Gli autori di attacchi informatici utilizzano tattiche in continua evoluzione per riuscire ad accedere a software, dati e altre informazioni sensibili conservate dalle organizzazioni. Le minacce alla sicurezza informatica sono diventate talmente avanzate, pervasive e dispendiose in termini di costi che il rischio supera di gran lunga i costi operativi aziendali. Un attacco ransomware, ad esempio, non solo potrebbe comportare un pagamento una tantum per ottenere una chiave di decrittazione, ma potrebbe causare una brusca interruzione di un’intera azienda.   

Tenendo conto delle modalità di lavoro delle organizzazioni (utilizzo di app nel cloud, archiviazione di dati in rete e impiego di dispositivi collegati o meno alla rete da parte di utenti che lavorano da remoto o da sedi periferiche), difendersi dalle minacce crescenti implica l’adozione di un approccio il più olistico possibile. La gestione delle identità e degli accessi (IAM) è un insieme di politiche e tecnologie mirate a garantire che solo determinati individui possano accedere ad alcune risorse, con tempistiche e motivazioni ben definite. Questo approccio comprende i processi e gli strumenti utilizzati per la gestione delle identità e il controllo degli accessi ai sistemi critici di un’organizzazione da parte degli utenti.   

Cos’è la gestione delle identità e degli accessi (IAM)?  

Il concetto di gestione delle identità e degli accessi esiste da ben prima che i professionisti della sicurezza informatica lo formalizzassero come framework di sicurezza ufficiale. Per fare alcuni esempi, si pensi ai prestiti delle biblioteche, per cui è necessario essere in possesso di una tessera riconosciuta rilasciata a un utente registrato, oppure al prelievo di contanti da uno sportello automatico, per cui bisogna disporre di un numero di identificazione personale. Le password e i codici PIN continuano a essere fondamentali nell’ambito della IAM, ma quest’ultima non si limita solo a livello di soluzione. La gestione delle identità e degli accessi include interi sistemi, essenziali per garantire la protezione di dati sensibili e avere la certezza che solo persone autorizzate abbiano accesso a determinate informazioni o possano effettuare determinate attività.  

Il rapporto tra IAM e Zero Trust   

Zero Trust è un modello di sicurezza alternativo basato sul principio “non fidarsi mai e verificare sempre”. Contrariamente ai modelli di sicurezza tradizionali che partono dal presupposto che tutto ciò che si trova all’interno della rete sia sicuro, Zero Trust richiede di condurre verifiche continue su tutti gli utenti e su ogni dispositivo che tenta di accedere alle risorse, anche se questi sono già all’interno del perimetro di rete. Il servizio IAM fornisce i meccanismi e i processi necessari all’implementazione dei principi del modello Zero Trust.   

Perché la IAM è importante?  

La IAM svolge un ruolo cruciale nel mitigare il rischio aziendale offrendo un approccio strutturato alla gestione identità digitale e a quella delle autorizzazioni di accesso.   

Il ruolo della IAM nella sicurezza dei dati   

Implementando le pratiche IAM, le organizzazioni possono:  

• Rafforzare la sicurezza: le strategie IAM impiegano uno degli approcci più efficaci esistenti per ridurre il rischio di violazioni dei dati, garantendo che solo gli utenti autorizzati possano accedere a informazioni sensibili.   
• Lavorare con una maggiore efficienza: impiegando un approccio organizzativo basato sulla IAM, i responsabili della sicurezza possono semplificare i processi di gestione degli accessi e ridurre la pressione che grava sul personale IT.  
• Garantire la conformità: le organizzazioni possono rispettare i requisiti normativi mantenendo record dettagliati riguardanti gli accessi e le attività degli utenti.  
• Liberarsi delle password: ridurre la dipendenza dalle password è fondamentale per implementare le strategie di sicurezza più avanzate e affrontare le minacce. Gli strumenti e le tecniche IAM consentono di modernizzare la sicurezza informatica, ridurre l’utilizzo delle password e limitare i possibili errori da parte degli utenti finali.   

