Gestione dell'identità e degli accessi (Identity and Access Management, IAM)

La gestione dell'identità e degli accessi (Identity and Access Management, IAM) è l'insieme di processi e tecnologie che stabiliscono chi può accedere a quali risorse di un'organizzazione e con quali permessi, dalla creazione di un account fino alla sua disattivazione. Ogni persona, e ogni applicazione, ha un'identità digitale unica a cui si collegano i diritti di accesso.

Come funziona un sistema IAM?

Due passaggi distinti: l'autenticazione, che verifica che l'utente sia chi dice di essere, e l'autorizzazione, che decide cosa può fare una volta entrato. Le identità si conservano in una directory centrale, come Active Directory o Microsoft Entra ID (il nome che dal 2023 ha sostituito Azure Active Directory), da cui applicazioni e sistemi leggono chi è autorizzato.

Quali sono i componenti principali?

• Autenticazione a più fattori (MFA): alla password si aggiunge un secondo elemento, come un'app o una chiave fisica.
• Single sign-on (SSO): un solo accesso per più applicazioni.
• Controllo degli accessi basato sui ruoli (RBAC): i permessi si assegnano ai ruoli, non alle singole persone.
• Ciclo di vita degli account: attivazione all'ingresso, modifica al cambio di ruolo, revoca all'uscita.
• Gestione degli accessi privilegiati, per gli amministratori.

Perché la gestione degli accessi è importante per la sicurezza?

Le credenziali rubate sono uno dei modi più comuni con cui un attaccante entra in un'azienda. Un sistema IAM ben gestito applica il principio del privilegio minimo, per cui ognuno ha solo i permessi che gli servono, e rende subito evidente un account che non dovrebbe più esistere. La direttiva NIS2 elenca il controllo degli accessi e l'autenticazione a più fattori fra le misure di sicurezza richieste.

Anche la directory va protetta: la linea Cyber Security di Rackone comprende il backup di Microsoft Entra ID, con utenti, gruppi, policy e configurazioni ripristinabili a un punto preciso nel tempo.