Dietro ogni semplice operazione di login si nasconde una delle sfide più complesse dell’informatica moderna: decidere chi può fare cosa, quando, dove e come.
Il controllo degli accessi rappresenta il cuore pulsante della sicurezza informatica, eppure molti amministratori ne sottovalutano la complessità matematica e le implicazioni operative. Certo, in teoria si tratta di una semplice relazione che si basa solo su due entità: soggetti e oggetti. Il soggetto è l’entità attiva che richiede un accesso, mentre l’oggetto è l’entità passiva a cui il soggetto vuole accedere.
Un utente che vuole aprire un file, un programma che deve accedere a un database, un computer che richiede connessione di rete: sono tutti esempi di soggetti che interagiscono con oggetti specifici. Semplice, no? Solo in apparenza.
Ecco, quindi, come trasformare la complessità matematica del controllo degli accessi in strategie operative gestibili, aiutando i responsabili della sicurezza a progettare sistemi di autorizzazione che scalino con la crescita dell’organizzazione, senza diventare ingovernabili o compromettere la produttività dei dipendenti[1].
Indice degli argomenti
La complessità esplosiva delle relazioni
La sfida emerge appena si considera la scala reale delle organizzazioni moderne. Un’azienda di 1000 dipendenti con 10000 risorse digitali (anche solo semplici file e cartelle) genera potenzialmente 10 milioni di relazioni soggetto-oggetto da gestire.
Ogni relazione può avere permessi specifici: lettura, scrittura, modifica, eliminazione, stampa, spostamento, backup. Moltiplicando soggetti e oggetti per i diversi tipi di accesso, si raggiungono facilmente 70 milioni di possibili configurazioni.
Questa esplosione di combinazioni spiega perché il controllo degli accessi diventa rapidamente ingestibile se viene affrontato senza l’ausilio di metodologie strutturate. Non è possibile gestire manualmente milioni di relazioni, verificare la correttezza di ogni permesso o mantenere aggiornate le autorizzazioni quando persone e risorse cambiano continuamente.
Definire le azioni permesse
L’accesso non è un concetto binario (consentito/negato), ma si tratta di un insieme complesso di azioni specifiche che un soggetto può compiere su un oggetto. Un dipendente può avere il permesso di leggere un documento ma non di modificarlo, di stamparlo ma non di condividerlo esternamente, di visualizzarlo durante l’orario lavorativo ma non nel weekend.
Questa granularità crea potenzialità enormi per il fine-tuning, ma anche rischi significativi di errori di configurazione. Un permesso troppo restrittivo blocca operazioni legittime, uno troppo permissivo apre la porta alle vulnerabilità.
Trovare l’equilibrio giusto richiede una comprensione profonda dei processi aziendali e competenze tecniche specifiche.
La dimensione temporale: gli accessi cambiano nel tempo
I controlli di accesso statici rappresentano solo una frazione del problema reale. I permessi devono evolvere dinamicamente: un project manager può aver bisogno di accesso completo ai documenti durante la fase attiva del progetto, permessi di sola lettura dopo la consegna e nessun accesso dopo la chiusura del progetto.
Un dipendente in trasferta può richiedere accessi VPN che normalmente non utilizza, ma al rientro in sede non gli serviranno più e vanno revocati.
Gestire questa dimensione temporale richiede sistemi che possano automatizzare l’assegnazione e la revoca dei permessi basandosi su eventi aziendali, calendari di progetto, cambi organizzativi.
L’alternativa è un accumulo progressivo di permessi obsoleti che trasforma ogni utente in un potenziale insider threat.
L’illusione della simmetria soggetto-oggetto
Uno degli aspetti più sottili del controllo degli accessi è che la distinzione tra soggetti e oggetti non è sempre così netta. Un utente può essere soggetto quando accede a un file, ma oggetto quando un amministratore modifica i suoi permessi.
Un programma è soggetto quando legge dati dal database, ma è oggetto quando un altro processo ne monitora l’esecuzione.
Questa fluidità dei ruoli complica enormemente la progettazione di sistemi di controllo degli accessi, perché ogni entità del sistema potenzialmente può assumere entrambi i ruoli in contesti diversi.
Le politiche di sicurezza devono quindi considerare non solo chi può accedere a cosa, ma anche chi può modificare queste relazioni di accesso.
Pattern emergenti: dall’aneddotico al sistematico
Analizzando i log di accesso di grandi organizzazioni emergono pattern interessanti che rivelano comportamenti umani prevedibili. Infatti, gli utenti tendono ad accedere alle stesse risorse in orari simili, seguendo routine lavorative consolidate.
Deviazioni significative da questi pattern possono indicare attività sospette o account compromessi.
I pattern comportamentali possono essere utilizzati per implementare controlli di accesso adattivi che diventano più restrittivi quando rilevano anomalie.
Un login da una posizione geografica insolita, accessi a risorse mai utilizzate prima, attività durante orari non standard: sono tutti segnali che possono far scattare automaticamente verifiche aggiuntive.
Per i CISO, serve orchestrare la complessità
Il controllo degli accessi efficace richiede un approccio sistemico che riconosca la complessità matematica sottostante senza esserne paralizzato. Le organizzazioni di successo implementano framework strutturati (RBAC, ABAC, ZBAC) che riducono la complessità attraverso astrazione e automatizzazione, piuttosto che tentare di gestire manualmente ogni singola relazione.
La chiave è riconoscere che il controllo degli accessi non è un problema tecnico da risolvere una volta, ma si tratta di un processo aziendale che va continuamente orchestrato: richiede governance chiara, strumenti adeguati, monitoraggio costante e capacità di adattamento rapido ai cambiamenti organizzativi.
Partecipa alla community