Sicurezza delle identità sicura, conforme alle normative e resiliente per la pubblica amministrazione
L'Ordine Esecutivo 14028 e la strategia "Zero Trust Architecture" della CISA stabiliscono chiari mandati per le agenzie federali: implementare sistemi di autenticazione resistenti al phishing, applicare i principi Zero Trust e gestire le identità in contesti lavorativi complessi e multi-ambiente. Le tappe fondamentali sono ben definite e le conseguenze di eventuali falle nella gestione delle identità sono critiche per la missione. RSA aiuta le agenzie federali a colmare il divario tra mandato e attuazione grazie a sistemi di autenticazione forte, governance delle identità e analisi dei rischi basate sull’intelligenza artificiale, efficaci in ambienti on-premise, cloud, ibridi e air-gapped.
Le agenzie federali devono affrontare attacchi persistenti e sofisticati che prendono di mira le credenziali degli utenti e i sistemi di autenticazione. Gli aggressori sfruttano l’autenticazione basata su password, ricorrono all’ingegneria sociale nei servizi di assistenza IT per aggirare l’autenticazione a più fattori (MFA) e utilizzano account compromessi per muoversi lateralmente all’interno delle reti delle agenzie. Il mandato Zero Trust della CISA richiede specificatamente un’autenticazione a più fattori (MFA) resistente al phishing; tuttavia, una maggioranza significativa delle organizzazioni non ha ancora raggiunto una maturità ottimale in termini di Zero Trust, lasciando lacune critiche nel livello di identità.
Come aiuta RSA:
- L'autenticazione senza password resistente al phishing — token hardware, FIDO2, PIV/CAC, dati biometrici — blocca gli attacchi basati sulle credenziali
- Le politiche di accesso adattive bloccano i tentativi di accesso sospetti e applicano controlli sulle sessioni basati sul rischio
- La verifica bidirezionale dell'identità protegge il personale dell'help desk IT dagli attacchi di ingegneria sociale e dall'aggiramento dell'autenticazione a più fattori (MFA)
- L'analisi dei rischi legati all'identità basata sull'intelligenza artificiale rileva comportamenti anomali e consente una risposta automatizzata alle minacce prima che si verifichino danni
- Individua gli account inattivi e abbandonati in tutti gli ambienti, eliminando un vettore di attacco comune nelle violazioni delle reti federali
Le agenzie federali devono soddisfare una serie sempre più ampia di requisiti in materia di identità e autenticazione, tra cui l’EO 14028, l’architettura Zero Trust della CISA, il FISMA e lo standard NIST SP 800-63B. Questi quadri normativi richiedono un’autenticazione a più fattori (MFA) resistente al phishing, controlli di accesso basati sui ruoli, governance degli account privilegiati, monitoraggio continuo e certificazioni di accesso documentate. Le agenzie che non si adeguano vanno incontro a riscontri negativi durante gli audit, ritardi nell’ottenimento dell’autorizzazione all’operatività (ATO) e un aumento dell’esposizione al rischio di violazioni.
Come aiuta RSA:
- L'autenticazione certificata secondo gli standard FIPS 140-2 e 140-3 soddisfa i requisiti crittografici federali per tutti gli ambienti
- Implementazione autorizzata da FedRAMP disponibile per gli ambienti cloud governativi
- Supporto nativo dell'integrazione PIV/CAC e delle smart card per l'accesso dei dipendenti federali e degli appaltatori
- I registri di audit automatizzati e le certificazioni di accesso supportano la rendicontazione FISMA e le verifiche dell'ispettore generale
- È conforme ai requisiti della politica di sicurezza CJIS in materia di verifica dell'identità, autenticazione a più fattori (MFA) e gestione del ciclo di vita degli account per gli enti che trattano informazioni relative alla giustizia penale
Le agenzie federali gestiscono organici numerosi e complessi, che comprendono dipendenti pubblici, appaltatori, organizzazioni partner e personale temporaneo, spesso distribuiti su decine di sistemi e diversi ambiti di sicurezza. I processi manuali di gestione delle identità comportano ritardi nell’assegnazione degli accessi, account abbandonati, autorizzazioni eccessive e rischi interni. Le norme FISMA e NIST 800-53 richiedono controlli documentati di governance degli accessi che si adattino alle dimensioni dell’agenzia.
Come aiuta RSA:
- Automatizza le procedure di inserimento, di cambio di ruolo e di uscita dall'azienda per garantire che gli utenti dispongano degli accessi corretti al momento giusto
- Applica controlli di accesso basati sui ruoli (RBAC) e politiche del privilegio minimo in ambienti on-premise, cloud privato e ibridi
- Utilizza l'intelligenza artificiale per analizzare costantemente i diritti di accesso negli ambienti on-premise, cloud e ibridi, individuando le autorizzazioni eccessive e le deviazioni negli accessi prima che diventino oggetto di rilievi di audit
- Automatizza i flussi di lavoro relativi alle richieste di accesso, alle approvazioni e alle certificazioni a supporto della rendicontazione FISMA
- Fornisce una visione unificata delle attività relative all'accesso, all'autenticazione e alla governance nell'ambito della gestione delle identità, offrendo alle agenzie la visibilità necessaria per intervenire prima che i rischi si trasformino in incidenti
- In sede
- Ambienti isolati fisicamente / riservati
- Cloud privato
- Ibrido (cloud e on-premises)
- FIPS 140-2
- FIPS 140-3
- FedRAMP
- FIDO2
- PIV/CAC
- ISO9001:2015
- CMMC 2.0
- EO 14028 + Architettura Zero Trust della CISA
- FISMA / NIST SP 800-53
- NIST SP 800-63B (AAL2 / AAL3)
- FedRAMP
- Politica di sicurezza CJIS
- CMMC 2.0
