La dashboard del tuo chatbot contiene cose che vale la pena proteggere: le conversazioni e i recapiti dei tuoi clienti, i documenti che compongono la tua base di conoscenza, il tuo calendario di prenotazioni e, se porti la tua chiave, l'accesso a un account presso un fornitore di AI che può far lievitare un conto. L'account che controlla tutto questo è sicuro quanto il suo accesso più debole. La maggior parte delle compromissioni reali di account non sono attacchi ingegnosi: sono password riutilizzate, accessi condivisi, ex collaboratori che hanno ancora l'accesso e titolari senza un secondo fattore. Questa guida è una guida pratica alla sicurezza per i titolari di uno spazio di lavoro del chatbot: come impostare i ruoli in modo che le persone abbiano solo l'accesso che serve, come funziona l'autenticazione a due fattori e come attivarla, come accedere in sicurezza, come gestire chi entra e chi esce, come proteggere le chiavi API, come usare un registro di controllo e una checklist da completare in un pomeriggio.
Cosa è in gioco
| Risorsa | Rischio se qualcuno entra |
|---|---|
| Conversazioni e contatti | Dati personali dei clienti esposti; conseguenze ai sensi della normativa sulla privacy |
| Base di conoscenza | Contenuti alterati così che l'assistente dica cose sbagliate |
| Impostazioni dell'assistente | Istruzioni modificate; assistente usato in modo improprio |
| Prenotazioni e calendario | Appuntamenti cancellati o riempiti di spam |
| Chiave del fornitore di AI | Costi che lievitano sul tuo account |
| Fatturazione | Cambi di piano o disdetta |
L'impatto di una compromissione è maggiore di quanto la maggior parte dei titolari immagini, perché un chatbot sta davanti ai tuoi clienti.
Privilegio minimo: dai alle persone solo ciò che serve
I ruoli limitano ciò che ogni membro del team può vedere e modificare. Il principio è il privilegio minimo: parti dal minimo e aggiungi accesso quando c'è un motivo.
| Tipo di persona | Accesso suggerito |
|---|---|
| Titolare | Tutto, compresi fatturazione e sicurezza; limitalo a una o due persone |
| Amministratori | Gestiscono assistenti, conoscenza e impostazioni; non fatturazione né proprietà |
| Assistenza o reception | Vedono conversazioni, contatti e prenotazioni; gestiscono i passaggi a una persona; non impostazioni né chiavi |
| Collaboratori esterni o agenzie | Solo gli assistenti e le schede su cui lavorano, finché lavorano |
| Fatturazione o amministrazione | Solo piani e fatture |
- Rivedi i ruoli quando cambia il lavoro di qualcuno.
- Evita di dare a tutti i diritti di titolare per comodità.
- Usa account nominativi per tutti; non condividere mai un accesso.
- Limita chi può vedere le chiavi AI e chi può modificare le istruzioni dell'assistente.
Gli spazi di lavoro di Crescelo usano ruoli che limitano ciò che i membri del team possono vedere, modificare o cambiare, e i titolari possono vedere un registro di controllo delle azioni importanti.
Autenticazione a due fattori (2FA)
Una password da sola può essere indovinata, riutilizzata da un'altra violazione o rubata. Un secondo fattore richiede qualcos'altro: un codice da un'app di autenticazione sul tuo telefono. Anche se la tua password trapela, un aggressore non può accedere senza il codice. Crescelo supporta codici monouso basati sul tempo delle app di autenticazione, e gli account di team possono richiederli all'accesso.
- Installa un'app di autenticazione sul telefono.
- Nelle impostazioni di sicurezza dello spazio di lavoro, avvia la configurazione della 2FA e scansiona il codice QR.
- Inserisci il codice di sei cifre per confermare.
- Salva i codici di recupero in un posto sicuro e offline; ti fanno entrare se perdi il telefono.
- Prova a uscire e rientrare con un codice.
- Attivala prima per i titolari, poi per tutti.
- Preferisci un'app di autenticazione ai messaggi di testo, che possono essere intercettati.
- Conserva i codici di recupero in un gestore di password o in un cassetto chiuso a chiave, non in un'e-mail.
- Quando qualcuno se ne va, rimuovi il suo accesso; non fare affidamento sulla sua 2FA.
Buone abitudini di accesso
- Usa una password univoca e lunga di un gestore di password.
- Non riutilizzare mai le password tra servizi diversi.
- Se accedi con Google, proteggi anche quell'account Google con la 2FA.
- Attenzione al phishing: controlla l'indirizzo prima di inserire le credenziali e non inserire un codice che non ti aspettavi.
- Esci dagli account sui dispositivi condivisi.
La dashboard di Crescelo controlla a ogni richiesta una sessione rispetto allo stato del tuo account, quindi cambiare la password o rimuovere un membro termina le sessioni esistenti.
