Cos'è Identity and Access Management?
Identity Access Management è un servizio che offre sistemi di tecnologie e processi che consentono solo agli utenti con autorizzazione ufficiale di accedere a dati, risorse, strumenti e altro ancora. Questo sistema protegge l'azienda da eventuali azioni malevole e assicura il mantenimento delle best practice IT, il tutto nel rispetto degli obiettivi di conformità alle normative vigenti.
Definizione di Identity Access Management
Per comprendere cos’è un servizio di Identity and Access Management è innanzitutto importante conoscere lo scenario digitale dell’azienda. Le soluzioni digitali e la loro capacità di analizzare dataset hanno apportato enormi vantaggi per le aziende, tra cui strategie più efficaci e una maggiore produttività. Questo passaggio al digitale ha però anche reso i dati, le risorse e gli strumenti molto più esposti alle minacce interne ed esterne, in particolare a quelle relative a identità e accesso.
Ma in che modo un'azienda può assicurarsi che solo le persone con le autorizzazioni appropriate accedano a dati, risorse e sistemi sensibili? È una delle principali preoccupazioni dei dipartimenti IT, perché l’adozione di una strategia sbagliata potrebbe causare perdite finanziarie catastrofiche e danni alla reputazione dell’azienda.
Approccio moderno per un problema moderno
Progettato per risolvere questi problemi, il servizio per la gestione di accessi e identità offre una struttura che consente ai responsabili IT di definire restrizioni per l'accesso a dati, risorse, asset e sistemi aziendali. Gli utenti "identificati" come legittimi possono accedere rapidamente alle risorse a cui sono autorizzati.
Tutti gli altri, per esempio gli hacker o i dipendenti senza autorizzazione adeguata, vengono invece bloccati. Per maggiore chiarezza, in un contesto in cui nessun sistema garantisce una protezione totale alle aziende che operano in ambienti con minacce in continua evoluzione, un servizio di Identity Management costituisce attualmente la soluzione migliore perché in grado di identificare e intercettare potenziali azioni malevole o bloccare le violazioni dei dati prima che si verifichino. Questi strumenti rappresentano quindi un cambiamento decisivo nella protezione dei dati e allo stesso tempo dimostrano un autentico impegno verso l’avanzamento delle best practice IT.
Come funziona Identity Access Management?
Gestione dell'identità
L'elemento “identity” dell’Identity Access Management viene gestito in tre modi diversi:
Identificazione
Il fulcro di qualsiasi soluzione di gestione delle identità e degli accessi è il database di gestione delle identità, che fornisce informazioni dettagliate su tutti i dipendenti e gli stakeholder e sulla loro identità digitale, ad esempio nome, numero identificativo e ruolo. A seconda delle classificazioni delle identità digitali, è possibile attribuire diversi livelli di accesso. Ad esempio, le informazioni finanziarie sensibili possono essere assegnate in modo che siano accessibili solo alle identità pertinenti, mentre i dati non sensibili o poco sensibili a più identità o tipi di funzione.
Aggiornamenti
I ruoli di dipendenti e stakeholder sono in costante evoluzione ed è quindi necessaria una gestione efficace del ciclo di vita dell'identità. Ciò significa che quando qualcuno lascia l'azienda il suo accesso viene sospeso o se un dipendente è promosso i suoi privilegi di accesso possono essere modificati all'interno della soluzione di Identity Access Management in base al nuovo ruolo.
Autenticazione
I servizi di Identity and Access Management possono attribuire diversi tipi di autenticazione per garantire che la persona che tenta di utilizzare un'identità nel database di gestione delle identità ne sia effettivamente il titolare. I processi di autenticazione includono l'autenticazione a due fattori. Questo sistema prevede l’inserimento di nome utente e password come primo fattore, prima che venga richiesto di fornire il secondo
che in genere consiste in un codice univoco inviato all'indirizzo di posta elettronica o al cellulare e che deve essere inserito per ottenere l'accesso. Questo metodo è simile al servizio offerto dalle soluzioni di gestione delle identità e degli accessi per i clienti adottati dalle banche per confermare un acquisto online.
Gestione degli accessi
Quali tecnologie e processi sono alla base dell’Identity Access Management?
Single Sign-On (SSO)
Attribute-Based Access Control (ABAC)
Privileged Access Management (PAM)
Role-Based Access Control (RBAC)
I controlli degli accessi vengono generalmente implementati tramite RBAC. In questo modo è possibile assegnare privilegi all’interno della soluzione IAM in base al ruolo del dipendente, definendo gli accessi di cui dispone o meno. Questa potente funzionalità consente di ottimizzare i permessi in modo granulare e definire le azioni specifiche che possono essere eseguite.
