Che cos’è la gestione delle identità e degli accessi (IAM)?

L’identità è il nuovo perimetro. Che gli utenti effettuino l’accesso da un ufficio aziendale, da una rete domestica o da un sistema di un partner dall’altra parte del mondo, la domanda a cui i team di sicurezza devono rispondere è sempre la stessa: si tratta della persona giusta, che accede alla risorsa giusta, nel contesto giusto e al momento giusto? La gestione delle identità e degli accessi (IAM) rappresenta il modo in cui le organizzazioni rispondono a questa domanda in modo coerente e su larga scala.

In pratica, l’IAM identifica chi è un utente, verifica che sia effettivamente chi dichiara di essere, stabilisce quali azioni è autorizzato a compiere e tiene traccia di ciò che ha fatto. Ogni accesso, ogni autorizzazione, ogni controllo degli accessi e ogni modifica all’account rientra in questo quadro.

La gestione delle identità e degli accessi è la disciplina che si occupa di regolare le identità digitali e gli accessi a esse associati nei sistemi, nelle applicazioni e nei dati di un’organizzazione. Copre l’intero ciclo di vita di un’identità, dal momento della sua creazione attraverso ogni cambiamento di ruolo, ogni adeguamento dei diritti e fino alla sua eventuale revoca.

L'IAM moderno va ben oltre i dipendenti. Si applica a collaboratori esterni, partner, clienti, soggetti terzi, applicazioni, servizi e identità di macchine come bot, agenti di intelligenza artificiale e carichi di lavoro. Ciascuna di queste identità deve essere autenticata, disporre degli accessi appropriati ed essere gestita secondo politiche coerenti.

Un programma IAM completo riunisce diverse funzioni correlate, tra cui:

• Autenticazione che verifica l'identità tramite l'autenticazione a più fattori (MFA), compresi i metodi senza password e la biometria
• Autorizzazione che definisce a quali risorse un’identità è autorizzata ad accedere
• Governance dell'identità che regola le modalità di richiesta, approvazione, revisione e revoca degli accessi
• Gestione del ciclo di vita che automatizza gli eventi relativi alle assunzioni, ai trasferimenti e alle dimissioni
• Monitoraggio e reportistica che garantiscono visibilità sulle attività di accesso e sulla conformità alle politiche

L'obiettivo dell'IAM non è solo quello di controllare gli accessi, ma di farlo in modo tale da supportare le operazioni aziendali, ridurre i rischi e superare con successo gli audit.

La maggior parte delle violazioni odierne deriva da compromissioni della sicurezza delle identità o da carenze nelle politiche di sicurezza relative alle identità. Gli autori degli attacchi non hanno bisogno di superare i firewall quando possono accedere utilizzando credenziali rubate, sottrarre password o altre credenziali, sfruttare un account di servizio dimenticato o approfittare di privilegi permanenti che non sono mai stati rivisti. L'IAM serve proprio a colmare queste lacune.

Senza un solido programma di gestione delle identità e degli accessi (IAM), le organizzazioni si trovano ad affrontare diversi rischi ricorrenti. La gestione delle identità e degli accessi (IAM) è il modo in cui un’organizzazione controlla chi può accedere a quali sistemi, verifica che gli utenti siano effettivamente chi dichiarano di essere e revoca tale accesso quando non è più necessario.

Il costo di un sistema IAM inadeguato si manifesta in tre modi. Le violazioni hanno origine da account dotati di autorizzazioni superiori a quelle richieste dal ruolo ricoperto. Gli audit falliscono perché nessuno ha verificato a chi, cosa e quando sono state concesse le autorizzazioni. Inoltre, il reparto IT spreca ore preziose nel ripristino delle password e nell’assegnazione manuale delle autorizzazioni, invece di dedicarsi alle attività di sicurezza.

Se implementato correttamente, l’IAM risolve tutti e tre i problemi. I nuovi assunti ottengono gli accessi corretti fin dal primo giorno, i revisori ricevono prove concrete anziché fogli di calcolo e una credenziale rubata non ha praticamente alcun effetto. È proprio questo il vantaggio di considerare l’identità come un’infrastruttura di sicurezza, anziché come una funzione amministrativa IT.

