Sicurezza dell'identità e dell'accesso nell'era dell'IA

Approcci alla protezione dell'identità Sicurezza delle infrastrutture

L'identità che accede alla tua infrastruttura potrebbe non appartenere a una persona fisica.

Potrebbe appartenere a un dipendente, un appaltatore, un cliente, un'applicazione, un server, un'API, un flusso di lavoro automatizzato, un carico di lavoro cloud o Agente AICiascuna identità può necessitare di accesso a specifici sistemi, dati e azioni. Ognuna di esse può inoltre diventare una via d'accesso all'organizzazione se gestita in modo inadeguato o compromessa.

Per questo motivo, la sicurezza delle infrastrutture non può più dipendere principalmente dalla protezione del perimetro di rete.

Un nome utente legittimo, un token di sessione rubato, un account di servizio con privilegi eccessivi o un profilo amministratore dimenticato possono consentire a un utente malintenzionato di muoversi all'interno dei sistemi senza riuscire a superare un firewall tradizionale. L'attività può inizialmente apparire legittima perché l'attaccante utilizza un'identità reale.

Una protezione efficace dell'identità, pertanto, pone diverse domande ogni volta che viene richiesto l'accesso:

Chi o cosa sta richiedendo l'accesso?
Come è stata verificata tale identità?
Il dispositivo o il carico di lavoro sono considerati affidabili?
Quale risorsa viene richiesta?
L'identità ha bisogno di quell'accesso adesso?
Il comportamento è coerente con le attività precedenti?
L'azione richiede un'ulteriore approvazione?
È possibile revocare l'accesso rapidamente?

Questa guida spiega come proteggere le identità umane e non umane nelle infrastrutture moderne. Tratta l'autenticazione, l'accesso zero-trust, gli account privilegiati, le identità di servizio, Agenti AImonitoraggio, risposta agli incidenti e misure pratiche che le aziende possono adottare per ridurre il rischio legato all'identità.

capitoli

Comprensione della protezione dell'identità

La protezione dell'identità comprende iniziative volte a verificare che solo individui o sistemi autentici possano utilizzare determinate risorse. Come parte principale di protezione dei sistemi di identità delle infrastrutture criticheSi concentra sulla minimizzazione delle attività non autorizzate garantendo un'identificazione accurata. Ponendo l'accento sull'identità, le organizzazioni riducono il rischio di intrusioni, furto di database e uso improprio dei dati. Un'identificazione efficiente garantisce che solo gli utenti verificati superino i rigorosi processi di autenticazione, impedendo agli aggressori di abusare dei punti di accesso.

La protezione dell'identità è l'insieme dei controlli utilizzati per verificare le identità, gestire gli accessi, rilevare comportamenti sospetti e intervenire qualora un account o una credenziale risultassero compromessi.

Si applica durante l'intero ciclo di vita dell'identità:

Si crea un'identità.
L'accesso è stato assegnato.
L'identità viene autenticata.
Vengono utilizzate le autorizzazioni.
L'attività viene monitorata.
L'accesso cambia al variare delle responsabilità.
L'identità è disabilitata o rimossa.

La protezione dell'identità a livello di infrastruttura si estende oltre gli account dei dipendenti.

Include anche:

Contractors
Clienti
Gli amministratori
Account di servizio
Applicazioni
API
dispositivi
Tecnologie Container
Carichi di lavoro cloud
Flussi di lavoro automatizzati
Motori di ricerca
Assistenti AI
Agenti AI

L'obiettivo non è semplicemente confermare che un'identità abbia la password corretta, bensì stabilire se, nelle circostanze attuali, a tale identità debba essere consentito di compiere una determinata azione.

Quali identità necessitano di protezione?

Ogni identità con accesso alle risorse aziendali necessita di un proprietario, uno scopo, autorizzazioni appropriate e un ciclo di vita definito.

Tipo di identità	Esempio	Rischio principale	Controllo ambientale
Identità della forza lavoro	Account dipendente o dirigente	Phishing, credenziali rubate e accesso eccessivo	Autenticazione forte e autorizzazioni basate sui ruoli
Identità privilegiata	Amministratore di sistema	Un accesso esteso può trasformare una violazione in un incidente grave	Gestione degli accessi privilegiati e monitoraggio delle sessioni
Identità del contraente	Agenzia, libero professionista o consulente	L'accesso rimane attivo anche dopo la conclusione del progetto.	Accesso a tempo limitato con un proprietario interno nominato
Identità del cliente	Account utente per un sito web o un'applicazione	Acquisizione dell'account ed esposizione dei dati personali	Autenticazione sicura, rilevamento delle frodi e recupero
Account di servizio	Account utilizzato da un'applicazione o da un'attività automatizzata	Credenziali di lunga durata e proprietà poco chiara	Credenziali gestite, autorizzazioni limitate e rotazione
Identità del carico di lavoro	carico di lavoro cloud, container o macchina virtuale	Segreti condivisi e spostamenti tra i servizi	Credenziali di breve durata legate al carico di lavoro
identità API	Integrazione che collega due piattaforme	Token esposti e ambiti eccessivi	Token con ambito, scadenza e registrazione delle attività
Identità del dispositivo	Laptop, dispositivo mobile o sistema industriale	Dispositivi compromessi o non gestiti che accedono a sistemi sensibili	Registrazione del dispositivo, controlli posturali e certificati
identità dell'agente IA	Agente che effettua ricerche, redige, aggiorna registri o esegue compiti	Proprietà poco chiara, autorizzazioni eccessive e azioni non autorizzate	Identità dedicata, proprietario umano e limiti di azione

Metodi di autenticazione forte

Le password da sole non bastano, e un modo in cui le aziende possono proteggere i propri account è quello di non affidarsi esclusivamente ad esse. Probabilmente avrete sentito dire che molti hacker sfruttano le password deboli o riutilizzano le stesse password per accedere agli account. L'autenticazione a più fattori offre un ulteriore livello di protezione. Il controllo degli accessi può essere rafforzato con l'autenticazione a due fattori, combinando qualcosa che gli utenti conoscono (una password) con qualcosa che possiedono.