I vantaggi dell’implementazione di soluzioni IAM   

Puntando sull’implementazione di soluzioni e processi IAM è possibile sfruttare vantaggi che vanno ben oltre la semplice riduzione del rischio di incidenti di sicurezza. Di seguito alcuni vantaggi offerti dagli strumenti e dalle tecniche IAM:  

• Sicurezza e protezione dei dati migliorate: le soluzioni IAM ottimizzano la sicurezza dei dati garantendo che le informazioni sensibili siano accessibili solo da utenti autorizzati. Grazie all’implementazione di solidi controlli di autenticazione e accesso, le organizzazioni possono proteggersi da accessi non autorizzati e movimenti laterali all’interno della rete.  
• Gestione degli accessi degli utenti semplificata: i sistemi IAM semplificano la gestione delle autorizzazioni di accesso degli utenti, riducendo gli oneri amministrativi a carico del personale IT. L’implementazione di processi automatizzati per il provisioning e il deprovisioning degli utenti rende più semplice garantire l’attualità e la coerenza delle autorizzazioni di accesso in tutta l’organizzazione.  
• Efficienza operativa migliorata: le soluzioni IAM migliorano l’efficienza operativa automatizzando molte delle attività che ruotano intorno alla gestione delle identità e delle autorizzazioni di accesso degli utenti. Di conseguenza, il personale IT può concentrarsi su iniziative più strategiche invece di dedicare tempo ad attività manuali di gestione degli accessi.  

L’impatto della IAM sulla conformità normativa  

Le soluzioni IAM garantiscono la conformità a svariate normative, come il GDPR, l’HIPAA e il SOX, che spesso richiedono la messa in atto di solidi controlli sugli accessi a dati sensibili e di verifiche dettagliate delle attività degli utenti. Implementando la IAM, le organizzazioni possono:  

• Mantenere la conformità: garantire che il controllo degli accessi sia conforme agli standard normativi.  
• Generare audit trail: fornire registri dettagliati delle attività degli utenti a supporto degli audit di conformità.  
• Proteggere i dati: proteggere dati sensibili implementando solidi controlli degli accessi.  

I componenti fondamentali della IAM  

 I 4 pilastri della IAM  

L’obiettivo della IAM è la prevenzione degli accessi non autorizzati e i suoi quattro pilastri costituiscono le strategie messe in atto per proteggere lo stack tecnologico delle organizzazioni. I pilastri sono alla base delle pratiche e dei protocolli IAM mirati alla protezione di un’intera infrastruttura, a livello di utenti, dispositivi, app cloud e non solo.   

• Governance e amministrazione delle identità (Identity Governance and Administration, IGA): l’IGA è il processo di gestione degli elenchi di utenti autorizzati ad accedere a software, app e altri strumenti. Specifica le attività autorizzate e non autorizzate e determina i protocolli di accesso e autorizzazione.   
• Gestione degli accessi (Access Management, AM): l’AM abilita accessi temporanei in circostanze specifiche e implementa il controllo degli accessi senza influire sull’esperienza utente. Esempi di AM sono l’autenticazione a più fattori (Multi-Factor Authentication, MFA) e il controllo degli accessi basato sui ruoli (Role-based access control, RBAC).  
• Gestione degli accessi privilegiati (Privileged Access Management, PAM): la PAM include controlli specifici sugli accessi per i singoli utenti. Si tratta di funzionalità che non si limitano alle funzioni di amministrazione come l’identificazione di utenti che possono aggiungere, modificare o eliminare altri utenti e l’installazione o disinstallazione di software.   
• Controllo degli accessi alla rete (Network Access Control, NAC): il NAC monitora le informazioni dei dispositivi, ad esempio i privilegi di rete, e tiene traccia di eventuali modifiche apportate alla rete.                                                           

I componenti della IAM 

In aggiunta ai quattro pilastri (o strategie), le pratiche della IAM sono costituite da alcuni componenti fondamentali, ovvero azioni, processi e protocolli fisici di gestione delle identità e degli accessi.  

