Documentazione IT aziendale: cosa documentare e perché

Quando il server non riparte o il tecnico di fiducia è in ferie, la domanda è sempre la stessa: dove sono le password, chi ha configurato il firewall, come si ripristina il gestionale? In molte PMI la risposta sta nella testa di una o due persone. La documentazione IT aziendale serve proprio a togliere l'azienda da questa dipendenza.

Perché la documentazione IT è un investimento, non burocrazia

Documentare l'infrastruttura richiede tempo, ed è facile rimandarlo. Ma i benefici si vedono nei momenti peggiori:

• Fermi più brevi: chi interviene trova subito indirizzi, configurazioni e contatti, senza dover ricostruire tutto da zero.
• Indipendenza dalle persone: se un dipendente o un fornitore lascia, le conoscenze restano in azienda.
• Cambi di fornitore senza traumi: un nuovo partner IT può prendere in carico l'ambiente in modo ordinato.
• Gestione degli incidenti: durante un attacco informatico serve sapere rapidamente quali sistemi esistono, chi li usa e come isolarli.
• Conformità: il GDPR (art. 32) chiede misure tecniche e organizzative adeguate, e normative come la NIS2 richiedono di conoscere e governare i propri asset. Senza un inventario aggiornato è difficile dimostrarlo.

Cosa documentare: l'inventario di base

Il punto di partenza è sapere cosa c'è. Un inventario utile comprende:

• Dispositivi: pc, portatili, server, stampanti, smartphone aziendali, con utente assegnato, data di acquisto e scadenza della garanzia.
• Software e licenze: applicativi in uso, numero di licenze, scadenze dei rinnovi, chi è il referente del fornitore.
• Servizi cloud: caselle di posta, Microsoft 365 o Google Workspace, gestionali online, domini e DNS, con l'indicazione di chi ne è amministratore.
• Contratti e contatti: connettività, assistenza, manutenzione delle macchine connesse, numeri da chiamare in caso di guasto.

La rete

La rete è spesso la parte meno documentata e la più critica. Vanno registrati:

• schema della rete con router, firewall, switch e access point;
• piano degli indirizzi IP, eventuali VLAN e reti separate (ad esempio la rete ospiti);
• configurazione delle VPN e di chi può accedere da remoto;
• collegamenti verso sedi remote, cloud e fornitori.

Uno schema semplice, anche a blocchi, vale più di cento pagine che nessuno legge.

Credenziali: in un vault, mai in un foglio Excel

Le password sono la parte più delicata. Il classico file "password.xlsx" sul desktop o il quaderno nel cassetto sono un rischio enorme: chiunque vi acceda ottiene le chiavi dell'azienda.

La soluzione corretta è un password manager aziendale (vault), cioè un archivio cifrato che permette di:

• conservare credenziali di amministrazione, Wi-Fi, servizi cloud e apparati di rete;
• assegnare l'accesso solo a chi ne ha bisogno, con permessi distinti;
• tenere traccia di chi ha consultato o modificato una credenziale;
• proteggere l'accesso con l'autenticazione a più fattori.

È utile prevedere anche una procedura di emergenza: chi può accedere al vault se l'amministratore non è disponibile, e come.

Procedure: il "come si fa" scritto nero su bianco

Oltre a cosa c'è, conviene documentare come si gestisce. Le procedure più utili per una PMI sono:

• Ingresso e uscita del personale: creazione degli account, consegna dei dispositivi, revoca degli accessi il giorno stesso dell'uscita.
• Backup e ripristino: cosa viene salvato, dove, con che frequenza, e come si effettua un ripristino. Una procedura di ripristino mai provata non dà garanzie.
• Gestione degli incidenti: chi avvisare, come isolare un pc compromesso, quando coinvolgere consulenti o autorità.
• Aggiornamenti e manutenzione: finestre di intervento, sistemi critici da trattare con cautela.
• Avvio e spegnimento: l'ordine corretto per riaccendere server, storage e applicativi dopo un blackout.

Le procedure devono essere brevi, scritte in modo operativo e comprensibili anche da chi non le ha redatte.

Come mantenere la documentazione aggiornata

Una documentazione vecchia può essere peggio di nessuna documentazione, perché induce in errore. Alcune regole pratiche:

• un unico posto in cui conservarla, con accessi controllati e una copia disponibile anche se i sistemi principali sono fermi;
• un responsabile chiaro per ogni sezione;
• aggiornamento contestuale: ogni modifica alla rete o ai sistemi si chiude solo quando è documentata;
• una revisione periodica, ad esempio semestrale, per eliminare ciò che non esiste più.

Checklist rapida

• ☐ Inventario di dispositivi, software, licenze e servizi cloud
• ☐ Schema di rete e piano degli indirizzi
• ☐ Credenziali in un vault cifrato con MFA
• ☐ Procedure di onboarding, offboarding, backup e incidenti
• ☐ Contatti dei fornitori e contratti in scadenza
• ☐ Responsabile e frequenza di revisione definiti

Gli strumenti di monitoraggio e gestione remota aiutano molto: raccolgono in automatico l'elenco dei dispositivi e del software installato, riducendo il lavoro manuale. Per capire quando sostituire le macchine censite, può essere utile anche la nostra guida sul ciclo di vita dell'hardware.

Come può aiutarti Area GUI

Area GUI può effettuare una ricognizione dell'infrastruttura esistente e costruire con te una documentazione ordinata, con inventario, schema di rete e credenziali gestite in modo sicuro. Con il servizio di IT gestito la documentazione viene mantenuta aggiornata nel tempo. Contattaci per fare il punto sulla tua situazione.