Implementazione dell'assenza di password in una delle banche più grandi del mondo con RSA ID Plus

Una delle più grandi banche del mondo ha scelto RSA ID Plus per gettare le basi di un futuro completamente privo di password, eliminando le vulnerabilità legate alle password per dipendenti interni, collaboratori esterni e clienti di alto profilo. L’approccio adottato dalla banca, gli autenticatori scelti e i requisiti di implementazione sono documentati nel caso di studio completo.

Continua a leggere per scoprire le domande chiave che stanno alla base di qualsiasi iniziativa bancaria su larga scala senza password, un quadro di riferimento per l’implementazione basato su come si svolgono effettivamente implementazioni di questo tipo, oppure scarica il caso di studio completo.

FIDO2 è lo standard aperto che rende possibile l'accesso senza password e resistente al phishing. Quando un utente registra un dispositivo FIDO2, viene generata una coppia di chiavi crittografiche univoca: la chiave privata non lascia mai il dispositivo, mentre la chiave pubblica viene registrata nell'applicazione. Al momento dell’accesso, il dispositivo firma una sfida (challenge) legata crittograficamente al sito web legittimo; pertanto, anche se un utente venisse indotto con l’inganno a interagire con una pagina fraudolenta, la risposta di autenticazione non potrebbe essere utilizzata in quel contesto.

Le chiavi di accesso legate al dispositivo ampliano ulteriormente questo concetto: la credenziale è associata a un singolo dispositivo fisico e non può essere esportata né clonata. Negli ambienti bancari, dove le minacce interne e la condivisione dei dispositivi rappresentano preoccupazioni concrete, questo livello di associazione offre la massima garanzia disponibile. Il coinvolgimento di lunga data di RSA nell’Alleanza FIDO lo pone al centro del processo di elaborazione e attuazione di tali standard.

La popolazione di utenti di una banca non è omogenea. Dipendenti interni, collaboratori esterni, clienti con un patrimonio elevato e lavoratori mobili presentano tutti esigenze diverse in termini di accesso ai dispositivi, requisiti di sicurezza e tolleranza alle difficoltà operative. Un’implementazione senza password che funzioni per i trader su postazioni di lavoro fisse ma non per i collaboratori esterni su dispositivi condivisi, o per i clienti in mobilità, non rappresenta una soluzione completa.

RSA ID Plus affronta questo problema supportando l'intera gamma di soluzioni senza password e MFA resistente al phishing metodi — chiavi di sicurezza hardware, passkey mobili associate al dispositivo e token hardware — in ambienti cloud, ibridi e on-premise. Failover ibrido garantisce che l'autenticazione rimanga disponibile anche in caso di interruzione della connessione, un requisito fondamentale per le operazioni nel settore dei servizi finanziari.

Le implementazioni su larga scala di sistemi senza password non avvengono dall’oggi al domani. Per una banca con decine di migliaia di utenti distribuiti su più sistemi e aree geografiche, il passaggio da un accesso basato su password a un’autenticazione completamente resistente al phishing è un programma articolato in più fasi. Ecco come si svolgono in genere le implementazioni di questa portata.

Fase 1. Valutazione e pianificazione

Prima di implementare qualsiasi tecnologia, i team della banca responsabili dell’identità e della sicurezza mappano ogni gruppo di utenti, sistema e caso d’uso di autenticazione. Ciò significa identificare quali utenti necessitano di chiavi hardware anziché di passkey mobili, quali sistemi legacy richiedono soluzioni di ponte e quale sia il piano di ripiego nel caso in cui un metodo fallisca in un determinato ambiente. La pianificazione in questa fase previene le lacune che emergono durante l’implementazione e che costringono a costose rielaborazioni.

Fase 2. Implementazione pilota

Un sottoinsieme ben definito di utenti — in genere una singola unità aziendale o un gruppo pilota interfunzionale — implementa i nuovi dispositivi di autenticazione in un ambiente controllato. L’obiettivo non è solo la validazione tecnica, ma anche quella del flusso di lavoro: l’esperienza di autenticazione si adatta al modo in cui questi utenti operano effettivamente? È molto più economico risolvere eventuali problemi relativi al provisioning, alle procedure di assistenza e alla comunicazione con gli utenti in una fase pilota piuttosto che su larga scala.

Fase 3. Implementazione graduale su larga scala

L’implementazione procede dipartimento per dipartimento o ruolo per ruolo, dando priorità alle categorie di utenti a più alto rischio: account con accesso privilegiato, personale della sala di negoziazione, utenti dei sistemi di compliance. Ogni fase tiene conto degli insegnamenti tratti da quella precedente. Per la banca oggetto del caso di studio, RSA Professional Services ha fornito supporto in loco durante tutta questa fase, assicurando che l’implementazione procedesse secondo i piani in ogni fase.