Nuovi arrivi, cambi di ruolo e partenze
| Evento | Azione |
|---|---|
| Nuovo membro del team | Crea un account nominativo con il ruolo più ristretto che funzioni; richiedi la 2FA |
| Cambio di ruolo | Adegua l'accesso lo stesso giorno |
| Fine del lavoro di un collaboratore esterno | Rimuovi l'accesso subito |
| Un dipendente se ne va | Rimuovi il suo account, cambia tutto ciò che poteva vedere, come password condivise e chiavi API |
| Cambio di titolare | Trasferisci la proprietà in modo ponderato e rimuovi l'accesso del vecchio titolare |
Scrivilo come breve checklist. La cessazione del rapporto è il punto da cui partono la maggior parte dei problemi di accesso.
Proteggere le chiavi API
- Usa una chiave dedicata per ogni assistente, con un limite di spesa presso il fornitore.
- Non incollare mai le chiavi in chat, e-mail o codice del sito.
- Limita chi può vedere o modificare le impostazioni dell'AI.
- Cambia le chiavi quando se ne va una persona con accesso o si sospetta una fuga.
- Crescelo conserva le chiavi dei fornitori cifrate; vedi come funziona un caveau per le tue chiavi.
Usare il registro di controllo
Un registro di controllo registra chi ha fatto cosa e quando: un'impostazione cambiata, una fonte eliminata, un membro aggiunto. Usalo. Consultalo ogni mese per modifiche inattese e dopo qualsiasi incidente. I titolari su Crescelo possono vedere un registro di controllo delle azioni dello spazio di lavoro. Aiuta anche in una controversia o in un'indagine, perché puoi vedere cosa è successo.
Altre nozioni di base
- Tieni i dispositivi aggiornati e bloccati.
- Non usare il Wi-Fi pubblico per lavori di amministrazione senza una connessione fidata.
- Limita chi ha accesso amministrativo al tuo dominio e al tuo sito, perché la chat è installata lì.
- Fai attenzione alle estensioni del browser.
- Fai il backup dei contenuti importanti, come i documenti della tua base di conoscenza.
Se pensi che un account sia compromesso
- Cambia la password ed esci ovunque.
- Rimuovi i membri sospetti e revoca le chiavi API.
- Controlla il registro di controllo per vedere cosa è cambiato.
- Rivedi le conversazioni e i contatti recenti per attività insolite.
- Ripristina i contenuti alterati dai tuoi originali.
- Avvisa i clienti interessati se i loro dati potrebbero essere stati esposti, come richiedono i tuoi obblighi di legge.
- Contatta l'assistenza con i dettagli.
Una checklist per un pomeriggio
- Al massimo due titolari, entrambi con la 2FA.
- Ogni membro del team su un account nominativo con il ruolo più ristretto.
- Codici di recupero conservati in modo sicuro.
- Account vecchi e condivisi rimossi.
- Una chiave AI dedicata con un limite di spesa.
- Registro di controllo rivisto.
- Una checklist scritta per chi entra e chi esce.
Errori comuni
- Rendere tutti titolari perché è più facile.
- Condividere un unico accesso con il team.
- Tenere i codici di recupero nella stessa casella dell'e-mail di reimpostazione della password.
- Dimenticare di rimuovere i collaboratori esterni a fine progetto.
- Non guardare mai il registro di controllo.
- Lasciare la chiave AI visibile a chi non ne ha bisogno.
Sistemare queste cose richiede un pomeriggio ed elimina la maggior parte dei modi realistici in cui un account viene compromesso. Metti in calendario un promemoria trimestrale ricorrente per rivedere ruoli e accessi.
Domande frequenti
Crescelo supporta l'autenticazione a due fattori?
Sì. Gli account possono usare codici basati sul tempo di un'app di autenticazione, e gli account di team possono richiederli all'accesso.
Che cos'è il privilegio minimo?
Dare a ciascuno solo l'accesso che serve, così un errore o una compromissione causano meno danni.
Cosa faccio se perdo il telefono?
Usa i codici di recupero che hai salvato quando hai attivato la 2FA, poi configurala di nuovo sul nuovo telefono.
Devo condividere un unico accesso con il mio team?
No. Usa account nominativi così sai chi ha fatto cosa e puoi revocare gli accessi singolarmente.
Come rimuovo l'accesso di un ex dipendente?
Rimuovi il suo account, cambia le password condivise e le chiavi API che poteva vedere e rivedi il registro di controllo.
Dove posso vedere chi ha cambiato cosa?
Nel registro di controllo, disponibile per i titolari dello spazio di lavoro.
Vedi come sono protetti i tuoi dati e l'addendum sul trattamento dei dati, leggi la checklist GDPR, vedi la protezione SSRF per i web scraper, la funzione assistente AI e inizia una prova gratuita per configurare il tuo spazio di lavoro in sicurezza.
Letture consigliate
- OWASP Top 10 per le applicazioni basate su modelli linguistici di grandi dimensioni: I principali rischi di sicurezza degli assistenti AI, compresa la prompt injection.
- Google Search Central: creare contenuti utili e pensati per le persone: Che cosa cerca Google nelle pagine utili.
RISPONDI A OGNI VISITATORE. PRENOTA CHI È PRONTO.
Installa Crescelo sul tuo sito in 15 minuti
Addestra il tuo assistente sui tuoi listini, documenti e condizioni di servizio. Attiva risposte fondate sulle tue fonti 24 ore su 24 e prenotazioni in chat senza sovrapposizioni.