Controlli di accesso e autorizzazioni

Le autorizzazioni limitate aiutano a controllare i potenziali danni. Ciò significa assegnare i diritti di accesso in base al ruolo lavorativo di ciascun utente, riducendo così l'esposizione non necessaria. Questo principio si basa sul principio del minimo privilegio, secondo il quale gli utenti interagiscono solo con le risorse necessarie per le attività che devono svolgere. È importante rivedere e aggiornare regolarmente le autorizzazioni.

Monitoraggio continuo e avvisi

I sistemi di monitoraggio in tempo reale rilevano rapidamente possibili attività sospette. Comportamenti di accesso sospetti o accessi da posizioni sconosciute possono indicare una possibile compromissione dell'accesso. Gli avvisi automatici garantiscono che i team di sicurezza vengano informati immediatamente, consentendo loro di intervenire tempestivamente. L'attivazione della registrazione delle attività dell'account facilita le indagini successive agli incidenti.

Sistemi di gestione delle identità

Gli strumenti centralizzati di gestione delle identità semplificano la gestione degli account utente. Tali sistemi automatizzano numerose attività, tra cui l'aggiunta, l'aggiornamento o la disattivazione degli account quando i dipendenti entrano o escono dall'organizzazione. L'automazione riduce al minimo gli errori che spesso si verificano durante gli aggiornamenti manuali. L'integrazione della gestione delle identità con altre soluzioni di sicurezza offre una visione unificata di tutte le attività in corso.

Verifiche periodiche dell'autenticazione

Un audit periodico garantisce che un qualche meccanismo di autenticazione funzioni come previsto. I log di autenticazione offrono l'opportunità di identificare eventuali anomalie o vulnerabilità. Testare le procedure di backup e ripristino è una misura proattiva che garantisce all'utente la possibilità di ripristinare l'accesso in caso di problemi. Inoltre, permette di individuare punti deboli nella sicurezza e di intervenire efficacemente prima che si trasformino in problemi gravi.

Formazione e sensibilizzazione dei dipendenti

La protezione dell'identità si basa in gran parte sul comportamento umano. Ciò si traduce nella formazione del personale per autenticarsi in modo sicuro e riconoscere le minacce più comuni. I dipendenti acquisiscono la capacità di identificare veri tentativi di phishing, ingegneria sociale o altre misure di furto di credenziali. Le campagne di sensibilizzazione sono continue e la sicurezza rimane una priorità assoluta come parte integrante delle normali operazioni. Le sessioni di aggiornamento funzionano meglio quando riflettono incidenti recenti effettivamente riscontrati nel settore, poiché gli esempi familiari tendono a rimanere impressi molto più a lungo degli avvertimenti astratti, motivo per cui è importante una formazione strutturata. formazione alla consapevolezza della sicurezza continua ad evolversi di pari passo con le minacce stesse.

Aggiornamenti software regolari

Le vulnerabilità nella sicurezza del software possono rivelare informazioni sull'identità. Gli aggiornamenti e le patch correggono le vulnerabilità prima che possano essere sfruttate. Gli strumenti di aggiornamento automatico consentono di mantenere i sistemi aggiornati con il minimo sforzo. Eseguire test sugli aggiornamenti prima della distribuzione evita problemi di compatibilità. Un semplice ma efficace accorgimento per difendersi dagli attacchi basati sull'identità è quello di mantenere il software aggiornato.

Piani di backup e ripristino

I sistemi di autenticazione possono essere compromessi da violazioni, guasti di sistema e altri eventi imprevisti. I backup memorizzano dati e configurazioni importanti. L'esecuzione di test di ripristino regolari evita interruzioni del servizio in caso di disastro. Disporre di backup sicuri riduce al minimo l'impatto di una violazione o di un attacco e migliora la velocità di ripristino. Ciò riduce i tempi di inattività e contribuisce a salvaguardare i dati sensibili.

Perché l'identità è diventata un perimetro di sicurezza

I modelli di sicurezza tradizionali spesso presupponevano che l'attività all'interno della rete aziendale fosse relativamente affidabile.

Tale presupposto non è più valido per molte organizzazioni.

I dipendenti lavorano da remoto. Le applicazioni vengono eseguite su diversi ambienti cloud. I collaboratori esterni utilizzano dispositivi esterni. Le piattaforme software si connettono tramite API. I processi automatizzati accedono ai dati senza l'intervento umano diretto. Gli agenti di intelligenza artificiale possono operare su più strumenti.

Di conseguenza, trovarsi "all'interno" della rete non garantisce la sicurezza di una richiesta.

