Governance dell'identità e zero trust: come proteggere gli ambienti di lavoro ibridi

Questo blog è stato pubblicato per la prima volta nel 2021 ed è stato aggiornato. 

La sicurezza dell'identità inizia con l'autenticazione: dimostrare di essere chi si dichiara è il primo passo per garantire la sicurezza organizzativa, ma non è certo l'ultimo. Per troppe organizzazioni, ciò che accade dopo l'autenticazione è un punto cieco importante. L'accesso viene fornito. Gli account accumulano permessi. Le persone cambiano ruolo o se ne vanno. E senza una comprensione chiara e costantemente applicata di chi deve avere accesso a cosa, quando e perché, le lacune si aggravano silenziosamente.

La pandemia ha quasi triplicato il lavoro a distanza, provocando un'impennata significativa delle richieste di accesso. Questa portata ha reso le lacune più difficili da ignorare. Gli hacker hanno violato le reti di Colonial Pipeline utilizzando un account VPN non più in uso. Non si trattava di un exploit sofisticato. Si è trattato di un fallimento nella governance degli accessi, esattamente del tipo che la governance e l'amministrazione delle identità (IGA) è specificamente progettato per prevenire. Poiché il lavoro ibrido diventa la norma, la sicurezza post-autenticazione non è più facoltativa.

Il lavoro ibrido non ha cambiato solo il luogo di lavoro. Ha cambiato ciò che le organizzazioni devono difendere. Quando i dipendenti accedono alle risorse aziendali da reti domestiche, caffetterie e spazi di lavoro condivisi, il perimetro di sicurezza tradizionale non ha più senso. La domanda non è più “questa persona è all'interno della rete?”. Si tratta di “questa persona deve avere accesso a questa risorsa, in questo momento, da questo contesto?”. Questo cambiamento introduce una serie di sfide che la sicurezza basata sul perimetro non è mai stata progettata per gestire.

Accesso all'espansione 

Durante la pandemia, il lavoro a distanza ha subito un'impennata e con esso una marea di nuove richieste di accesso. I dipendenti avevano bisogno di VPN, applicazioni SaaS, risorse cloud e strumenti di collaborazione, spesso tutti insieme. I team di sicurezza hanno effettuato il provisioning degli accessi in tempi rapidi per mantenere l'attività aziendale in movimento. Ma gli accessi che vengono forniti rapidamente raramente vengono esaminati con attenzione. Il risultato è la deriva dei diritti. Gli utenti accumulare permessi di cui non hanno più bisogno, attraverso sistemi che i team di sicurezza non possono più vedere completamente.

Conti orfani e dormienti

Gli aggressori non hanno bisogno di entrare quando una porta è stata lasciata aperta. Gli account dormienti, ovvero le credenziali che esistono ancora dopo che un dipendente ha lasciato o cambiato ruolo, sono esattamente questo tipo di porta aperta. La violazione di Colonial Pipeline è un esempio ben documentato: gli aggressori hanno ottenuto l'accesso attraverso un account VPN che non era più in uso. Non si è trattato di un exploit sofisticato. Si è trattato di un fallimento della governance degli accessi. Ed è tutt'altro che unico.

Accesso di terzi e appaltatori

Le forze di lavoro ibride raramente operano in modo isolato. Fornitori, appaltatori e partner hanno regolarmente bisogno di accedere ai sistemi interni per svolgere il proprio lavoro. In genere, l'accesso viene concesso secondo le necessità e raramente rivisto. Le organizzazioni si ritrovano con una lunga coda di credenziali di terzi che non rientrano nei normali cicli di provisioning e revisione, creando esattamente il tipo di fiducia implicita che lo zero trust è stato progettato per eliminare.

Rischio di movimento laterale

Una volta che un aggressore dispone di un set di credenziali valide, la vera domanda da porsi è fino a dove può spingersi. In ambienti con confini di accesso deboli, la risposta è spesso: molto lontano. Il movimento laterale, che utilizza l'accesso legittimo per navigare più a fondo in una rete, è uno dei modelli più comuni nelle violazioni aziendali. La migliore difesa non consiste in un migliore rilevamento a posteriori. È garantire che anche un account compromesso non possa raggiungere sistemi che non avrebbe dovuto toccare.

