L’accesso alla posta elettronica Outlook del CHU di Montpellier si basa sull’ambiente Office 365, abbinato a un’autenticazione forte. Per il personale, la difficoltà non sta tanto nell’accesso in sé, quanto nella gestione dei metodi MFA e nel mantenere un accesso affidabile da diversi dispositivi.
Metodi MFA su Office 365 al CHU: scegliere e dare priorità ai fattori di autenticazione
L’autenticazione a più fattori (MFA) è la principale protezione dell’area riservata al personale. In ambito ospedaliero, non tutti i metodi sono equivalenti: cambiare smartphone o dimenticare un dispositivo nello spogliatoio può impedire l’accesso alla posta elettronica nel bel mezzo di un turno.
L’ANSSI ricorda che un codice di verifica ricevuto via e-mail non è sufficiente se la stessa casella viene utilizzata per recuperare l’account. Al CHU, è necessario utilizzare i metodi approvati dalla DSI, anziché affidarsi a una scelta personale predefinita.
L’Università di Montpellier raccomanda ai propri utenti di registrare almeno due metodi di autenticazione per evitare di rimanere bloccati quando si cambia dispositivo. Questa esperienza è direttamente applicabile: un membro del personale che dispone di un solo metodo MFA rischia di perdere completamente l’accesso se il telefono si guasta. Consigliamo di verificare i metodi registrati prima di un periodo prolungato di reperibilità.
La configurazione della posta elettronica Outlook del CHU Montpellier avviene tramite il portale di registrazione MFA, accessibile dall’intranet o tramite il link fornito dalla DSI al momento della creazione dell’account.
- L’app Microsoft Authenticator sullo smartphone è il metodo più affidabile quando si è in mobilità, perché funziona anche senza rete mobile, tramite notifica push o codice temporaneo.
- Il codice di verifica via SMS è una soluzione semplice, ma dipende dalla rete cellulare, che in alcuni edifici ospedalieri può essere instabile.
- La chiamata telefonica è una terza opzione di emergenza, utile se l’app non risponde più e l’SMS non arriva.
Accesso a Outlook dall’esterno del CHU: VPN, webmail e dispositivi non gestiti
L’accesso remoto alla posta elettronica varia a seconda del dispositivo utilizzato. Questa distinzione, spesso ignorata nelle guide per il grande pubblico, è invece determinante per riuscire a connettersi.
Da un dispositivo gestito dal CHU (portatile di servizio o computer fisso dell’ufficio), l’accesso a Outlook tramite Office 365 avviene in modo trasparente dopo l’autenticazione MFA. Il browser e il client Outlook sono preconfigurati per connettersi al tenant Microsoft Exchange corretto.
La situazione cambia quando si utilizza un dispositivo personale. L’ANSSI sconsiglia di accedere alle risorse interne di una struttura sanitaria da dispositivi personali senza utilizzare una VPN o un ambiente isolato. La webmail Outlook (outlook.office365.com) è il punto di accesso più comune per il personale che si connette da casa, ma richiede un browser aggiornato e l’assenza di estensioni che potrebbero bloccare i reindirizzamenti per l’autenticazione.
Il client Outlook installato su un PC personale può funzionare, a condizione che il profilo Exchange sia configurato correttamente. Un’impostazione errata del server di posta in arrivo causa ripetuti errori di sincronizzazione, spesso scambiati per problemi di password.
Sicurezza dei dati sanitari e posta elettronica ospedaliera
Il CHU di Montpellier è certificato come Hébergeur de Données de Santé (HDS), ovvero fornitore di servizi di hosting di dati sanitari. Questa certificazione impone vincoli sul trasferimento e sulla conservazione dei messaggi contenenti informazioni sui pazienti.
Un’e-mail professionale al CHU non è un canale da usare con leggerezza. Gli allegati contenenti dati identificativi dei pazienti devono rispettare le regole di cifratura e tracciabilità previste dal quadro HDS. Inviare un referto medico in chiaro a un indirizzo Gmail personale viola le procedure interne, anche se lo si fa con le migliori intenzioni.
Il portale intranet del CHU Montpellier raccoglie le indicazioni sulle buone pratiche. Il personale vi trova le istruzioni aggiornate sui tipi di file consentiti come allegati e sulle procedure da seguire per segnalare la ricezione di un’e-mail sospetta.
Anti-phishing: consigli pratici per il personale
Negli ultimi anni sono aumentati i tentativi di phishing rivolti alle strutture ospedaliere. Un membro del personale di fretta tra un’assistenza e l’altra è un bersaglio ideale per un’e-mail che imita una notifica della DSI.
- Verificare l’indirizzo completo del mittente (non solo il nome visualizzato) prima di fare clic su un link per la «reimpostazione della password».
- Non inserire mai le proprie credenziali CHU su una pagina il cui URL non inizi con il dominio ufficiale della struttura o di Microsoft.
- Segnalare subito ogni messaggio sospetto tramite la procedura della DSI, anziché eliminarlo: la segnalazione consente di bloccare la campagna per tutto il personale.
Risoluzione rapida degli errori di accesso all’area riservata al personale
La maggior parte dei problemi di accesso alla posta elettronica Outlook del CHU non è dovuta a un guasto del server. In genere dipende da tre cause ricorrenti, che è possibile individuare senza l’intervento della DSI.
Una cache del browser danneggiata può bloccare il ciclo di autenticazione di Office 365. Il sintomo tipico è il ricaricamento continuo della pagina di accesso, senza che venga mai visualizzata la posta in arrivo. Nella maggior parte dei casi basta svuotare la cache e i cookie del browser e riprovare ad accedere.
Una password scaduta può generare un messaggio di errore fuorviante, che parla di un «problema del server» anziché della scadenza delle credenziali. È possibile reimpostarla tramite il portale dedicato, accessibile dalla pagina di autenticazione del CHU.
Un metodo MFA non più valido (numero di telefono precedente, app disinstallata) impedisce di verificare il secondo fattore. In questo caso, solo il supporto informatico del CHU può reimpostare la registrazione MFA e associare un nuovo dispositivo.
La gestione di questi tre aspetti risolve la maggior parte dei problemi di accesso. Per gli incidenti che persistono, il servizio informatico del CHU è contattabile tramite l’intranet o per telefono durante l’orario di lavoro; fuori orario è disponibile un sistema di ticket per seguire le richieste.