L'identità è diventata uno dei principali punti di controllo perché le decisioni di accesso possono essere basate su:

L'utente o il carico di lavoro
Forza dell'autenticazione
Condizione del dispositivo
Località
Risorsa richiesta
Livello di rischio attuale
Tempo di accesso
Comportamento precedente
Sensibilità dell'azione
Se sia necessaria l'approvazione umana

Questo approccio è strettamente connesso al modello zero trust.

Fiducia zero Ciò non significa diffidare personalmente di ogni dipendente. Significa che l'accesso tecnico non viene concesso indefinitamente in base alla posizione geografica o a un singolo accesso riuscito.

Ogni richiesta deve essere valutata in base alle informazioni attuali relative a identità, dispositivo, risorse e rischi.

Minacce comuni all'identità

Non tutti gli attacchi di identità iniziano con qualcuno che indovina una password.

Minaccia	Come funziona	Possibile protezione
Phishing delle credenziali	Un utente viene persuaso a inserire le proprie credenziali di accesso su una pagina fraudolenta.	Autenticazione, filtraggio e formazione dei dipendenti resistenti al phishing.
Riutilizzo della password	Le credenziali rubate da un servizio vengono testate su un altro	Gestori di password, controlli delle password compromesse e autenticazione a più fattori (MFA)
Affaticamento MFA	Un attaccante invia ripetutamente richieste di approvazione finché l'utente non accetta	Corrispondenza numerica, autenticazione a più fattori resistente al phishing e avvisi di accesso
Furto di sessione	Un utente malintenzionato ruba un cookie o un token valido del browser dopo l'autenticazione.	Protezione della sessione, controlli dei dispositivi e valutazione continua del rischio
Escalation di privilegi	Un utente malintenzionato ottiene autorizzazioni più ampie dopo essere entrato tramite un account con privilegi limitati.	Principio del minimo privilegio, segmentazione e controlli di accesso privilegiato
Resoconti orfani	Gli account rimangono attivi anche dopo che un dipendente, un collaboratore o un'applicazione non ne ha più bisogno.	Disiscrizione automatizzata e revisioni ricorrenti degli accessi
Account amministratore condivisi	Diverse persone utilizzano un'identità potente	Identità dei singoli amministratori e registrazione completa delle azioni
Chiavi API esposte	I segreti vengono accidentalmente memorizzati nel codice, nei documenti o nei repository pubblici.	Gestione dei segreti, scansione e rotazione delle chiavi
Abuso dell'account di servizio	Un account non umano ha un accesso esteso e credenziali che cambiano raramente.	Identità gestite, ambiti limitati e credenziali di breve durata.
Compromesso con terze parti	Un utente malintenzionato utilizza un account di fornitore o di agenzia per accedere ai sistemi interni.	Accesso esterno limitato, date di scadenza e recensioni dei fornitori
Impersonificazione deepfake	Audio, video o messaggi falsi vengono utilizzati per imitare una persona fidata	Procedure indipendenti di verifica e approvazione delle transazioni
Uso improprio degli agenti di intelligenza artificiale	Un agente automatizzato viene manipolato o utilizza autorizzazioni che vanno oltre il suo ruolo previsto	Identità dedicate agli agenti, restrizioni sugli strumenti e approvazione umana

Mantenere un inventario completo delle identità

Non si possono proteggere identità di cui nessuno conosce l'esistenza.

Crea un inventario che includa:

Dipendenti
Gli amministratori
Contractors
Clienti
Account di servizio
Applicazioni
API
Carichi di lavoro cloud
dispositivi
Flussi di lavoro automatizzati
Motori di ricerca
Agenti AI

Per ogni identità, registrare:

Il suo proprietario
Il suo scopo
Sistemi a cui può accedere
Autorizzazioni di cui è titolare
Metodo di autenticazione
Data di creazione
Ultima attività
Data di revisione
Data di scadenza
Metodo di recupero
dipendenze

Le identità senza nome meritano un'attenzione immediata.

Un account di servizio senza proprietario può continuare a funzionare indisturbato per anni. Nessuno vuole disattivarlo perché nessuno sa cosa faccia. I malintenzionati, invece, prediligono gli account che tutti gli altri temono di toccare.

Utilizza un'autenticazione forte e resistente al phishing.

Le password, da sole, sono vulnerabili al phishing, al riutilizzo, ai tentativi di indovinare, al furto e alla divulgazione accidentale.

L'autenticazione a più fattori richiede più di una categoria di prove, come ad esempio:

Qualcosa che l'utente conosce
Qualcosa che l'utente possiede
Qualcosa che l'utente è

Tuttavia, non tutti i metodi di autenticazione a più fattori (MFA) offrono lo stesso livello di protezione.

I codici inviati tramite SMS o generati da un'applicazione possono migliorare la sicurezza, ma gli utenti potrebbero comunque essere indotti a condividerli. Anche le notifiche push possono essere oggetto di abusi tramite richieste di approvazione ripetute.

I metodi di autenticazione resistenti al phishing sono progettati per impedire che le credenziali vengano riutilizzate su un sito web fraudolento.

Gli esempi possono includere:

Chiavi di sicurezza FIDO
chiavi di accesso
Autenticatori di piattaforma
Autenticazione basata su certificato

Dare priorità a un'autenticazione più robusta per:

Gli amministratori
Dirigenti
Squadre finanziarie
Team delle risorse umane
Sviluppatori
Accesso remoto
Account di posta elettronica
Console di gestione del cloud
account dei social media
Piattaforme pubblicitarie
Banche dati clienti

Fonte: CISA: Più di una password

Applicare il principio del minimo privilegio

Il principio del minimo privilegio significa concedere a un'identità solo l'accesso necessario per svolgere il lavoro assegnato.