Autenticazione   

L’autenticazione, che consente di verificare l’identità di un utente che tenta di accedere a un sistema, è il processo che tutti conosciamo in quanto utenti finali. I metodi di autenticazione più comuni includono:  

• Password: la forma più semplice di autenticazione.  
• Identificazione biometrica: utilizza le caratteristiche fisiche di una persona, come le impronte digitali o il riconoscimento facciale.  
• Token: token basati su hardware o software che generano codici monouso.  

Oltre a questi metodi, alcuni protocolli come OAuth e SAML garantiscono la sicurezza nei processi di autenticazione e autorizzazione su più sistemi.  
 
Gli utenti che dispongono delle credenziali sono autorizzati ad accedere ai relativi strumenti e risorse. Le autorizzazioni di autenticazione possono anche essere a tempo: in questo caso, gli utenti in possesso delle credenziali possono svolgere determinate attività o accedere a sezioni specifiche solo per un certo periodo di tempo.   

Autorizzazione  

L’autorizzazione determina ciò che un utente autenticato può fare. Mentre l’autenticazione conferma l’identità dell’utente, l’autorizzazione stabilisce i confini e le giurisdizioni all’interno dei quali l’utente può operare. Nel framework delle autorizzazioni, vengono riconosciuti gli accessi di utenti diversi e viene effettuato il controllo degli accessi basato sui ruoli nel sistema IAM.   

I meccanismi di controllo degli accessi includono:  

• Controllo degli accessi basato sui ruoli (RBAC): assegna autorizzazioni sulla base del ruolo degli utenti all’interno dell’organizzazione.  
• Controllo degli accessi basato sugli attributi (Attribute-Based Access Control, ABAC): concede gli accessi sulla base degli attributi degli utenti, come l’ufficio di appartenenza o la professione. È improbabile, ad esempio, che i membri del team di marketing abbiano bisogno di accedere a software di contabilità o dashboard di amministrazione IT.   
• Privilegio minimo: garantisce che gli utenti abbiano il livello minimo di accesso necessario per svolgere le proprie mansioni lavorative. Il privilegio minimo, una funzione chiave di Zero Trust, aiuta a prevenire i movimenti laterali all’interno della rete, un espediente utilizzato spesso dai cybercriminali per individuare i dati sensibili da crittografare nell’ambito di un attacco ransomware.  

Amministrazione  

Il componente amministrativo del sistema IAM si concentra su account, gruppi, autorizzazioni e criteri di password degli utenti. Monitora la creazione e la modifica degli account utente e garantisce l’utilizzo di metodi di autenticazione sicuri. Il framework amministrativo costituisce la base di autorizzazione e autenticazione e si occupa della gestione degli account degli utenti e delle autorizzazioni dei gruppi.  

La creazione di account utente e la concessione di autorizzazioni alle risorse che ne hanno diritto è un processo chiamato provisioning degli utenti. Il deprovisioning, al contrario, consiste nella revoca dell’accesso a dipendenti che lasciano l’organizzazione o che non ne hanno più bisogno. La messa in atto di processi di user provisioning e deprovisioning efficienti è fondamentale per mantenere la sicurezza e avere la certezza che solo gli utenti autorizzati possano accedere alle informazioni sensibili.   

Auditing e reporting (A&R)  

Il componente A&R si concentra sulle attività svolte dagli utenti con un accesso autorizzato, ad esempio le risorse e gli strumenti impiegati e le modalità di utilizzo dei dati, e consente all’organizzazione di monitorare e rilevare eventuali attività non autorizzate o sospette.  

L’A&R consiste nell’analisi, il rilevamento e la segnalazione dei registri di accesso degli utenti e delle loro attività rilevanti in materia di sicurezza all’interno del sistema, al fine di garantire la sua sicurezza e la conformità alle normative vigenti, ad esempio CPRA, HIPAA, PCI DSS e GDPR.  

Tecnologie e strumenti IAM  

L’IAM richiede determinate tecnologie e strumenti a supporto dei suoi pilastri e componenti.  

Soluzioni Single sign-on (SSO)  

La tecnologia Single sign-on, che consente agli utenti di accedere a più applicazioni con un unico set di credenziali di accesso, semplifica l’esperienza utente e riduce il numero di password da ricordare, offrendo una soluzione più sicura e comoda per gli utenti.  