L'impatto aziendale di programmi IAM efficaci va oltre la sicurezza. I processi di accesso manuali rallentano la produttività. Controlli incoerenti creano attriti durante le fusioni e le migrazioni al cloud. E senza dati chiari sull'identità, le strategie Zero Trust non possono decollare, perché ogni decisione Zero Trust dipende dalla conoscenza di chi sta richiedendo l'accesso e dall'adeguatezza di tale accesso.

L'IAM affronta questi problemi centralizzando i dati relativi alle identità, automatizzando le decisioni relative agli accessi, applicando il principio del "privilegio minimo" e creando la traccia di audit di cui le organizzazioni hanno bisogno per dimostrare la propria conformità. Rappresenta la base su cui si fondano strategie di sicurezza più ampie come il modello Zero Trust, l'accesso sicuro per le forze lavoro ibride e la valutazione continua dei rischi.

Un modo utile per comprendere l'IAM è quello di suddividerlo in quattro pilastri fondamentali. Ciascuno di essi rappresenta una funzione distinta e, insieme, costituiscono le basi su cui si fonda la gestione degli accessi all'interno di un'organizzazione.

Identificazione

L’identificazione è il punto di partenza. Consente di stabilire chi, o cosa, sta richiedendo l’accesso. Potrebbe trattarsi di un dipendente che effettua l’accesso per iniziare la giornata lavorativa, di un collaboratore esterno che accede al sistema di un progetto, di un’applicazione che chiama un’API, di un agente che richiede l’accesso ai dati o di un account di servizio che esegue un’operazione pianificata. Ogni identità nell’ambiente deve essere definita in modo univoco e collegata a dati autorevoli, in modo che il resto del framework IAM disponga di elementi affidabili su cui basarsi.

Autenticazione

L'autenticazione verifica che l'identità sia autentica. Le sole password non sono più sufficienti, vista la diffusione del phishing, del furto e del riutilizzo delle credenziali. L’autenticazione forte combina più fattori, tra cui metodi resistenti al phishing come le chiavi FIDO2, la biometria e l’autenticazione senza password, per confermare che la persona o il sistema che richiede l’accesso sia effettivamente chi dichiara di essere.

Autorizzazione

L'autorizzazione determina quali azioni è consentito compiere all'identità verificata. È qui che entrano in gioco ruoli, politiche e diritti. Un analista finanziario dovrebbe poter accedere ai sistemi finanziari, ma non al codice sorgente di ingegneria. Un collaboratore esterno dovrebbe disporre di un accesso limitato nel tempo, che scada al termine del progetto. Le decisioni relative all’autorizzazione dovrebbero basarsi sul principio del privilegio minimo, il che significa che ogni identità ottiene solo l’accesso necessario per svolgere il proprio lavoro.

Responsabilità

La tracciabilità è ciò che rende il quadro di riferimento difendibile. Ogni evento di accesso dovrebbe essere registrato, ogni autorizzazione dovrebbe essere verificabile e ogni decisione relativa alle politiche dovrebbe essere tracciabile. La tracciabilità favorisce la conformità, consente lo svolgimento di indagini forensi e fornisce alle organizzazioni le prove necessarie per dimostrare che il loro programma IAM funziona come previsto.

Per chiarire meglio il concetto, consideriamo come funziona l’IAM nella vita di un singolo dipendente.

Un nuovo dipendente entra a far parte dell'azienda. Il sistema delle risorse umane crea un record di identità ufficiale, che viene trasferito alla piattaforma IAM e attiva il provisioning automatico. Il nuovo dipendente riceve un'identità digitale, un account nella rubrica aziendale e un insieme di autorizzazioni di base legate al proprio ruolo. Il primo giorno, effettua l'accesso e si registra al sistema MFA, che verifica la sua identità attraverso una combinazione di fattori basati su qualcosa che conosce, qualcosa che possiede e/o qualcosa che è.