Ciò non significa concedere a tutti un accesso illimitato, perché richiedere l'autorizzazione in un secondo momento potrebbe risultare scomodo.

Le misure pratiche di controllo del minimo privilegio includono:

Assegnazione dell'accesso tramite ruoli lavorativi
Separazione degli account standard e degli account amministratore
Limitare l'accesso ad ambienti sensibili
Limitare gli ambiti delle API
Utilizzo di accessi sopraelevati temporanei
Richiesta di approvazione per autorizzazioni ad alto rischio
Rimozione degli accessi inutilizzati
Revisione delle autorizzazioni in caso di modifiche dei ruoli.
Impedire agli account di servizio di ottenere diritti di accesso interattivi
Consentire agli agenti di intelligenza artificiale di accedere solo a strumenti e dati approvati.

Evitate di copiare automaticamente tutte le autorizzazioni dalla persona che ricopriva in precedenza un ruolo. In questo modo, anni di accesso accumulato possono essere trasferiti a un nuovo dipendente in pochi secondi.

Controllo delle identità privilegiate

Gli account con privilegi elevati possono creare utenti, modificare le configurazioni, accedere a informazioni sensibili, disabilitare i controlli e influenzare gran parte dell'infrastruttura.

Hanno bisogno di garanzie più solide rispetto ai conti ordinari.

I controlli di accesso privilegiato possono includere:

Separazione amministrativa
Autenticazione forte
Approvazione prima dell'accesso sopraelevato
Autorizzazioni a tempo limitato
Rotazione password e segreto
Registrazione della sessione
Registrazione dei comandi o delle azioni
Restrizioni sul luogo in cui possono iniziare le sessioni privilegiate
Conto di accesso di emergenza
Avvisi per attività privilegiate insolite

Gli amministratori dovrebbero utilizzare account standard per attività di routine come la posta elettronica e la navigazione web.

Un account importante non dovrebbe essere esposto a ogni singolo link, allegato e sessione del browser.

Automatizzare il ciclo di vita dell'identità

La protezione dell'identità inizia prima del primo accesso e continua dopo l'ultimo.

Un processo del ciclo di vita efficace comprende:

Falegnami

Quando una persona entra a far parte dell'organizzazione:

Crea un'identità verificata
Assegnare l'accesso in base al ruolo approvato
Registrare i metodi di autenticazione appropriati
Registra un proprietario interno
Fornire formazione sulla sicurezza
Evitate di aggiungere autorizzazioni generiche "per ogni evenienza".

Movers

Quando le responsabilità cambiano:

Aggiungere i permessi di accesso richiesti per il nuovo ruolo
Rimuovere l'accesso dal ruolo precedente
Esaminare l'appartenenza ai gruppi
Rivalutare l'accesso privilegiato
Aggiorna le catene di approvazione

L'accesso spesso aumenta con il passaggio delle persone da un team all'altro. Senza essere rimosso, un dipendente può accumulare silenziosamente autorizzazioni, come ad esempio punti fedeltà.

uscenti

Quando una persona se ne va:

Disabilitare immediatamente l'accesso tramite login.
Revoca le sessioni attive
Rimuovere i metodi di autenticazione
Trasferimento della proprietà di file e account
Ruota i segreti condivisi
Disabilita le applicazioni connesse
Rivedi l'attività recente
Rimuovere l'accesso da piattaforme esterne

Lo stesso processo dovrebbe essere applicato a collaboratori esterni, dipendenti temporanei, account di servizio, integrazioni e agenti di intelligenza artificiale.

Protezione delle identità di macchine e carichi di lavoro

Negli ambienti cloud e applicativi, le identità non umane sono spesso più numerose degli utenti umani.

Queste identità possono includere:

Servizi
Applicazioni
Tecnologie Container
Macchine virtuali
Script di automazione
API
Database
Pipeline di sviluppo
Lavori pianificati

Una debolezza comune è l'utilizzo di password, chiavi API o certificati di lunga durata memorizzati all'interno di file di configurazione.

Le pratiche più efficaci includono:

Utilizzo delle identità di carico di lavoro gestite
Preferenza per credenziali di breve durata
Archiviare i segreti in sistemi dedicati alla gestione dei segreti.
Rotazione automatica delle credenziali
Limitare ogni identità a uno scopo ristretto
Separazione degli accessi per sviluppo, test e produzione.
Monitoraggio delle attività non umane
Assegnare a ogni identità un proprietario
Rimozione delle credenziali al termine della dismissione dei carichi di lavoro.

Le identità delle macchine non devono condividere account umani. Gli account umani non devono essere incorporati negli script.

Assegna un'identità a ciascun agente di intelligenza artificiale

Gli agenti IA possono cercare file, recuperare informazioni sui clienti, aggiornare un CRM, inviare messaggi, modificare campagna dati, creare ticket di supporto o richiamare applicazioni esterne.

Un agente che compie queste azioni necessita di un'identità che possa essere gestita in modo indipendente.

Non consentire a più agenti di condividere un unico account generico. Non fornire a un agente le credenziali di accesso di un dipendente.