Lacune di visibilità

Non si può governare ciò che non si vede. Negli ambienti ibridi, i dati sull'identità raramente si trovano in un unico luogo. I dipendenti si autenticano in sistemi on-premise, applicazioni cloud, strumenti SaaS e piattaforme infrastrutturali, spesso attraverso directory e controlli di accesso diversi. Senza una visione unificata di chi ha accesso a cosa, i team di sicurezza si trovano a prendere decisioni sull'accesso con informazioni incomplete e le revisioni degli accessi diventano un'ipotesi piuttosto che un controllo affidabile.

Bilanciare sicurezza e privacy

Ottenere la giusta sicurezza in un ambiente ibrido significa consentire l'accesso, non solo limitarlo. L'obiettivo della governance delle identità non è bloccare tutto, ma garantire che le persone giuste abbiano l'accesso giusto senza creare attriti per coloro che stanno facendo esattamente ciò che dovrebbero. Questo equilibrio richiede l'utilizzo congiunto di policy, automazione e governance, non solo restrizioni più rigide.

Un programma maturo di governance delle identità affronta queste sfide integrando la sicurezza direttamente nelle modalità di concessione, monitoraggio e revoca degli accessi. I componenti fondamentali includono:

• Governance e amministrazione dell'identità (IGA). Il livello fondamentale. IGA definisce chi deve avere accesso a cosa, automatizza il provisioning e il de-provisioning e crea un registro verificabile di ogni decisione di accesso.
• Controllo dell'accesso basato sui ruoli (RBAC). Assegnare le autorizzazioni in base alla funzione lavorativa piuttosto che alla negoziazione individuale. RBAC limita il raggio d'azione di qualsiasi account compromesso e velocizza notevolmente la revisione degli accessi.
• Revisioni dell'accesso continuo. Certificazioni periodiche che verificano se i diritti in vigore corrispondono ancora alle attuali responsabilità lavorative, in modo da individuare il privilege creep prima che diventi una responsabilità.
• De-provisioning automatico. La revoca istantanea dell'accesso quando i dipendenti lasciano, cambiano ruolo o vanno offline elimina il rischio di account inattivi che ha permesso la violazione di Colonial Pipeline.
• Rilevamento delle anomalie e analisi comportamentale. Identificare modelli di accesso insoliti che potrebbero indicare una credenziale compromessa o una minaccia interna, anche quando l'accesso stesso sembrava legittimo.
• Accesso alla rete a fiducia zero (ZTNA). Sostituzione della fiducia implicita basata sulla posizione in rete con una verifica continua dell'identità, della salute del dispositivo e del contesto prima di concedere l'accesso a qualsiasi risorsa.

La creazione di un programma maturo di governance e amministrazione dell'identità (IGA) inizia con la comprensione del gap post-autenticazione e la sua eliminazione. L'IGA fornisce la sicurezza post-autenticazione di cui le aziende di oggi hanno bisogno per mantenere la produttività e garantire la sicurezza.

Ciò significa fornire ai team di sicurezza gli strumenti per automatizzare le decisioni di accesso, rivelare le anomalie e controllare il piano delle identità sulla scala richiesta dal lavoro ibrido.

In pratica, ciò si traduce in:

• Capire cosa succede quando un pen-tester può accedere e muoversi lateralmente all'interno di una rete aziendale e come l'IGA può limitare questo tipo di movimento.
• Valutare se l'identità centrata sull'utente è ancora una possibilità e come si allinea con l'IGA.
• Utilizzare il controllo degli accessi basato sui ruoli per autenticare utenti, sistemi, applicazioni e dati in modo sufficientemente preciso da proteggere l'azienda senza rallentarla.

RSA ID Plus può supportare gli utenti in tutti gli ambienti, comprese le configurazioni cloud, ibride e on-premise. Per saperne di più sulla soluzione o Inizia subito la tua prova gratuita di ID Plus.