Sicurezza delle credenziali dei portali: e-distribuzione, GSE e contatori

Le credenziali dei portali di e-distribuzione e del GSE aprono l'accesso ai dati di misura, alle pratiche e ai documenti dei tuoi impianti: vanno trattate come un bene aziendale. Le regole pratiche sono poche: un accesso per persona dove possibile, nessuna password in email o fogli Excel, secondo fattore attivo dove il portale lo offre, revoca immediata quando qualcuno lascia l'incarico e deleghe formali invece di password condivise.

Perché le credenziali dei portali sono un rischio

Chi segue molti impianti accumula molti accessi: account e-distribuzione diversi per società e POD, l'area clienti del GSE, le password dei contatori, le piattaforme di monitoraggio. Nel tempo le stesse credenziali passano tra colleghi, O&M e consulenti. I problemi tipici sono sempre gli stessi:

• Password condivise tra più persone, così non sai chi ha fatto cosa.
• Credenziali in chiaro in un foglio Excel, in una chat o in una email inoltrata.
• Accessi mai revocati a ex dipendenti, ex fornitori o consulenti a fine incarico.
• Stessa password usata su più servizi: se ne cade uno, cadono tutti.
• Messaggi di phishing che imitano un portale e chiedono di reinserire la password.

Le conseguenze vanno dall'account bloccato, con i dati del mese che non riesci a scaricare, all'accesso di qualcuno che non dovrebbe vedere dati e pratiche dei tuoi impianti.

Come gestire le credenziali dei portali in azienda

Quando entra una persona nuova o un nuovo fornitore O&M, decidi prima a quali portali e a quali impianti deve accedere, e con quali permessi. Quando esce, la revoca va fatta lo stesso giorno: account personali disattivati, password condivise cambiate, deleghe ritirate. Annota ogni operazione nel registro degli accessi, così sai sempre chi può entrare dove.

Tieni anche un elenco aggiornato di quali POD sono raggiunti da quale account: quando un account si blocca sai subito quali dati mancheranno. Il tema è trattato in più account e-distribuzione.

Deleghe invece di password condivise

Quando un terzo deve vedere i dati di un impianto, la strada più pulita è un'autorizzazione formale, non la tua password. Su e-distribuzione i POD possono essere raggiunti anche tramite delega, come spiegato in delega dei POD su e-distribuzione. Per il contatore, il TIME di ARERA prevede che le apparecchiature di misura in media, alta e altissima tensione consentano l'accesso alle registrazioni al titolare del punto di connessione o a soggetti da lui delegati previo mandato.

Una delega si revoca senza cambiare la password di tutti e rende chiaro chi è autorizzato. Prima di dare a un fornitore le credenziali del tuo account, verifica le condizioni d'uso del portale e valuta se la delega basta.

Anche il contatore ha le sue credenziali

Le password del contatore proteggono la lettura e soprattutto la programmazione. La Guida per le connessioni di e-distribuzione chiede che le interfacce di programmazione locale e remota dei contatori installati dal produttore in media e alta tensione abbiano codici di accesso che limitino le funzioni di programmazione, che le riprogrammazioni restino registrate nel contatore e che vengano comunicate a e-distribuzione. Le password di lettura vanno custodite come quelle dei portali: chi le conosce può interrogare il contatore. Cosa fare se una password è errata o persa è spiegato in password del contatore.

Cosa chiedere a un fornitore che usa le tue credenziali

Se affidi a un servizio esterno l'accesso ai portali, fai qualche domanda precisa:

1. Come sono conservate le credenziali? Devono essere cifrate, non leggibili in chiaro.
2. Chi, nel fornitore, può usarle e per quali operazioni?
3. Dove sono i server e chi è il fornitore di hosting?
4. Come mi avvisate se un accesso non funziona più?
5. Cosa succede alle credenziali alla fine del contratto?

Se tra i dati ci sono dati personali, il GDPR chiede a titolare e responsabile del trattamento misure di sicurezza adeguate al rischio, tra cui, se del caso, la cifratura, e la capacità di garantire riservatezza e integrità dei sistemi. Ne parla l'articolo su dati di misura e GDPR.

enerdata usa gli account dei portali che indichi, per i POD da seguire, e conserva le credenziali cifrate. Su e-distribuzione segue anche i POD raggiunti con una delega, anche da account diversi, nella stessa vista; nel Registro segnala ogni giorno gli account con problemi, così un accesso bloccato non resta nascosto. I dettagli sono nella pagina portali e-distribuzione e GSE.

Domande frequenti

Posso dare le credenziali e-distribuzione a un consulente?

Verifica prima le condizioni d'uso del portale. Dove possibile preferisci una delega o un account dedicato, che si revocano senza toccare il tuo.

Cosa faccio quando un collaboratore lascia l'azienda?

Revoca subito i suoi accessi personali e cambia le password che conosceva, compresi gli account condivisi e le password dei contatori.

Cosa faccio se un account del portale si blocca?

Segui la procedura di recupero del portale e controlla subito quali POD dipendono da quell'account, per sapere quali dati del mese rischiano di mancare.

Dove conviene tenere le credenziali?

In un gestore di password aziendale con accessi per ruolo, non in fogli di calcolo, email o chat.

Un fornitore deve conservare le mie credenziali cifrate?

È la prima cosa da chiedere. Se tratta anche dati personali, il GDPR richiede misure di sicurezza adeguate, tra cui, se del caso, la cifratura.