Ogni agente di produzione dovrebbe avere:

Un'identità dedicata
Uno scopo documentato
Un proprietario umano
Un elenco di strumenti approvati
Accesso ai dati limitato
limiti di azione definiti
Permessi di lettura e scrittura separati
Requisiti di approvazione
Registri attività
Una data di scadenza o di revisione
Un metodo di arresto

Ad esempio, a un addetto alle ricerche di mercato può essere consentito di consultare i dati approvati relativi alle campagne e alle analisi. Non dovrebbe però ricevere automaticamente l'autorizzazione a modificare i budget pubblicitari, pubblicare post sui social media, esportare un intero database clienti o contattare ogni singolo potenziale cliente.

Microsoft and Google Ora è necessario documentare approcci di gestione dell'identità specifici per gli agenti di intelligenza artificiale, anziché trattarli come normali utenti umani.

Per saperne di più sulla pianificazione di progetti con agenti sicuri, consulta la guida "Come scegliere un'azienda di sviluppo di agenti AI".

Valutare l'accesso in modo continuo

Un accesso riuscito non dovrebbe creare una fiducia illimitata per il resto della sessione.

Le decisioni di accesso possono tenere conto di:

Forza dell'autenticazione
Stato del dispositivo
Località
Reti
Ora
Risorsa richiesta
Sensibilità dell'azione
Modifiche recenti della password
Impossibile viaggiare
Volume di download insolito
Nuove applicazioni
Segnali di rischio precedenti

Un'identità familiare che si comporta in modo insolito può indicare un compromesso.

Ad esempio, un account che normalmente visualizza pochi record durante l'orario d'ufficio locale potrebbe richiedere una verifica aggiuntiva se improvvisamente esporta migliaia di record da un nuovo dispositivo in un altro paese.

Le possibili risposte includono:

Richiesta di un'autenticazione più forte
Blocca l'azione
Limita la sessione
Revoca i token attivi
Avvisa l'utente
Avvisare il team di sicurezza
Richiede l'approvazione umana

9. Proteggere sessioni e token

L'autenticazione è solo l'inizio di una sessione.

Gli aggressori potrebbero tentare di rubare:

Cookie del browser
Aggiorna i token
Token API
Token di accesso singolo
Concessioni OAuth
Segreti dell'applicazione

Una sessione rubata potrebbe consentire l'accesso senza richiedere all'attaccante di completare nuovamente l'autenticazione a più fattori (MFA).

Proteggi le sessioni tramite:

Utilizzo di un sistema di archiviazione token sicuro
Limitare la durata dei token
Revoca delle sessioni a seguito di eventi ad alto rischio
Monitoraggio dell'attività dei nuovi dispositivi
Limitare l'ambito del token
Revisione delle applicazioni connesse
Impedire che i token sensibili vengano visualizzati nei log
Richiedere ulteriori verifiche per le azioni di grande impatto
Applicazione dei controlli di dispositivo e posizione

Gli utenti dovrebbero inoltre avere la possibilità di visualizzare e revocare le sessioni con utenti sconosciuti, ove possibile.

Monitoraggio del comportamento dell'identità

I registri delle identità aiutano le organizzazioni a capire chi ha avuto accesso a cosa, quando, da dove e tramite quale metodo.

Tra gli eventi utili relativi all'identità si annoverano:

Accessi riusciti e non riusciti
Iscrizioni al corso MFA
Ripristino password
Modifiche ai privilegi
Nuovi account amministratore
Nuove credenziali API
Applicazioni connesse
Creazione e revoca della sessione
Esportazione di grandi quantità di dati
Controlli di sicurezza disabilitati
Modifiche alle informazioni di ripristino
chiamate dello strumento agente
Attività dell'account di servizio

Il monitoraggio dovrebbe dare priorità ai modelli ricorrenti piuttosto che generare un allarme per ogni evento ordinario.

Gli avvisi di alto valore possono includere:

Accesso con privilegi da un nuovo dispositivo
Accesso da due luoghi distanti entro un periodo impossibile
Ripetuti tentativi falliti di autenticazione a più fattori
Un account inattivo che si riattiva
Un account di servizio che effettua l'accesso in modo interattivo
Un agente che tenta di utilizzare uno strumento non approvato
Un utente sta scaricando molti più dati del solito
Le autorizzazioni vengono elevate poco prima dell'attività sensibile

Ogni avviso importante necessita di un responsabile e di una procedura di risposta. Un avviso che nessuno esamina è semplicemente un'alzata di spalle elettronica.

Revisione dell'accesso di terze parti

Agenzie, fornitori di software, liberi professionisti, consulenti e fornitori di servizi potrebbero aver bisogno di accedere all'infrastruttura aziendale.

L'accesso di terze parti dovrebbe essere:

Sponsorizzato da un proprietario interno
Limitato a sistemi specifici
Limitato alle azioni richieste
Protetto da un'autenticazione forte
Separati dalle identità dei dipendenti
Logged
Rivisto regolarmente
data una data di scadenza
Rimosso al termine della relazione

Non condividere le credenziali di accesso dei dipendenti con partner esterni.

Ove possibile, utilizzare identità esterne separate o la federazione in modo che l'accesso possa essere tracciato e rimosso senza interrompere gli account interni.

Preparare le procedure di recupero dell'identità.

I sistemi di gestione delle identità possono smettere di funzionare o diventare indisponibili durante un attacco.