Una volta effettuata l'autenticazione, il sistema IAM valuta a quali risorse l'utente è autorizzato ad accedere. In base al proprio ruolo, l'utente ottiene l'accesso alla posta elettronica, agli strumenti di collaborazione e alle applicazioni aziendali utilizzate dal proprio team. I sistemi sensibili rimangono off-limits a meno che il ruolo dell'utente non ne richieda specificatamente l'accesso.

Sei mesi dopo, il dipendente assume un nuovo ruolo. Il sistema delle risorse umane aggiorna la sua scheda personale. La piattaforma IAM rileva la modifica e adegua automaticamente i diritti di accesso: i vecchi diritti vengono rimossi, vengono concessi quelli nuovi e ai responsabili viene richiesto di certificare il risultato in occasione della successiva revisione dei diritti di accesso.

Alla fine il dipendente lascia l’azienda. Il sistema delle risorse umane segnala la cessazione del rapporto di lavoro. La piattaforma IAM revoca immediatamente i suoi diritti di accesso, chiudendo ogni account, revocando ogni autorizzazione e creando una registrazione dell’offboarding a fini di audit. Le organizzazioni dotate di programmi IAM consolidati applicheranno questi stessi controlli all’IA agentica e collegheranno gli agenti a utenti umani responsabili.

Ecco come dovrebbe funzionare l’IAM: basato sull’identità, regolato da policy, automatizzato e verificabile dall’inizio alla fine.

Un programma IAM ben consolidato offre vantaggi misurabili in termini di sicurezza, operazioni e conformità:

• Riduce gli accessi non autorizzati applicando una rigorosa verifica dell'identità per ogni richiesta
• Supporta l'accesso con il minimo privilegiotra utenti, applicazioni e identità delle macchine
• Migliora l'efficienza operativaattraverso l'automazione delle operazioni di assegnazione, revoca e verifica degli accessi
• Semplifica l'inserimento dei nuovi assunti, i cambiamenti di ruolo e l'uscita dall'aziendain modo che le persone possano ottenere l'accesso di cui hanno bisogno senza ritardi e lo perdano quando è il momento
• Migliora la conformità e la preparazione alle verifichegrazie a un’applicazione coerente delle politiche e a registri completi degli accessi
• Migliora la visibilità per stabilire chi ha accesso a cosa, quando ne ha fatto uso e se tale accesso sia ancora appropriato

Questi vantaggi si amplificano nel tempo. Quanto prima un’organizzazione investe nell’IAM, tanto meno dovrà spendere in seguito per districarsi tra le autorizzazioni accumulate e per correggere le criticità emerse dagli audit.

L'IAM si avvale di una serie di tecnologie che operano in sinergia per verificare le identità, gestire i diritti, applicare le politiche e monitorare gli accessi sia negli ambienti cloud che in quelli on-premise. Non esiste un unico strumento in grado di coprire tutte le funzioni dell'IAM; per questo motivo, la maggior parte delle organizzazioni gestisce l'IAM come un insieme integrato di funzionalità.

Strumenti di autenticazione

Queste tecnologie verificano l'autenticità di un'identità prima di concedere l'accesso. Tra queste figurano l'autenticazione a più fattori, l'autenticazione senza password, la verifica biometrica, i token hardware come le chiavi FIDO2 e il Single Sign-On, che consente agli utenti di autenticarsi una sola volta e di accedere a più applicazioni collegate senza dover effettuare ripetuti accessi.

Strumenti di governance dell'identità

Gli strumenti di governance gestiscono il ciclo di vita degli accessi. Si occupano delle richieste di accesso e delle approvazioni, gestiscono le certificazioni e le revisioni degli accessi, garantiscono la separazione dei compiti e automatizzano le operazioni di assegnazione e revoca degli accessi su tutti i sistemi collegati. Si tratta dei controlli che assicurano che l’accesso rimanga adeguato nel tempo, non solo il primo giorno.