Autenticazione a più fattori (MFA)  

Per l’autenticazione a più fattori, gli utenti devono fornire almeno due fattori di verifica per accedere al sistema. Non è sufficiente una password per avere l’accesso, ma bisogna fornire una “prova” aggiuntiva della propria identità. Alcuni esempi di fattori includono:  

• Un’informazione conosciuta dall’utente: password o PIN.  
• Qualcosa in possesso dell’utente: token di sicurezza o smartphone. 
• Una caratteristica fisica dell’utente: verifica biometrica come riconoscimento facciale o delle impronte digitali.  

L’MFA aggiunge un ulteriore livello di sicurezza e ostacola l’accesso da parte di utenti non autorizzati.  

L’autenticazione basata su certificati è un meccanismo di sicurezza che impiega i certificati digitali per verificare l’identità di dispositivi e utenti, garantendo l’accesso a reti o servizi solamente a entità autorizzate. Alcune Certificate Authority (CA) comuni che rilasciano certificati SSL/TLS per garantire la sicurezza delle comunicazioni tramite Internet includono DigiCert, Symantec, GlobalSign, GoDaddy ed Entrust.  

Gestione degli accessi privilegiati (PAM)  

La gestione degli accessi privilegiati consiste nel controllo e nel monitoraggio degli accessi a sistemi e dati critici da parte di utenti privilegiati, ad esempio gli amministratori. Le soluzioni PAM prevengono l’utilizzo improprio degli account privilegiati e garantisce che solo gli utenti con le autorizzazioni necessarie possano accedere ai dati sensibili.  

In che modo un password manager completa la IAM 

I password manager come LastPass giocano un ruolo vitale nell’implementazione delle soluzioni IAM. Le password sono ancora tra le modalità più utilizzate per autenticare l’accesso a determinati sistemi e applicazioni e questi strumenti consentono di gestirle e conservarle in modo sicuro, con la certezza che gli utenti rispettino le migliori pratiche in materia di password. Integrandosi ai sistemi IAM, i password manager possono: 

• Semplificare la gestione delle password: i password manager generano automaticamente password univoche efficaci per ogni account. È possibile creare dei requisiti di efficacia minimi con l’obiettivo di stabilire una politica di sicurezza avanzata per l’intera organizzazione.  
• Ridurre lo stress da password: due terzi (66%) delle persone utilizzano la stessa password o password simili per account diversi. Così facendo, tuttavia, a un malintenzionato basta sapere una sola password per accedere a più account e a dati preziosi. Grazie a un password manager, gli utenti non sono costretti a imparare tante password diverse. 
• Rafforzare la sicurezza: conservando le password in una cassaforte crittografata è possibile tutelarsi da violazioni legate alle password. 

L’implementazione della IAM a livello aziendale  

Migliori pratiche dell’implementazione della IAM  

Le modalità di implementazione della gestione delle identità e degli accessi dipende dalle singole organizzazioni, ma ecco alcune migliori pratiche del settore:  

• Effettua una valutazione del rischio: identifica e valuta i rischi per definire le priorità delle attività di implementazione della IAM, a partire dai sistemi più business-critical.   
• Definisci politiche chiare: stabilisci politiche e procedure chiare per la gestione delle identità e degli accessi. Quali meccanismi di controllo degli accessi utilizzerai e perché?  
• Implementa un’autenticazione solida: l’autenticazione è uno dei primi passaggi che conduce all’accesso. Utilizza l’MFA e altri metodi di autenticazione robusti. Il framework IAM supporta un approccio “a strati” nei confronti di sicurezza di identità e accessi, quindi metti in atto tattiche di autenticazione diverse.  
• Rivedi regolarmente i diritti di accesso: la sicurezza deve essere mutevole e versatile. Rivedi periodicamente i diritti di accesso e aggiornali per assicurarti che siano sempre adeguati.  
• Considerazioni di scalabilità e flessibilità a lungo termine: le soluzioni IAM devono integrarsi nei sistemi e nelle applicazioni esistenti e gli strumenti devono potersi sempre adattare ai requisiti di sicurezza e ai processi aziendali. 

