Nella sicurezza informatica, l'identità è fondamentale. E per quanto riguarda l'identità, è assolutamente necessario essere in grado di rispondere alle domande più importanti: chi accede ai vostri sistemi, a cosa può accedere e se l'accesso è appropriato.
I team di sicurezza lavorano da decenni per ottenere risposte affidabili. Era più facile quando tutti lavoravano dallo stesso sito, o almeno dietro lo stesso firewall. Oggi, invece, gli utenti potrebbero lavorare praticamente ovunque e potrebbero aver bisogno di accedere ad applicazioni e risorse nel cloud, in più cloud o in un data center.
Cercare di proteggere, governare e gestire gli utenti in questi ambienti può essere complicato. Nelle sezioni che seguono, tratteremo le domande che i team di sicurezza dovrebbero porsi in materia di identità e accesso e spiegheremo come la governance delle identità vi aiuti a trasformare queste risposte in controlli più solidi, rischi ridotti e prove di conformità più chiare.
Governance dell'identità è importante perché aiuta a controllare e dimostrare chi ha accesso a cosa, perché lo ha e come tale accesso cambia nel tempo. In ambienti ibridi, è la differenza tra l'assunzione del minimo privilegio e la sua effettiva applicazione.
Senza governance, la dispersione degli accessi cresce silenziosamente con il cambio di ruolo degli utenti, la comparsa di nuove app e la permanenza di eccezioni. Questo aumenta l'impatto delle violazioni, rallenta le indagini e rende più difficili gli audit.
Prima di poter ridurre il rischio di identità, è necessario avere risposte affidabili sulla fiducia nell'accesso e sulla visibilità degli accessi. Iniziate a separare la verifica dell'identità dalla comprensione degli accessi esistenti nei sistemi e negli ambienti.
Gli utenti sono chi dicono di essere?
La gestione dell'identità e degli accessi (IAM) verifica l'identità di un utente al momento dell'accesso e decide se deve essere ammesso in un sistema. In pratica, ciò significa autenticare l'utente e quindi autorizzare l'accesso alle risorse giuste, spesso utilizzando l'autenticazione a più fattori (MFA).
L'IAM è essenziale, ma è solo il primo passo. Una volta che l'utente è entrato, i team di sicurezza hanno ancora bisogno di visibilità su ciò a cui l'utente può accedere attraverso le app SaaS, l'infrastruttura multi-cloud, i dispositivi IoT e i sistemi di terze parti. Senza questa visibilità, è più difficile individuare gli accessi a rischio, dare priorità alle minacce all'identità e supportare i requisiti di sicurezza e privacy.
Chi è presente nel sistema e a cosa può accedere?
La governance e l'amministrazione delle identità (IGA) forniscono visibilità e controllo su chi ha accesso a cosa, in ambienti cloud e on-premise. Aiuta i team a determinare quali accessi esistono, se sono appropriati e come devono cambiare nel tempo.
La maggior parte dei programmi IGA si concentra su quattro capacità fondamentali:
- Governance dell'identità: Comprendere ed esaminare chi ha accesso a cosa, compresi gli utenti, i ruoli e le applicazioni ad alto rischio.
- Ciclo di vita dell'identità: Automatizzate i processi di adesione, trasferimento e abbandono, comprese le richieste, le approvazioni, il provisioning e l'applicazione dei criteri.
- Governance dell'accesso ai dati: Identificare chi può accedere ai dati non strutturati, rilevare gli accessi problematici e rimediare rapidamente.
- Gestione dei ruoli aziendali: Definire ruoli e criteri, ridurre la dispersione dei ruoli e automatizzare la certificazione dei ruoli.
Quando l'identità viene utilizzata in modo improprio o compromessa, un accesso eccessivo o poco chiaro aumenta l'impatto. Una visione centralizzata degli accessi aiuta i team a rilevare i problemi in anticipo, a supportare le esigenze di conformità (tra cui SOX, HIPAA e GDPR) e a ridurre il lavoro manuale legato a certificazioni, richieste e provisioning.
Sapere chi ha accesso è solo una parte del problema. Il passo successivo consiste nell'assicurarsi che l'accesso sia giustificato, appropriato per il ruolo e limitato dalle politiche e dai rischi.
Perché gli utenti hanno bisogno di accedere a risorse specifiche?
Gli utenti devono accedere alle risorse per svolgere responsabilità lavorative definite, non perché hanno un account o appartengono a un reparto. La governance delle identità aiuta a legare l'accesso a una chiara giustificazione aziendale, a un ruolo e a una politica approvata dal proprietario.
