Guida all’Identity and Access Management (IAM)

Jackie Ostlie

1 year ago

Identity and Access Management: Che cos’è e perché è importante?

L’adozione delle best practice dell’Identity and Access Management (IAM) rappresenta una parte importante della difesa proattiva dal ransomware e da altre minacce informatiche, poiché consente di controllare, e limitare, in modo rapido ed efficace chi ha accesso a file e dati all’interno dell’azienda. L’Identity and Access Management si concentra sulla verifica delle identità degli utenti, dei computer, dell’Internet delle cose (IoT) e di altri dispositivi che desiderano o devono essere in grado di accedere a dati, informazioni e sistemi. Una volta completata la verifica, IAM concede l’accesso solo alle risorse di cui l’utente (o il dispositivo) ha bisogno per eseguire le proprie attività e rifiuta le richieste non autorizzate o non riconosciute. IAM è anche utile per la conformità normativa per standard come GDPR e HIPPA e può rappresentare una parte essenziale delle iniziative di trasformazione digitale.

Con l’aumento del lavoro in remoto, degli ambienti multi-cloud, dei dispositivi IoT e del BYOD (Bring Your Own Device), IAM può aiutare a centralizzare l’accesso a tutti questi ambienti e a mantenere le cose sicure e semplici.

Alla base dell’Identity and Access Management e della strategia di sicurezza di un’organizzazione c’è Zero Trust, un approccio che protegge persone, dispositivi, app e dati ovunque si trovino, on-premises, nel cloud o in modalità ibrida, sfidando l’idea tradizionale di fiducia implicita. Piuttosto che dare per scontato che tutto, all’interno e all’esterno del tuo panorama digitale, sia sicuro, Zero Trust opera in base a tre principi chiave “non fidarsi mai, verificare sempre”:

Presupponiamo una violazione. Questo principio parte dal presupposto che la tua rete sia già stata compromessa o possa esserlo in qualsiasi momento, incoraggiando le organizzazioni a orientarsi verso misure di sicurezza proattive.

Verifica in modo esplicito. Prima di ottenere l’accesso alle risorse, gli utenti e i dispositivi devono dimostrare la propria identità al di là delle tradizionali combinazioni di nome utente e password. Questo include spesso l’autenticazione a più fattori e altre misure avanzate.

Imporre l’accesso con privilegi minimi. Solo il livello minimo di accesso dovrebbe essere concesso agli utenti e ai sistemi per svolgere i loro compiti, riducendo i potenziali danni in caso di compromissione.

Le componenti chiave di IAM

I quattro pilastri dell’Identity and Access Management sono: autenticazione, autorizzazione, amministrazione e audit.

Autenticazione: Richiede agli utenti di fornire identificatori e credenziali univoci durante l’accesso, garantendo che gli utenti siano chi dicono di essere.

Autorizzazione: Si assicura che la persona giusta possa accedere alle risorse giuste al momento giusto

Amministrazione: Imposta i criteri amministrativi e gestisce i gruppi di utenti, i ruoli e le autorizzazioni.

Audit: Monitora il comportamento degli utenti e registra le loro attività, incluso il modo in cui utilizzano i privilegi di accesso e i dati, i file e i sistemi a cui accedono. Ciò consente agli amministratori di determinare i ruoli e i criteri degli utenti, supporta la conformità alle normative e crea avvisi di sicurezza quando viene rilevata attività non autorizzata.

Best practice di IAM

Con la rapida crescita nel panorama digitale, le organizzazioni si concentrano non solo sulla produttività dei dipendenti da qualsiasi luogo e in qualsiasi momento, ma anche sulla riduzione al minimo dei rischi e sulla continua ricerca di modi per garantire sicurezza e protezione mentre fanno crescere la loro attività. Ora più che mai, è diventato necessario ideare approcci più efficaci all’IAM. Richiedere password lunghe e complesse e cambiarle frequentemente non è più sufficiente. Una solida policy di IAM è una componente importante per rafforzare la strategia di sicurezza di un’organizzazione e proteggersi da un incidente o da un attacco di sicurezza informatica.

Best practice per l’identità

Di seguito sono riportate alcune best practice per le identità che possono fornire livelli significativamente più elevati di protezione contro le attività dannose e possono contribuire a migliorare l’approccio all’Identity and Access Management:

Senza password: Utilizzo di altri metodi di autenticazione, tra cui conoscenza, possesso e fattori intrinseci. La conoscenza comprova l’identità tramite domande specifiche per l’utente, mentre oggetti fisici come portachiavi o smart card possono autenticare gli utenti tramite il possesso e le caratteristiche biologiche scansionabili, come occhi o impronte digitali, possono servire come fattori intrinseci.