I piani di ripresa dovrebbero includere:

Interruzioni del servizio di provider di identità
Dispositivi di autenticazione smarriti
Account amministratore compromessi
Account cliente bloccati
Configurazioni di identità corrotte
Federazione fallita
Incidenti ransomware
Perdita di accesso alla gestione del cloud
Agenti di intelligenza artificiale compromessi
Revoca di un gran numero di sessioni

Mantenere conti di emergenza attentamente controllati per i sistemi critici.

Questi account dovrebbero:

Da utilizzare solo in caso di emergenza
Possedere credenziali solide e archiviate separatamente.
Essere monitorati
Essere esclusi dai flussi di lavoro ordinari
Eseguire test periodici
Attiva un avviso ogni volta che viene utilizzato

Esegui il backup delle configurazioni di identità, delle policy e delle informazioni di ripristino importanti. Testa il ripristino anziché dare per scontato che il backup si comporti in modo impeccabile quando verrà finalmente utilizzato.

Come l'intelligenza artificiale sta cambiando le minacce all'identità

L'intelligenza artificiale può migliorare sia gli attacchi che le difese.

Phishing assistito dall'intelligenza artificiale

L'intelligenza artificiale generativa può aiutare gli aggressori a creare messaggi convincenti, tradurre truffe, imitare il linguaggio aziendale e personalizzare le tecniche di ingegneria sociale utilizzando informazioni disponibili pubblicamente.

La difesa di base rimane più ampia del semplice controllo degli errori di ortografia.

I dipendenti devono verificare:

Il mittente
L'azione richiesta
La destinazione dei link
Modifiche ai dati di pagamento
Richieste insolite di credenziali
Richieste di bypass delle normali procedure

Impersonificazione vocale e video

Audio o video sintetici possono imitare un dirigente, un collega, un cliente, un fornitore o un rappresentante pubblico.

Le aziende non dovrebbero utilizzare la voce o la presenza video come unica prova di identità per operazioni sensibili.

Le richieste ad alto rischio devono essere confermate tramite un canale indipendente e una procedura prestabilita.

Monitoraggio dell'identità assistito dall'intelligenza artificiale

L'intelligenza artificiale può anche aiutare i team di sicurezza ad analizzare il comportamento di accesso, raggruppare gli avvisi, rilevare schemi insoliti e dare priorità alle indagini.

Questi sistemi richiedono comunque una supervisione.

Un accesso insolito non è sempre indice di attività illecite. Un accesso familiare non è sempre sicuro. I sistemi di rilevamento dovrebbero supportare le indagini, anziché sostituirle con un punteggio di rischio non spiegato.

Identità di IA ombra

I dipendenti potrebbero collegare applicazioni di intelligenza artificiale non approvate alla posta elettronica aziendale, all'archiviazione cloud, alle piattaforme CRM, ai sistemi di riunione e alle librerie di documenti.

Questo permette di creare token e autorizzazioni che rimangono attivi anche dopo che il dipendente ha smesso di utilizzare lo strumento.

Le organizzazioni dovrebbero mantenere la visibilità sulle applicazioni di IA connesse ed effettuare le seguenti revisioni:

Permessi richiesti
Accesso ai dati
Durata del token
Sicurezza del fornitore
Proprietà dell'utente
Scopo aziendale
Procedure di cessazione del rapporto di lavoro

Protezione dell'identità per i team di marketing

I team di marketing hanno accesso a sistemi che influenzano direttamente i clienti e la fiducia del pubblico.

Questi possono includere:

account dei social media
Piattaforme pubblicitarie
Sistemi di email marketing
Siti Web
Gestione del dominio e del DNS
Analisi
Piattaforme CRM
Ricerca clienti
Librerie di risorse del marchio
Piattaforme webinar
Scrittura e intelligenza artificiale design strumenti
Conti dell'agenzia
Piattaforme di influencer e partner

Un'identità di marketing compromessa può consentire a un aggressore di:

Pubblicare post fraudolenti
Invia email di phishing dal dominio aziendale
Modifica gli annunci
Reindirizza il traffico della campagna
Accedi agli elenchi clienti
Esporta i dati dei lead
eliminare le risorse creative
Connetti applicazioni dannose
Impersonare un dirigente
Danneggiare la reputazione del marchio

Controlli di identità pratici per i professionisti del marketing

I responsabili marketing dovrebbero:

Assegnare a ciascun dipendente un account individuale
Evitate di condividere le password dei social media.
È richiesta una solida autenticazione a più fattori (MFA) per gli account di posta elettronica, social media e pubblicitari.
Utilizzare le autorizzazioni basate sui ruoli
Concedere alle agenzie un accesso separato e limitato nel tempo
Esaminare regolarmente gli amministratori della piattaforma
Rimuovere immediatamente l'accesso quando qualcuno se ne va.
Limitare rigorosamente l'accesso al dominio e al DNS.
Limitare l'esportazione dei dati dei clienti
Esamina le applicazioni connesse
Proteggi gli indirizzi email e i numeri di telefono di recupero
Documenta chi può pubblicare, spendere denaro o modificare il tracciamento
È necessaria l'approvazione per modifiche sostanziali al budget o ai conti.
Concedi agli strumenti di intelligenza artificiale solo l'accesso di cui hanno bisogno.

L'intelligenza artificiale sta cambiando il modo in cui i team di marketing creano e automatizzano il lavoro, ma ogni strumento connesso crea anche un'ulteriore relazione di accesso che deve essere compresa.

Esplora le implicazioni più ampie in Come l'IA sta cambiando il marketing e StoryLab.ai Hub di marketing basato sull'intelligenza artificiale.

