Il Ministero dell'Interno rafforza la sicurezza del Sistema di Gestione degli Sponsor dopo una serie di allarmi per violazioni

Il Home Office ha aggiornato le linee guida del Sponsor Management System (SMS), introducendo l’autenticazione a più fattori (MFA) obbligatoria per tutti gli utenti con licenza sponsor e limitando il numero di dispositivi connessi a due per utente. Le riforme, pubblicate il 24 settembre 2026, arrivano dopo un’indagine su attacchi di credential stuffing che hanno preso di mira studi professionali all’inizio dell’anno. Dal 15 ottobre, gli sponsor dovranno registrare almeno due utenti di Livello 1 e assicurarsi che ciascuno attivi la MFA tramite l’app gov.uk One Login. Il ruolo di utente di Livello 2, in vigore da tempo, sarà eliminato il 9 settembre 2027, costringendo le aziende ad aggiornare i permessi o rischiare la perdita di accesso. Il Home Office sottolinea che queste misure “allineeranno la conformità degli sponsor agli standard di cyber-sicurezza governativi più ampi”. Per i team HR e di mobilità globale, la novità più rilevante è l’obbligo di rivedere trimestralmente gli account inattivi e di segnalare credenziali compromesse entro 24 ore. Il mancato rispetto potrebbe innescare un audit di conformità a sorpresa, una preoccupazione già forte per molte PMI con risorse limitate. Le linee guida mettono inoltre in guardia gli sponsor dal conservare le password SMS in fogli di calcolo condivisi, pratica comune emersa durante recenti controlli. Gli esperti consigliano una revisione immediata degli accessi e l’aggiornamento delle politiche interne, dato che il Home Office ha introdotto un meccanismo rapido di downgrade che può sospendere l’emissione dei Certificati di Sponsorizzazione entro 48 ore in caso di violazioni gravi.