Passkey: Come tipo di autenticazione senza password, una chiave di accesso funge da credenziale digitale utilizzata come metodo di autenticazione per un sito Web o un’applicazione. Sono normalmente memorizzate sui tuoi dispositivi e funzionano con i tuoi dati biometrici o il blocco dello schermo.

MFA: L’autenticazione a più fattori (MFA) richiede due o più credenziali di identità. Nella sua forma più semplice, questo processo richiede una password monouso o una chiave di accesso oltre a una password.

SSO e: Single Sign-On (SSO) è un servizio di terze parti che consente agli utenti di accedere a più applicazioni con un solo set di credenziali. Le credenziali sono protette da una terza parte attendibile, denominata federazione di identità. Ciò semplifica il processo di autenticazione e accesso.

SSPR: Il reset self-service della password (SSPR) consente agli utenti che hanno dimenticato la password di reimpostarla autonomamente senza contattare un help desk. Il reset self-service della password è più sicuro perché in genere usa un’altra forma di autenticazione per consentire la reimpostazione della password (ad esempio, token hardware, campioni biometrici, messaggi di posta elettronica di notifica e così via).

Best practice per la Gestione degli Accessi

Di seguito sono riportate le tecniche utilizzate per determinare i privilegi di accesso degli utenti nei sistemi informatici aziendali e basati su cloud. La gestione degli accessi è una funzione separata che segue la verifica dell’identità. Queste best practice comprendono:

Accesso condizionale: Gestisce l’accesso a tipi di dati e informazioni come utenti e gruppi, posizioni di rete, app e dispositivi, dopo che l’accesso è stato autenticato tramite metodi come il blocco dell’accesso, l’autenticazione a più fattori obbligatoria, il dispositivo compatibile o la modifica forzata della password. Questo processo riunisce vari segnali basati sull’identità per prendere decisioni e applicare i criteri dell’organizzazione. Ad esempio, se un dipendente vuole accedere a Microsoft 365 e alle informazioni su SharePoint dell’azienda, deve connettersi tramite VPN e autenticarsi usando l’autenticazione a più fattori (MFA) per ottenere l’accesso alle app e alle informazioni.

RBAC: L’accesso basato sul ruolo RBAC (Role-based Access Control) utilizza il ruolo di un individuo all’interno dell’organizzazione per determinare il suo livello di accesso ai sistemi e alle informazioni aziendali. Ciò limita l’accesso al livello di informazioni di cui i dipendenti hanno bisogno per svolgere il proprio lavoro. L’RBAC determina anche se un utente dispone di autorizzazioni di lettura, scrittura o modifica dei dati per il materiale collaterale e i dati aziendali.

Accesso con privilegi minimi: Il concetto di privilegio minimo limita l’accesso di un utente solo ai dati, alle informazioni e ai sistemi necessari per completare il proprio lavoro. Questo processo suddivide il lavoro in settori e i confini dell’utente possono essere verticali o orizzontali.

Gestione dei permessi: Ciò accade quando un servizio di terze parti estende le autorizzazioni e la visibilità su piattaforme e cloud diversi. La gestione delle autorizzazioni consente di identificare le anomalie, applicare i criteri di accesso e identificare le modifiche alle autorizzazioni nel tempo.

Una solida strategia IAM

Una solida strategia IAM è fondamentale per proteggere la tua organizzazione da minacce dannose sia esterne che interne. Questa protezione deriva dalla definizione chiara dei ruoli dei dipendenti e dei dispositivi e dall’imposizione di restrizioni su chi può accedere a cosa. Ciò garantisce che la persona o il dispositivo giusto abbia il giusto accesso alle informazioni giuste al momento giusto.

Scegliere la migliore strategia IAM

Se stai guardando IAM, è probabile che tu abbia già alcune applicazioni nel cloud. Un passaggio chiave consiste nel definire le esigenze di sicurezza e conformità del tuo cloud o cloud ibrido. Ciò consente di determinare i migliori sistemi di gestione dell’autenticazione e dell’identificazione per il tuo ambiente specifico. Un altro fattore da prendere in considerazione è la scalabilità e la possibilità che l’IAM cresca con la tua organizzazione e funzioni per il tuo ambiente man mano che si evolve, qualunque forma esso possa assumere. Dovresti anche considerare se puoi integrare efficacemente la tua strategia IAM nei tuoi sistemi attuali.

Vantaggi dell’IAM

I vantaggi di disporre di una solida strategia IAM includono:

Sicurezza dei dati migliorata: I tuoi dati sono più protetti da attacchi dannosi, come ransomware, e manipolazioni non autorizzate. La segmentazione dei ruoli utente significa che gli utenti hanno un accesso limitato ai dati aziendali, rendendo più difficile per i criminali informatici rubare informazioni.

Conformità migliorata: Grazie a solide policy IAM, è possibile soddisfare più facilmente i requisiti di conformità e sicurezza dei dati.