Spiegazione dei modelli di controllo degli accessi

È possibile utilizzare contemporaneamente diversi modelli di accesso.

Modello di accesso	Come funziona	Esempio
Controllo degli accessi in base al ruolo	Le autorizzazioni vengono assegnate in base ai ruoli lavorativi.	Un editor di contenuti può aggiornare gli articoli ma non può gestire la fatturazione.
Controllo degli accessi basato sugli attributi	L'accesso dipende da attributi quali reparto, dispositivo, posizione o sensibilità dei dati.	I dati finanziari sono accessibili solo ai dipendenti del settore finanziario che utilizzano dispositivi gestiti.
Controllo degli accessi basato su policy	Le regole valutano le condizioni prima di consentire un'azione	Un accesso ad alto rischio richiede una verifica aggiuntiva
Accesso just-in-time	L'accesso sopraelevato viene concesso temporaneamente quando necessario.	Un ingegnere riceve l'accesso alla produzione per un'attività approvata
accesso basato sulle relazioni	L'accesso dipende da una relazione definita con una risorsa	Un membro del progetto può visualizzare i file appartenenti a quel progetto

L'accesso basato sui ruoli è una base utile, ma i ruoli possono diventare troppo generici. Le politiche contestuali e l'elevazione temporanea dei privilegi possono fornire un controllo più preciso.

Cosa fare quando l'identità viene compromessa

Un sospetto furto d'identità richiede un'azione rapida e coordinata.

Contenere l'identità

A seconda della situazione:

Disattiva l'account
Revoca le sessioni attive
Reimposta le credenziali
Rimuovere i metodi di autenticazione
Revoca token e chiavi API
Blocca le applicazioni connesse
Sospendi l'attività dell'agente
Limitare l'accesso alla rete

Conserva le prove

Salva i dati rilevanti:

Registri di autenticazione
Informazioni sul dispositivo
Attività via email
Modifiche ai permessi
Attività applicativa
Registri delle azioni dell'agente
Esportazioni di dati
Azioni dell'amministratore

Evitate di cancellare le prove prima che l'incidente sia stato compreso.

Determinare l'accesso ottenuto

Indaga:

Quali sistemi sono stati consultati?
Quali dati sono stati visualizzati o esportati?
Quali autorizzazioni sono state modificate?
Se siano state create nuove identità
Se la persistenza è stata stabilita
Se altri account siano stati presi di mira
Quali azioni del cliente o del pubblico si sono verificate?

Rimuovi la persistenza

Gli aggressori possono creare:

Nuovi amministratori
Regole di inoltro
Token API
Connessioni OAuth
Metodi di recupero
Attività pianificate
Credenziali dell'applicazione

La sola modifica della password potrebbe non essere sufficiente a rimuovere questi percorsi di accesso.

Guarire in sicurezza

Ripristina l'accesso con:

Nuove credenziali
Metodi di autenticazione verificati
Autorizzazioni esaminate
Dispositivi puliti
Sessioni revocate
Politiche di sicurezza aggiornate

Se l'identità compromessa apparteneva a un cliente e i dati personali potrebbero essere stati esposti, il recupero dovrebbe includere anche la promozione dei clienti monitoraggio del credito in modo che possano individuare tempestivamente eventuali attività fraudolente legate all'incidente.

Imparare dall'incidente

Individuare la via di accesso iniziale e migliorare i relativi controlli.

La lezione dovrebbe essere più specifica di un semplice "i dipendenti devono fare attenzione". Bisogna individuare quale controllo tecnico, procedurale o di formazione non ha funzionato.

Metriche di sicurezza dell'identità da monitorare

Metrico	Cosa mostra
Copertura MFA	Percentuale di identità idonee protette dall'autenticazione a più fattori
Copertura MFA resistente al phishing	Percentuale di utenti ad alto rischio che utilizzano metodi di autenticazione più robusti
Conteggio delle identità privilegiate	Quanti account hanno accesso elevato?
Numero di account inattivi	Numero di identità che rimangono attive nonostante un utilizzo scarso o nullo.
Conteggio delle identità orfane	Account, agenti o integrazioni senza un proprietario definito
Verifica dell'accesso completata	Se i proprietari rivedono le autorizzazioni nei tempi previsti
Tempo di dismissione	Tempo intercorso tra la partenza e la completa rimozione dell'accesso
accesso privilegiato permanente	Quantità di accessi sopraelevati permanenti rispetto agli accessi temporanei
Età di accreditamento	Se i segreti e le chiavi tramandati da tempo siano ancora in uso
Tempo di risposta all'avviso di identità	Con quale rapidità vengono indagate le attività sospette
Copertura dell'identità dell'agente	Percentuale di agenti di produzione con identità e proprietari dedicati
Numero di applicazioni connesse	Numero di applicazioni di terze parti con accesso attivo

Non migliorare un parametro creando un altro problema.

Ad esempio, ridurre il numero di account amministratori è utile solo quando i dipendenti non reagiscono condividendo un unico account con privilegi elevati.

Tabella di marcia per l'implementazione della protezione dell'identità

Fase 1: Scoprire

Creare un inventario di utenti, amministratori, account di servizio, applicazioni, carichi di lavoro, piattaforme connesse e agenti di intelligenza artificiale.

Innanzitutto, individua le identità non possedute e inattive.