Per esempio, a un dipendente IT in formazione potrebbe essere concessa l'autorizzazione per accedere e monitorare prestazioni hardware specifiche ma non quella per apportare modifiche effettive. In questo caso, sarà infatti necessario segnalare eventuali problemi a un utente con permessi appropriati o con PAM. Queste soluzioni, associate, migliorano notevolmente la sicurezza generale e riducono il rischio di azioni non autorizzate.
Autenticazione adattiva
Critical Security Controls (CIS)
Lavorando insieme alla gestione degli accessi e delle identità per creare una solida strategia di sicurezza IT, il CIS fornisce il quadro per educare alle best practice relative a sicurezza e sicurezza dei dati all'interno di un'azienda, mentre IAM è responsabile di gestire identità e permessi.
Vantaggi di IAM per le aziende
Protezione dell'azienda
Semplificazione dei processi
Adozione del digitale
Viviamo in un mondo "digital-first", in cui l'accesso ai sistemi aziendali può essere richiesto tramite BYOD, telelavoro, dispositivi IoT e molto altro. Per mantenere il controllo della sicurezza di rete, la capacità dei sistemi IAM di riunire tutti questi tipi di richiesta in un’unica interfaccia che definisce le autorizzazioni ed esegue l’autenticazione è fondamentale.
Protezione dei dati
La modalità di trasmissione dei dati è altrettanto importante dell’identità degli utenti che possono accedere ai dati. Una soluzione efficace per la gestione dell'identità e degli accessi offre strumenti di crittografia dei dati che cifrano le informazioni in trasmissione, in modo che anche se intercettati da malintenzionati o soggetti a violazioni, i dati restino crittografati risultando quindi privi di valore per i destinatari non autorizzati.
Liberazione dell'IT
Utilizzo dell’IA
Come già evidenziato, l'Intelligenza Artificiale svolge un ruolo sempre più importante nei sistemi di Identity and Access Management. L’IA può creare ad esempio un riferimento per il normale comportamento degli utenti fino a raggiungere un singolo utente. Quando l’IA rileva che un utente specifico sta effettuando un numero insolito di tentativi di accesso, può segnalare questa situazione come potenziale minaccia alla sicurezza, bloccando l’utente se necessario.
Garanzia di conformità
Le aziende possono utilizzare i log degli accessi di Identity Access Management a scopo di controllo. Internamente, gli utenti possono essere monitorati per verificare che non abusino dei propri permessi di accesso o per identificare i potenziali hacker e isolarli dal sistema IT aziendale. Allo stesso modo, le eccezionali capacità di controllo offerte da Identity and Access Management consentono alle aziende di dimostrare alle autorità di regolamentazione la piena conformità alla legislazione sulla sicurezza, incluso il Regolamento Generale sulla Protezione dei Dati.
Come implementare Identity Access Management in azienda
Pianificare
... gli obiettivi di IAM e conquistare il consenso degli stakeholder chiedendo quali siano le loro esigenze e, soprattutto, le loro aspettative rispetto alla soluzione completa.
Definire
... chi deve detenere l’accesso e a quali dati, risorse, asset, sistemi e livello, per creare una politica degli accessi solida e in linea con i requisiti di sicurezza e conformità dell’azienda.
Procurarsi
... la tecnologia IAM più adatta alle esigenze aziendali tramite un provider IDaaS affidabile (soluzione basata sul Cloud) o una soluzione on-premise.
Configurare
... la soluzione di Identity Access Management con i metodi di autenticazione necessari e assicurarne l'integrazione con le tecnologie e applicazioni esistenti utilizzate dall'azienda.
Implementare
... una soluzione di IAM in più fasi, mai in una sola volta, per garantire che il servizio sia completamente testato e che i problemi vengano risolti immediatamente senza impatto su tutta l’azienda.
Formare
... il personale sull’utilizzo degli strumenti di Identity and Access Management, per garantire l'adesione e la fiducia degli utenti nella nuova soluzione, sottolineando allo stesso tempo le best practice per la sicurezza.
Monitorare
... e mantenere la soluzione di IAM man mano che viene implementata in azienda. Questo monitoraggio dovrebbe essere eseguito su base continua e la soluzione essere costantemente aggiornata quando sono disponibili patch o update.
Far evolvere
... la soluzione di Identity Access Management insieme alla crescita delle esigenze dell'organizzazione, per offrire una scalabilità reale in grado di supportare l'azienda nel suo sviluppo. Inoltre, è importante aggiornare le politiche di accesso quando necessario per garantire che IAM resti sempre in linea con le esigenze dell'azienda.
OVHcloud e IAM
ACE User/Role Management
Adottando l'approccio OpenStack di OVHcloud è possibile effettuare un controllo degli accessi basato sui ruoli, gestendo i ruoli degli utenti e definendo le azioni che possono effettuare sull'infrastruttura, sia che si tratti di risorse umane che di strumenti di automazione.