Gestione utenti ottimizzata: I sistemi IAM ottimizzano e riducono i carichi di lavoro e semplificano la gestione degli accessi.

Riduzione dei costi ed efficienza: Soluzioni come le funzionalità di reset self-service della password riducono i carichi di lavoro dei call center e inoltre le policy SSO migliorano l’efficienza dei dipendenti.

Problematiche e insidie da evitare

È possibile risparmiare molto tempo e fastidi conoscendo per tempo queste problematiche e insidie:

Criteri eccessivamente complessi: Evitare strategie IAM eccessivamente complesse, come avere troppi ruoli utente o policy in conflitto.

Bilanciamento tra sicurezza e usabilità: È fondamentale trovare il giusto equilibrio tra le esigenze di sicurezza e la limitazione inutile dei ruoli utente. Non vuoi nemmeno causare inefficienza e frustrazione nella tua forza lavoro.

Formazione inadeguata degli utenti: Una policy IAM può rappresentare una svolta importante rispetto alle pratiche precedenti, quindi è essenziale formare in modo approfondito gli utenti e gli amministratori sui nuovi processi e sistemi.

Trascurare gli aggiornamenti regolari: Rivedere e aggiornare periodicamente le policy per riflettere i cambiamenti nel sistema e nell’organizzazione.

Gestione delle password dimenticate: La perdita delle credenziali causa inefficienza e frustrazione dell’utente. È necessario implementare soluzioni semi-automatizzate che consentano agli utenti di gestire autonomamente le proprie credenziali perse o dimenticate.

Gestione dell’accesso privilegiato: Una cattiva gestione dell’accesso degli utenti privilegiati può creare scappatoie da sfruttare per i criminali informatici. Ridurre questo rischio monitorando continuamente l’attività degli account dotati di autorizzazioni.

Gestione delle dimissioni dei dipendenti: A meno che non si disponga di un sistema per rimuovere tempestivamente l’accesso ai sistemi da parte degli ex dipendenti, si corre il rischio di furto di dati da parte di questi ultimi e si crea un’opportunità per i malintenzionati di rubare le credenziali.

IAM e protezione dal ransomware

L’IAM è un fattore chiave nella prevenzione delle violazioni che si traducono in attacchi malware, come il ransomware. Il Rapporto 2023 sulle minacce ai dati di Thales ha rilevato che l’errore umano è stato responsabile del 55% degli attacchi ransomware subiti dagli intervistati. Una percentuale significativa degli intervistati ha affermato che un livello IAM efficace rappresenta la migliore difesa da questi attacchi informatici.

Una policy IAM rigorosa che utilizzi solide tecniche di gestione delle identità rende molto più difficile per i criminali informatici rubare e sfruttare le credenziali della tua azienda. Come ulteriore misura di protezione, impiegare credenziali temporanee con un periodo di validità limitato. Ciò significa che anche se un hacker ruba le credenziali di accesso di qualcuno, non avrà molto tempo per sfruttarle.

È inoltre fondamentale disporre di un piano di risposta agli incidenti coerente e completo che sfrutti le policy IAM per rilevare e rispondere prontamente alle violazioni quando si verificano. Secondo il rapporto Trends in Digital Identities 2022 di Identity Defined Security Alliance, l’84% delle 500 aziende intervistate ha subito almeno una violazione di identità nel corso dell’anno. Disporre di un piano efficace con una robusta soluzione di backup e ripristino come Veeam Backup & Replication rende molto più facile rilevare e ripristinare da un attacco ransomware.

Considerazioni di conformità e normative

L’IAM è anche un fattore chiave per soddisfare i requisiti di conformità e normativi dei dati. Esistono molte leggi relative alla residenza, all’accesso e alla retention dei dati che è necessario rispettare quando si lavora negli e/o con gli Stati Uniti, il Canada e l’Unione Europea, ad esempio. Tra queste:

GDPR: Diritti globali in materia di protezione dei dati per l’UE

Legge Sarbanes-Oxley (SOX): Per le società quotate in borsa negli Stati Uniti

HIPAA: Per le informazioni sanitarie negli Stati Uniti

FERPA: Per la protezione dei dati degli studenti negli Stati Uniti

CCPA: Per i requisiti californiani come il GDPR dell’UE

PIPEDA: Requisiti federali canadesi per la protezione dei dati

Queste normative stabiliscono gli standard legali e di conformità per la gestione delle informazioni sensibili e IAM svolge un ruolo fondamentale nel garantire che le organizzazioni aderiscano a tali normative.