Dal punto di vista pratico, ciò significa di solito definire modelli di accesso basati sui ruoli o sulle policy, richiedere uno scopo dichiarato per le eccezioni e assegnare proprietari di applicazioni e dati che possano approvare l'accesso in base al rischio e alla necessità. Nel corso del tempo, la governance riduce la “deriva dell'accesso” rivalutando se l'accesso è ancora necessario quando gli utenti cambiano ruolo o progetto.
Cosa faranno gli utenti con determinati accessi?
L'accesso non è solo una decisione positiva o negativa. Determina le azioni che un utente può compiere, i dati che può raggiungere e l'entità dei danni che un account compromesso può causare.
La governance delle identità aiuta i team a valutare gli accessi in base al rischio, comprese le azioni privilegiate, l'esposizione di dati sensibili e le combinazioni tossiche di accesso che non dovrebbero mai esistere insieme. In pratica, è qui che si introducono i privilegi minimi, la separazione dei compiti, le certificazioni degli accessi e i flussi di lavoro di rimedio mirati per i diritti ad alto rischio. È anche il momento in cui le funzionalità di garanzia continua dell'accesso, come quelle presenti in Governance e ciclo di vita RSA, e supportano un rilevamento e una bonifica più rapidi.
Come si definisce in pratica il privilegio minimo?
Il privilegio minimo significa che gli utenti hanno solo l'accesso necessario per svolgere il proprio lavoro, per il tempo necessario, e niente di più. Non si tratta di una decisione una tantum. È una disciplina continua.
I team definiscono l'accesso basato sui ruoli e i pacchetti di accesso “predefiniti”, quindi trattano tutto ciò che non rientra negli standard come un'eccezione che deve essere giustificata e approvata. Le revisioni continue degli accessi, i controlli sulla separazione dei compiti e la pulizia mirata dei diritti ad alto rischio impediscono l'insinuarsi dei privilegi in base ai cambiamenti dell'ambiente.
L'accesso cambia costantemente con l'ingresso, il cambio di ruolo e l'uscita di persone. Una governance solida consente di mantenere accurati i diritti grazie a flussi di lavoro ripetibili, aggiornamenti tempestivi e revisioni che portano a una vera e propria correzione.
In che modo i processi di adesione, trasferimento e abbandono riducono il rischio?
I processi di adesione, trasferimento e dimissione riducono il rischio allineando l'accesso allo stato di occupazione e ai cambiamenti di ruolo, in modo che l'accesso non rimanga dopo che non è più necessario. Quando questi flussi di lavoro si interrompono, gli account orfani e le autorizzazioni obsolete diventano facili vie per un uso improprio.
L'obiettivo pratico è la coerenza e la velocità. Un buon processo del ciclo di vita automatizza le richieste, le approvazioni, il provisioning e il deprovisioning tra i vari sistemi, e registra cosa è cambiato e perché. In questo modo si riduce la dispersione degli accessi, si limita l'impatto delle violazioni e si facilitano le indagini e le verifiche.
Come funzionano effettivamente le revisioni e le certificazioni degli accessi?
Le revisioni e le certificazioni degli accessi funzionano facendo in modo che i revisori giusti confermino se l'accesso di un utente è ancora appropriato, in base al ruolo, alla policy e al rischio. Il risultato è una serie di decisioni (approvare, revocare o modificare) che dovrebbero portare a un'effettiva correzione.
Se ben condotte, le revisioni sono mirate a un accesso significativo, sono indirizzate ai responsabili e sono prioritarie per i diritti ad alto rischio. Inoltre, producono prove pronte per la revisione, tracciando chi ha revisionato cosa, cosa ha deciso, quando lo ha deciso e se le modifiche sono state completate e verificate.
La governance delle identità dovrebbe far parte di ogni strategia di rischio informatico perché la maggior parte delle decisioni significative in materia di rischio sono decisioni relative all'accesso. Se non si è in grado di spiegare con sicurezza chi ha accesso, perché lo ha e se è appropriato, non si può ridurre il rischio, rispondere rapidamente o produrre prove pronte per la revisione.
La governance rende operativa la strategia di rischio rendendo l'accesso misurabile e applicabile. Aiuta i team a stabilire le priorità di rimedio in base all'impatto, a ridurre l'eccesso di accesso e a prevenire gli accessi orfani attraverso l'automazione di joiner, mover e leaver. Molti team, inoltre, spostano il loro programma oltre la conformità delle caselle di controllo, applicando una lente di rischio alle decisioni sull'accesso, come descritto nella prospettiva di RSA su Perché la governance ha bisogno di una lente di rischio.