Strumenti per il controllo degli accessi e delle politiche

Questi strumenti determinano quali azioni possono compiere gli utenti autenticati. Tra questi figurano il controllo degli accessi basato sui ruoli, in cui i diritti sono legati a ruoli definiti; il controllo degli accessi basato su criteri, in cui le decisioni sono determinate da attributi e regole; e l’accesso adattivo o condizionale, in cui le decisioni tengono conto del contesto in tempo reale, come lo stato del dispositivo, la posizione e i segnali di rischio.

Modelli di sicurezza Zero Trust

L'IAM è fondamentale per Fiducia zero. Un modello zero-trust non presuppone alcuna fiducia implicita basata sulla posizione nella rete e valuta costantemente l'identità, il dispositivo e il contesto prima di concedere l'accesso. L'IAM fornisce i segnali di identità, l'applicazione delle politiche e la verifica continua che rendono lo zero-trust possibile nella pratica e non solo in teoria.

La differenza fondamentale è semplice: la gestione delle identità riguarda chi è una persona, mentre la gestione degli accessi riguarda ciò che può fare. Entrambe le funzioni fanno parte dello stesso quadro IAM, ma rispondono a domande diverse e si basano su controlli diversi.

La gestione delle identità si concentra sulla creazione, la manutenzione e la gestione delle identità digitali. Si occupa di stabilire chi fa parte dell'ambiente, quali attributi lo descrivono e come la sua identità muta nel tempo. Ciò include l'inserimento, i cambiamenti di ruolo, l'appartenenza a gruppi e l'uscita dall'ambiente.

La gestione degli accessi si concentra su ciò che tali identità possono fare. Comprende l'autenticazione, l'autorizzazione, la gestione delle sessioni e le politiche che determinano a quali risorse un'identità può accedere e a quali condizioni.

Entrambe le funzioni operano in sinergia all’interno di un unico framework IAM. Senza dati di identità affidabili, le decisioni relative agli accessi non hanno alcun criterio attendibile su cui basarsi. Senza una solida gestione degli accessi, i dati di identità rimangono inutilizzati.

Come interagiscono la gestione delle identità e quella degli accessi

La gestione delle identità getta le basi: record di identità affidabili, assegnazioni accurate dei ruoli e un ciclo di vita ben definito. La gestione degli accessi si avvale di tali basi per prendere decisioni sicure e basate su criteri ogni volta che un utente, un'applicazione o un dispositivo richiede l'accesso. Insieme, forniscono alle organizzazioni sia i dati che i controlli necessari per applicare il principio del privilegio minimo su larga scala.

L'IAM trova applicazione in quasi tutti gli ambiti di un'organizzazione moderna, dalla protezione degli accessi quotidiani dei dipendenti alla gestione degli accessi di terze parti, fino al supporto dei requisiti di audit. Tra gli scenari più comuni figurano:

Gestione degli accessi del personale

Garantire ai dipendenti l'accesso ai sistemi aziendali, alle applicazioni aziendali e ai servizi cloud. Questo è il caso d'uso più comune dell'IAM e quello da cui partono la maggior parte delle organizzazioni.

Controllo degli accessi privilegiati

Gestione dei privilegi di accesso di cui dispongono amministratori, dirigenti e altre figure chiave. Gli account con privilegi sono uno degli obiettivi principali degli hacker, pertanto richiedono un’autenticazione più rigorosa, una governance più stringente e un monitoraggio continuo.

Accesso di terzi e appaltatori

Concedere un accesso limitato e a tempo determinato a fornitori, partner e appaltatori. L'accesso esterno dovrebbe scadere automaticamente al termine del rapporto di collaborazione, un aspetto che la gestione automatizzata del ciclo di vita gestisce in modo efficiente.

Applicazioni e accesso al cloud

Controllo degli accessi in ambienti SaaS, ibridi e on-premise attraverso la federazione, il Single Sign-On e l’applicazione coerente delle politiche. Con l’espansione del portafoglio di applicazioni, questo aspetto diventa uno dei più impegnativi dal punto di vista operativo nell’ambito dell’IAM.