Anche le considerazioni di conformità e regolamentazione sono importanti perché tutte danno alle persone il potere sui propri dati e sulle informazioni personali. Le persone vogliono sapere che i loro dati sono al sicuro e assicurarsi che l’azienda segua diligentemente queste linee guida rafforza la fiducia che gli utenti hanno nell’organizzazione. L’IAM rappresenta un modo per migliorare la conformità normativa, poiché può essere utilizzato per controllare in modo più rigoroso chi è in grado di accedere ai dati dell’azienda, dei clienti o dei pazienti. Ciò significa meno fughe di dati e violazioni, che promuovono una solida reputazione per la tua azienda e garantiscono che la tua organizzazione sia conforme a queste leggi e normative.

In tutti i casi, delle solide soluzioni IAM che regolino l’autorizzazione e l’audit contribuiscono notevolmente a garantire la conformità normativa. Delle rigorose politiche IAM aiutano le organizzazioni che operano all’interno di diverse giurisdizioni e paesi ad applicare diversi requisiti di privacy e accesso ai dati che includono sicurezza dei dati, backup e policy di retention dei dati a lungo termine.

Tendenze attuali e future in IAM

Situazione attuale

Le tendenze attuali si concentrano su diverse tattiche che hanno lo scopo di migliorare la sicurezza aziendale. Queste tendenze includono:

Nessuna password: Gli hacker possono violare facilmente le password, pesino quelle lunghe con combinazioni di caratteri, numeri e lettere. Inoltre, in realtà, gli utenti utilizzano spesso password basate su parole, che sono più facili da violare.

Abilita MFA: L’MFA aggiunge ulteriori livelli di sicurezza che sono molto più difficili da ingannare, rubare o hackerare.

Implementa una strategia Zero Trust: Una filosofia Zero Trust presuppone che tutto il traffico di rete sia (o possa diventare) compromesso. Per risolvere questo problema, Zero Trust richiede l’autenticazione sia per l’utente che per i suoi dispositivi e limita l’accesso solo alle risorse necessarie per svolgere l’attività. Oltre a presumere che si verificherà una intrusione, Zero Trust prevede inoltre la verifica esplicita di chi accede a quali dati a ogni accesso, la valutazione periodica dei livelli di accesso e l’applicazione dell’accesso con privilegi minimi.

Futuro

La sicurezza dei dati è un obiettivo in continua evoluzione. Mentre gli esperti informatici sviluppano costantemente modi nuovi e migliori per affrontare le minacce alla sicurezza informatica, gli hacker continueranno a trovare nuovi modi per violare le tue difese. Il numero di attacchi informatici continuerà ad aumentare, come emerso da un’osservazione evidenziata nel Report sulle tendenze nel ransomware 2023 di Veeam. Questo report ha rilevato infatti che gli attacchi ransomware sono aumentati di oltre il 12% rispetto al 2022, quando il 76% delle organizzazioni aveva segnalato almeno un attacco. Per non parlare delle violazioni dei dati che si verificano a causa di errori umani o di altre forme di malware,

Ciò significa che le strategie dell’IAM devono continuare a migliorare. Il panorama delle minacce si sta evolvendo altrettanto velocemente, se non più velocemente di noi, quindi è importante guardare sempre avanti e cercare costantemente modi per migliorare.

Una soluzione che sta trovando terreno è l’uso dell’apprendimento automatico e dell’intelligenza artificiale per migliorare il rilevamento delle minacce e fornire informazioni in tempo reale. Passare all’utilizzo dell’intelligenza artificiale e dell’apprendimento automatico aumenta la velocità di rilevamento e libera il personale IT per altre attività. Altri modi per mantenere la tua organizzazione all’avanguardia nella sicurezza informatica è implementare un modello di sicurezza Zero Trust e prestare attenzione ai progressi dell’autenticazione biometrica.

Un’altra tendenza futura è lo sviluppo di profili di rischio utente nel processo di autenticazione e l’utilizzo di metodi basati su blockchain per proteggere i sistemi decentralizzati di gestione delle identità. L’IAM può essere inoltre utilizzato per controllare l’accesso degli utenti alle risorse IoT aziendali.

Conclusione

Una rigorosa IAM è il primo passo verso una soluzione di sicurezza dei dati veramente integrata. Che ci piaccia o no, le violazioni stanno diventando un dato di fatto e devi essere preparato: non vuoi iniziare a pensare alla sicurezza informatica dopo essere stato attaccato. Le policy IAM e l’implementazione dei principi Zero Trust rappresentano le fondamenta per rafforzare la strategia di sicurezza e aiutare a proteggere dalle forme più comuni di attacchi informatici e garantire che i dati più sensibili siano tenuti separati, richiedano un accesso privilegiato e siano al sicuro dal ransomware. Questo, insieme a una piattaforma di backup sicura dotata di backup immutabili e monitoraggio proattivo, significa che essere pronti ad accettare la possibilità di una violazione e a riprendersi al meglio in seguito di un attacco.