Una forte sicurezza dell'identità richiede sia la verifica al momento dell'accesso sia la governance dopo che l'accesso è stato concesso. RSA soluzioni e prodotti supportano questa visione completa, dall'autenticazione alla garanzia di accesso continuo in ambienti ibridi.
Per saperne di più, esplorate Governance e ciclo di vita RSA per la garanzia di accesso continuo, e le funzionalità di autenticazione di RSA, tra cui autenticazione a più fattori (MFA) e autenticazione senza password.
La gestione dell'identità e degli accessi (IAM) verifica l'identità di un utente al momento dell'accesso e determina se deve essere ammesso in un sistema. Autentica l'utente e autorizza l'accesso alle risorse giuste, spesso utilizzando l'autenticazione a più fattori (MFA). L'IAM è essenziale, ma è solo il primo passo. Una volta che l'utente è entrato, i team di sicurezza hanno bisogno di visibilità su ciò a cui l'utente può accedere attraverso le applicazioni SaaS, l'infrastruttura multi-cloud, i dispositivi IoT e i sistemi di terze parti.
La governance e l'amministrazione delle identità (IGA) forniscono visibilità e controllo su chi ha accesso a cosa negli ambienti cloud e on-premise. Aiuta i team a determinare quali accessi esistono, se sono appropriati e come devono cambiare nel tempo. La maggior parte dei programmi IGA si concentra sulla governance delle identità, sul ciclo di vita delle identità, sulla governance degli accessi ai dati e sulla gestione dei ruoli aziendali. Una visione centralizzata degli accessi aiuta i team a individuare prima i problemi, a supportare le esigenze di conformità e a ridurre il lavoro manuale legato a certificazioni, richieste e provisioning.
Gli utenti devono accedere alle risorse per svolgere responsabilità lavorative definite, non perché hanno un account o appartengono a un dipartimento. La governance delle identità vincola l'accesso a una chiara giustificazione aziendale, a un ruolo e a una politica approvata dal proprietario. In pratica, ciò significa utilizzare modelli di accesso basati sui ruoli o sulle policy, richiedere uno scopo dichiarato per le eccezioni e assegnare proprietari di applicazioni e dati che possano approvare l'accesso in base al rischio e alla necessità.
L'accesso non è solo una decisione positiva o negativa. Determina quali azioni un utente può compiere, quali dati può raggiungere e quanti danni può causare un account compromesso. La governance delle identità aiuta i team a valutare l'accesso in base al rischio, comprese le azioni privilegiate, l'esposizione di dati sensibili e le combinazioni tossiche di accesso che non dovrebbero mai esistere insieme. Supporta i privilegi minimi, la separazione dei compiti, le certificazioni degli accessi e i flussi di lavoro di rimedio per i diritti ad alto rischio.
Least privilege significa che gli utenti hanno solo l'accesso necessario per svolgere il proprio lavoro, per il tempo necessario, e niente di più. I team definiscono l'accesso basato sui ruoli e i pacchetti di accesso predefiniti, quindi trattano tutto ciò che non rientra negli standard come un'eccezione che deve essere giustificata e approvata. Le revisioni continue degli accessi, i controlli sulla separazione dei compiti e la pulizia mirata dei diritti ad alto rischio impediscono l'aumento dei privilegi in base ai cambiamenti dell'ambiente.
I processi di adesione, trasferimento e abbandono riducono il rischio allineando l'accesso allo stato di occupazione e ai cambiamenti di ruolo, in modo che l'accesso non rimanga dopo che non è più necessario. Un buon processo del ciclo di vita automatizza le richieste, le approvazioni, il provisioning e il deprovisioning tra i vari sistemi e registra le modifiche apportate e i relativi motivi. In questo modo si riduce la dispersione degli accessi, si limita l'impatto delle violazioni e si facilitano le indagini e gli audit.
Le revisioni e le certificazioni degli accessi funzionano facendo in modo che i revisori giusti confermino se l'accesso di un utente è ancora appropriato in base al ruolo, alla policy e al rischio. I revisori approvano, revocano o modificano l'accesso e le decisioni devono portare a un'effettiva correzione. Se ben condotte, le revisioni sono mirate all'accesso significativo, indirizzate ai responsabili, classificate per priorità in base ai diritti ad alto rischio e tracciate come prove pronte per la revisione.