Problematiche e potenziali soluzioni  

Come per l’implementazione di qualsiasi soluzione di sicurezza informatica, la IAM può presentare diverse problematiche, ad esempio:  

• Complessità: gestire identità e accessi su sistemi diversi può essere molto complesso.  
• Soluzione: utilizza strumenti e automazioni IAM centralizzati per una gestione semplificata.  

• Riluttanza degli utenti: i dipendenti potrebbero risultare riluttanti ad accettare le modifiche ai processi di gestione degli accessi.   
• Soluzione: la promozione di una cultura della sicurezza deve partire dai piani alti. Offri corsi di formazione e condividi i vantaggi della IAM con gli utenti.  

• Problemi di integrazione: integrare il servizio IAM ai sistemi esistenti non è sempre un processo semplice.   
• Soluzione: scegli soluzioni IAM con solide funzionalità di integrazione e supporto. LastPass offre numerose integrazioni pronte all’uso con fornitori di servizi e rivenditori.   

I rischi della IAM 

Vulnerabilità comuni dei sistemi IAM 

La IAM è un framework di sicurezza solido, ma l’implementazione delle procedure, delle politiche e degli strumenti fondamentali presenta alcune vulnerabilità da tenere a mente.   

• Password vulnerabili: le password sono parte integrante della gestione delle identità e degli accessi, pertanto la sicurezza di un determinato accesso dipende dall’efficacia della relativa password. Gli utenti potrebbero creare password vulnerabili che sono facilmente identificabili.  
• Soluzione: utilizza un password manager per implementare criteri di password stringenti e aggiungi l’MFA per una maggiore sicurezza.   

• Minacce interne: i dipendenti con accesso legittimo potrebbero utilizzare i propri privilegi in maniera impropria. 
• Soluzione: implementa la PAM e rivedi regolarmente i diritti di accesso. Puoi, inoltre, mitigare il rischio di minacce interne effettuando controlli sui dipendenti che dispongono dell’accesso ai dati sensibili.  

• Account abbandonati: gli account che non vengono disattivati quando gli utenti lasciano un’organizzazione potrebbero essere utilizzati in maniera impropria.  
• Soluzione: metti in atto robusti processi di documentazione per il deprovisioning dell’accesso degli utenti. Comunica con le risorse umane per rivedere regolarmente gli elenchi dei dipendenti.   

• Trasmissione decrittografata di dati sensibili: i dati IAM sensibili trasmessi utilizzando canali non sicuri possono essere intercettati.  
• Soluzione: se possibile, implementa solidi sistemi di crittografia per proteggere i dati e le comunicazioni sensibili.  

Garantire la sicurezza dell’infrastruttura IAM 

Per mantenere la sicurezza delle infrastrutture IAM a lungo termine, le organizzazioni devono:  

• Aggiornare regolarmente i sistemi: è fondamentale mantenere i sistemi e i software IAM sempre aggiornati con le ultime patch di sicurezza. Effettua controlli periodici per verificare la presenza di eventuali aggiornamenti software. Gli aggiornamenti, infatti, non solo consentono di accedere alle funzionalità più recenti del prodotto, ma sono importanti per affrontare le vulnerabilità di sicurezza note.   

• Effettuare controlli di sicurezza: mettere in campo misure di sicurezza IAM è solo il primo passo. Bisogna effettuare controlli regolari sui sistemi IAM per identificare e affrontare eventuali vulnerabilità.  

Investire nella IAM non significa fare il minimo indispensabile per tutelare i dati, ma garantire la sicurezza e la resilienza aziendale nel lungo termine. La gestione delle identità e degli accessi è un componente fondamentale per l’attuazione di una strategia di sicurezza informatica moderna e completa che consenta alle aziende di rafforzare la sicurezza, semplificare la gestione degli accessi e garantire la conformità ai requisiti normativi. LastPass offre potenti strumenti IAM che aiutano le organizzazioni a proteggere i propri dati, ridurre gli oneri di gestione a carico del personale IT e lavorare in maniera ibrida e distribuita. Inizia subito una prova gratuita con LastPass.