Supporto in materia di conformità e audit

Utilizzare i controlli IAM per dimostrare che le persone giuste dispongono degli accessi giusti per i motivi giusti. Le revisioni degli accessi, i registri relativi all’applicazione delle politiche e i registri di audit dettagliati sono ciò che le autorità di regolamentazione e i revisori interni si aspettano di vedere.

Non esiste un unico percorso verso la maturità in materia di IAM, ma la maggior parte dei programmi di successo si basa sulla stessa serie di passaggi fondamentali.

1. Valutare gli utenti, i sistemi e i rischi legati all'accesso: Individuare chi necessita di accesso, quali risorse devono essere protette e dove si riscontrano attualmente delle lacune. Questo quadro di riferimento determina ogni decisione successiva.
2. Centralizzare i dati relativi alle identità: Stabilire fonti autorevoli di dati attendibili sull’identità, in genere il sistema delle risorse umane per i dipendenti e la directory per gli account. Senza una solida base di dati sull’identità, l’automazione a valle non funzionerà in modo affidabile.
3. Definire i ruoli e le politiche di accesso: Definire regole di accesso basate sui ruoli o sulle politiche, in linea con il principio del privilegio minimo. I ruoli dovrebbero rispecchiare il modo in cui l’azienda opera effettivamente, non come appaiono gli organigrammi sulla carta.
4. Rafforzare l'autenticazione: Implementare l'autenticazione a più fattori, metodi resistenti al phishing e controlli di accesso condizionato che si adattino al livello di rischio. L'eliminazione graduale dell'accesso basato esclusivamente sulla password è uno dei cambiamenti di maggiore impatto che la maggior parte delle organizzazioni possa apportare.
5. Automatizzare l'assegnazione e la revoca delle risorse: Ridurre il lavoro manuale e colmare le lacune di sicurezza in occasione dell’assunzione, del trasferimento e della cessazione del rapporto di lavoro. L’automazione riduce sia il tempo necessario per concedere l’accesso sia il periodo durante il quale gli ex dipendenti continuano a disporne.
6. Verificare e gestire l'accesso in modo continuativo: Eseguire regolarmente le certificazioni di accesso, monitorare l'utilizzo e adeguare i diritti man mano che i ruoli e i rischi cambiano. L'IAM non è un'implementazione una tantum, ma un programma continuo.

I servizi IAM sono gli strumenti, i processi e le funzionalità gestite che le organizzazioni utilizzano per creare identità, autenticare gli utenti, assegnare diritti di accesso, applicare le politiche e revocare l'accesso quando non è più necessario. La maggior parte delle soluzioni comprende la governance delle identità, l’autenticazione, la gestione degli accessi, l’automazione del ciclo di vita e la reportistica, mentre le organizzazioni di maggiori dimensioni spesso integrano anche la gestione degli accessi privilegiati, l’identità dei clienti e il rilevamento delle minacce alle identità. L’obiettivo è lo stesso per tutte: ridurre i rischi legati alle identità, garantire la conformità e facilitare l’accesso sicuro per chi ne ha bisogno.

La gestione delle identità e degli accessi (IAM) offre alle organizzazioni il quadro di riferimento necessario per verificare chi richiede l’accesso, decidere quali azioni debbano essere consentite, gestire tale accesso nel tempo e fornire prove di tutto ciò ai revisori. Man mano che gli ambienti diventano più complessi e gli attacchi basati sull’identità si fanno sempre più frequenti, un solido programma IAM non è più un semplice elemento auspicabile per la sicurezza. È il fondamento su cui poggia tutto il resto.

RSA aiuta le organizzazioni a gettare queste basi grazie a una sicurezza unificata delle identità che abbraccia la governance, l’autenticazione e la gestione degli accessi, comprese opzioni di implementazione sovrana per chi opera nel rispetto dei più elevati requisiti di sicurezza. Scopri come RSA può rafforzare il tuo programma di gestione degli accessi con RSA ID Plus e Governance e ciclo di vita RSA.