Dalla nuova indagine di CyberArk, emerge che almeno la metà degli accessi privilegiati di oltre il 90% delle aziende è always-on ovvero vanta con accesso illimitato e persistente a sistemi sensibili. Ma i “privilegi ombra” e la frammentazione degli strumenti aumentano i rischi, accelerandoli.
“Nel quotidiano e nelle aziende non operano più solo persone in carne e ossa, ma una workforce digitale“, commenta Francesco Iezzi, Cybersecurity Specialist NHOA, spiegando quali rischi cyber sono legati agli accessi privilegiati.
Ecco come mitigarli.
Indice degli argomenti
Rischi e accessi privilegiati: il divario tra la fiducia delle aziende e la realtà delle pratiche
Il 76% delle imprese afferma di aver preparato le proprie strategie di gestione degli accessi privilegiati (PAM) per adattarle agli ambienti AI, cloud e ibridi.
Molte aziende però fanno affidamento sull’accesso sempre attivo, presupposti messi in piedi per ambienti operativi meno dinamici di quelli attuali. Invece oggi l’AI amplia velocemente la superficie di attacco focalizzata sulle identità.
“Questo è il rischio sistemico del nuovo mondo”, spiega Francesco Iezzi, “un rischio che si misura nella capacità di mappare in modo continuo autorizzazioni e dipendenze, ma soprattutto nel tipo di privilegio assegnato alle identità“.
Secondo la ricerca, appena l’1% ha adottato un moderno modello di accesso privilegiato Just-in-Time (JIT).
“Ambienti dinamici e in continua evoluzione comportano un cambiamento radicale della natura degli accessi privilegiati e delle modalità con cui questi possono essere protetti”, avverte Matt Cohen, CEO di CyberArk: “Con solo l’1% delle aziende che ha implementato in modo completo un modello di accesso Just-in-Time, è evidente che una modernizzazione del settore sia ormai indispensabile. Se agenti AI e identità non umane assumono compiti sempre più sensibili, applicare i giusti controlli dei privilegi per ogni identità – e governare ogni azione privilegiata – è ora essenziale”.
Inoltre, nel 91% dei casi, la metà degli accessi privilegiati è always-on. Il 45% sta applicando agli agenti AI i controlli di accesso privilegiato usati per le identità
umane.
Il 33% ammette infine di non avere a disposizione di policy di accesso chiare per l’AI.
La proliferazione di privilegi ombra e strumenti frammentati
Secondo lo studio, il problema diffuso e crescente dei “privilegi ombra” (account e secret privilegiati non gestiti, sconosciuti o non necessari che si vanno accumulando in silenzio nel tempo).
Ogni settimana, il 54% delle organizzazioni scopre account e secret privilegiati non gestiti.
Secondo Francesco Iezzi, “accanto ai dipendenti ci sono identità digitali come API, integrazioni, automazioni, workload, account di servizio e agenti AI che accedono ai dati, prendono decisioni ed eseguono azioni reali sui sistemi. È una workforce digitale che cresce più rapidamente della nostra capacità di governarla. In questo scenario la domanda non è più soltanto ‘la mia infrastruttura è sicura?, ma chi sta agendo, con quali privilegi e per quanto tempo?”.
L’88% gestisce due o più strumenti di sicurezza delle identità, alimentando una frammentazione che tende ad introdurre punti ciechi.
Infatti “la frammentazione è il nemico principale: più piattaforme e silos di identità non coordinati significano punti ciechi, incoerenze e una superficie d’attacco più ampia“, mette in evidenza Francesco Iezzi.
Il 66% riporta che le revisioni classiche degli accessi privilegiati causano lo slittamento dei progetti.
Il 63% dichiara infine che i dipendenti bypassano i controlli per agire più velocemente.
“Se il privilegio è permanente, anche il rischio lo diventa“, mette in guardia Francesco Iezzi: infatti, “basta compromettere un singolo punto, una credenziale, un token o un account dimenticato, per ottenere poteri che si propagano rapidamente tra cloud, infrastrutture e applicazioni”.
Come mitigare i rischi
Le organizzazioni dovrebbero innanzitutto mappare in modo continuo autorizzazioni e dipendenze, ma soprattutto la tipologia di privilegio attribuitoto alle identità.
Inoltre, dovrebbero adottare modelli di accesso adattivi e a tempo limitato, abbracciando principi Zero Trust.
“La maturità oggi si vede nel passaggio da privilegi always on a privilegi dinamici: accesso just in time, perimetro minimo (least privilege), durata limitata, tracciabilità end to end e revoca immediata”, sottolinea Francesco Iezzi.
Per ridurre i rischi e sostenere l’innovazione su larga scala, le imprese dovrebbero minimizzare i privilegi permanenti, grazie ad accessi dinamici e basati sul rischio. Inoltre è utile l’accesso Just-in-Time automatizzato e orchestrato per azioni sensibili o ad alto rischio.
“Ridurre lo standing access non è un esercizio di compliance”, avverte Francesco Iezzi, “è una scelta strategica di resilienza che, paradossalmente, può aumentare anche l’agilità, perché rende l’accesso più rapido quando serve e molto più sicuro quando non serve“.
Controlli dei privilegi per tutte le identità umane, macchina e AI, in base al
contesto e rischio, e piattaforme di identità per migliorare visibilità e governance potrebbero semplificare e consolidare la sicurezza.
Ma “è un cambio di mentalità prima ancora che di tecnologia: il controllo non può dipendere dalla memoria delle persone o da processi manuali, deve essere incorporato nel modo in cui abilitiamo l’operatività”, conclude Francesco Iezzi.