Fase 2: Proteggere gli account ad alto rischio

Dare priorità:

Gli amministratori
Dirigenti
Finanza
HR
Sviluppatori
Email
Console cloud
Gestione del dominio
Conti sociali
Piattaforme pubblicitarie
Banche dati clienti

Applica un'autenticazione più robusta e rimuovi le autorizzazioni non necessarie.

Fase 3: Migliorare la gestione del ciclo di vita

Collega la creazione dell'identità, i cambi di ruolo e la cessazione del rapporto di lavoro ai registri autorevoli delle risorse umane, dei collaboratori esterni e delle applicazioni, ove opportuno.

Assegnare i proprietari e le date di scadenza.

Fase 4: Ridurre il privilegio permanente

Introduci account amministratore separati, accesso temporaneo, approvazioni e monitoraggio delle sessioni.

Fase 5: Proteggere le identità non umane

Sostituisci le credenziali incorporate, ruota i segreti, restringi gli ambiti delle API e assegna i proprietari ad applicazioni, carichi di lavoro e agenti.

Fase 6: Migliorare il monitoraggio

Raccogli gli eventi di identità, definisci avvisi utili, documenta le procedure di risposta e testa la revoca della sessione.

Fase 7: Recupero del test

Simulare:

Un amministratore compromesso
Una sessione rubata
Un'applicazione connessa dannosa
Un fornitore di identità per disabili
Un account di servizio compromesso
Un agente di intelligenza artificiale tenta un'azione non autorizzata

Lo scopo è quello di individuare le vulnerabilità prima che un vero attaccante esegua la dimostrazione al posto vostro.

Lista di controllo per la sicurezza dell'identità

Inventario delle identità

Tutte le identità, umane e non umane, sono state inventariate?
Ogni identità ha un proprietario?
Le identità inattive vengono rimosse?
Gli agenti di intelligenza artificiale vengono registrati separatamente?
Alle identità esterne viene assegnata una data di scadenza?

Autenticazione

È richiesta l'autenticazione a più fattori (MFA)?
Gli utenti ad alto rischio si stanno orientando verso metodi resistenti al phishing?
I metodi di autenticazione vengono rivisti dopo i cambi di ruolo?
Gli account di recupero sono protetti?
Le password condivise verranno rimosse?

accesso a

Le autorizzazioni sono basate sui requisiti del lavoro?
Gli account amministratore e gli account standard sono separati?
È possibile ottenere un permesso temporaneo?
L'ambito delle API è limitato?
Gli agenti sono limitati agli strumenti approvati?

Controllo

Vengono registrati gli accessi e le modifiche alle autorizzazioni?
Le sessioni e gli eventi relativi ai token sono visibili?
Le azioni privilegiate vengono monitorate?
Vengono rilevate esportazioni di dati insolite?
Le azioni degli agenti IA vengono registrate?

Ciclo di vita

L'accesso viene revocato tempestivamente al termine del periodo di cessazione del rapporto di lavoro?
Le autorizzazioni precedenti vengono rimosse quando cambiano i ruoli?
I conti di servizio vengono esaminati?
Le integrazioni vengono disattivate quando non sono più necessarie?
È possibile sospendere rapidamente le identità degli agenti?

Recupero

È possibile revocare le sessioni attive?
È possibile ripristinare in sicurezza l'accesso di amministratore?
Le identità di emergenza vengono verificate?
Sono stati eseguiti backup delle configurazioni di identità?
È stata effettuata una prova generale della procedura di risposta all'incidente?

Considerazioni finali

La tutela dell'identità è diventata uno dei pilastri della sicurezza delle infrastrutture.

Le organizzazioni devono proteggere molto più dei semplici nomi utente e password dei dipendenti. Applicazioni, API, carichi di lavoro cloud, account di servizio, dispositivi, processi automatizzati e agenti di intelligenza artificiale richiedono tutti identità che possano essere verificate, limitate, monitorate e rimosse.

Iniziate scoprendo quali identità esistono.

Assegna a ogni identità un proprietario e uno scopo ben definito. Applica un'autenticazione forte. Riduci i privilegi permanenti. Proteggi token e sessioni. Monitora le attività insolite. Automatizza la revoca degli accessi. Verifica come l'organizzazione si riprende in caso di compromissione di un'identità.

L'intelligenza artificiale aggiunge un ulteriore livello a questo lavoro. Può aiutare a rilevare comportamenti anomali, ma rende anche più facili l'impersonificazione e l'automazione per gli aggressori. Gli agenti di intelligenza artificiale stessi devono essere trattati come identità governate, piuttosto che come assistenti software invisibili con accesso illimitato.

La regola fondamentale rimane semplice:

Nessuna persona, applicazione, carico di lavoro o agente dovrebbe ricevere una fiducia superiore a quella richiesta dal compito che sta svolgendo.

Altri articoli interessanti

Padroneggia l'arte del video marketing

Strumenti basati sull'intelligenza artificiale per Idea, ottimizza e amplifica!

Scatena la creatività: Scatena le idee video, gli script e gli hook coinvolgenti più efficaci con i nostri generatori di intelligenza artificiale.
Ottimizza istantaneamente: migliora la tua presenza su YouTube ottimizzando i titoli, le descrizioni e i tag dei video in pochi secondi.
Amplifica la tua portata: Crea senza sforzo social media, e-mail e copia dell'annuncio per massimizzare l'impatto del tuo video.

Inizia gratuitamente!