla tua azienda, o che assuma il ruolo con le carte in regola, Dottor Marc se ne occupa.

Ah, e una nota che nessuna normativa prevede: l’ultimo venerdì di luglio è il Sys Admin Day. Chi tiene in piedi i sistemi si accorge di esistere solo quando qualcosa si rompe — un caffè offerto una volta l’anno è un investimento in sicurezza informatica migliore di quanto sembri.