Correttezza nell'operatività di un servizio di assistenza

[cbs]

Voglio raccontarvi quanto mi è capitato oggi.

Un cliente per il quale gestiamo alcuni server ci chiama in quanto uno di questi (un server virtuale) non era più raggiungibile. Effettivamente da remoto non si entra così apriamo la console di gestione fornita dal provider.

Server "out of memory" decidiamo quindi di fermare il server e riavviarlo. Purtroppo al riavvio il server non parte più o meglio la console vmware restituisce un errore relativo alla licenza ?!

Chiamo quindi il cliente per sentire come lui usualmente contatta il provider per ricevere supporto e mi dice che bisogna aprire una richiesta dal pannello dello stesso, lui però è fuori ufficio e nessuno ci può dare le credenziali di accesso, l'assistenza telefonica non è prevista per questo tipo di servizio, ma solo quella commerciale.

A questo punto chiamo il call center commerciale e spiegando la situazione mi danno i dati di accesso (nome utente e password) per accedere al pannello di gestione dove finalmente apro la richiesta di assistenza, il tutto poi si risolve con un loro intervento a livello infrastrutturale credo.

Ora quello che mi chiedo, effettivamente il loro call center commerciale ci ha aiutato dandoci i dati di accesso al pannello (non di controllo del server ma amministrativo) ma i controlli che sono stati fatti su chi c'era dall'altra parte al telefono sono stati un pò blandi ed io potevo magari dare disdetta del server.

E per fortuna che era presente un supporto commerciale altrimenti sarebbe rimasto fermo ancora a lungo quel server.

[GrG]

Come hanno verificato la tua identità?

Per quanto riguarda la frase:

E per fortuna che era presente un supporto commerciale altrimenti sarebbe rimasto fermo ancora a lungo quel server.

Secondo me è totalmente senza senso. Se ti danno un pannello ticket quello devi usare punto ed è compito tuo/del cliente averne le credenziali, non son tenuti a dare pubblicamente un numero di telefono così anche se il cliente si dimentica di dare a te che offri il management del server puoi contattarli.

[Antonio]

Ho constatato anche io superficialità nella gestione dell'autenticazione delle credenziali di accesso al supporto telefonico con diverse aziende.
Con un grosso provider italiano, per dirne una, ho potuto avere pieno accesso al supporto telefonico fornendo il solo numero di piva: per la legge italiana il numero di piva deve essere esposto sui siti aziendali, quindi vi lascio solo immaginare che macelli non possono succedere...

[cbs]

Come hanno verificato la tua identità?

Diciamo che io mi sono presentato fornendo nome e cognome del mio cliente ed in più la login di accesso alla console vmware, certo non sono dati magari pubblici ma nemmeno che puoi cambiare se qualche collaboratore ne è venuto a conoscenza.

Per quanto riguarda la frase:


Secondo me è totalmente senza senso. Se ti danno un pannello ticket quello devi usare punto ed è compito tuo/del cliente averne le credenziali, non son tenuti a dare pubblicamente un numero di telefono così anche se il cliente si dimentica di dare a te che offri il management del server puoi contattarli.

Si certo hai ragione che teoricamente si deve passare per forza da lì etc etc ma ci sono situazioni in cui magari non hai sempre questi dati sotto mano per cui un assistenza minima commerciale telefonica è di aiuto, resta in discussione la modalità di verifica dell'identità di cui ti chiama.

[TheVice]

Secondo me molti problemi qui esposti potrebbero essere risolti adottando dei gateway SMS ed introducendo 2 campi di registrazione dell'utente in cui è possibile indicare 2 recapiti, uno per l'owning e l'altro per l'assistenza. Il trusting sarebbe praticamente automatico, il livello di sicurezza crescerebbe e, seppure ancora imperfetto, si lascerebbero delle tracce tangibili e ripercorribili senza scomodare operatori e commerciali.
Poi certo se ho 10 sim e non mi porto dietro quella che dovrei usare per ricevere ed inviare codici di operazione etc ... sono fesso io (...ma in tal caso lo sarà pure chi ho registrato per l'assistenza ?)
Penso che ormai i gateway SMS stiano diventando abbordabili e che si possano offrire bei servizi ai propri clienti.

[SeFlow]

ma scusa invece di avventurarsi con sms gw etc, non è più semplice avere una lista di afferenti con una propria password. Quando chiami, il tecnico ti chiede la password e se è corretta ti da assistenza. Ogni tecnico ha la sua password e via.

[TheVice]

ma scusa invece di avventurarsi con sms gw etc, non è più semplice avere una lista di afferenti con una propria password. Quando chiami, il tecnico ti chiede la password e se è corretta ti da assistenza. Ogni tecnico ha la sua password e via.

...ma potresti notificare all'owner gli accessi richiamando la sua attenzione quasi in tempo reale ed il livello di sicurezza non sarebbe strettamente legato ad una password ma avrebbe un livello (esterno) di verifica e trusting.
In più il parsing di un SMS è banale e ti consente di creare procedure automatiche che liberano gli operatori da simili incombenze.

[SeFlow]

così però lo costringi ad essere sempre disponibile, e se è un'azienda grossa in cui si fanno i turni? Se sono le 4 del mattino?

[TheVice]

così però lo costringi ad essere sempre disponibile, e se è un'azienda grossa in cui si fanno i turni? Se sono le 4 del mattino?

mi spieghi meglio ?

Io ragiono nel caso specifico di accesso descritto da CBS.
Se il numero di cell. di un tecnico fosse stato presente nel sistema gli bastava utilizzare quello per essere automaticamente autenticato in un servizio di assistenza attraverso un SMS.
Il tecnico effettua la richiesta di accesso e l'owner se è sveglio vede che ci sono attività se dorme le vede il giorno dopo.
Ma la verifica degli accessi e l'autenticazione oltre a guadagnarne in sicurezza non richiede interventi ulteriori.
L'operatore del provider troverà direttamente il ticket aperto senza doversi porre troppi problemi.
Non mi dirai mica che una semplice password di accesso è più sicura ?
Vuoi mettere anche la libertà di poter dimenticare tranquillamente le password di accesso da un lato e avere dall'altro un sistema di verifica non solo automatico ma molto più affidabile di quello fin qui descritto ?

[SeFlow]

ah no scusami avevo capito male le modalità di invio degli SMS