Andando oltre l’idea tradizionale di “non fidarsi mai, verificare sempre” applicata soltanto a utenti e dispositivi, il modello Zero Trust 2.0 estende la verifica continua e i controlli del principio del minimo privilegio anche ad identità non umane (applicazioni, servizi, API e macchine), utilizzando politiche di controllo basate su attributi dell’identità e/o ruoli associati e sul contesto operativo.
Il modello Identity‑First Security pone invece l’identità al centro del modello di sicurezza, trasformando le soluzioni IAM, IGA, PAM e ITDR in un’architettura integrata che governa non solo chi può accedere a cosa, ma anche come, quando e in quali condizioni.
In questo scenario, Zero Trust 2.0 e Identity‑First Security non rappresentano più concetti isolati, ma un riferimento attraverso cui le organizzazioni possono soddisfare i requisiti normativi come quelli presenti all’interno di DORA, GDPR, HIPAA, ISO 27001, NIS2 e PCI‑DSS, allineando la resilienza al rischio cyber, privacy‑by‑design e compliance in un contesto unico e centrato sull’identità.
Indice degli argomenti
Dall’IAM tradizionale all’Identity‑First Security
Per molti anni, l’IAM è stato considerato una disciplina tecnica focalizzata su provisioning, autenticazione e controllo degli accessi basato in base ai ruoli.
Il suo compito era quello di garantire che gli utenti fossero correttamente identificati, che le credenziali fossero protette e che i privilegi fossero associati a ruoli definiti all’interno di servizi di directory o soluzioni di amministrazione delle identità.
La logica era semplice: definire chi può accedere a cosa, applicare tale definizione al perimetro o all’applicazione e rivedere periodicamente le assegnazioni per verificarne la coerenza con il business.
In questo senso, l’IAM è rimasto a lungo una disciplina di natura prevalentemente amministrativa, centrata sulla gestione di account, gruppi e permessi, senza incidere in modo significativo sulla postura di sicurezza dell’organizzazione né sulla sua capacità di dimostrare conformità ai requisiti normativi moderni.
Nell’attuale contesto organizzativo, infrastrutture on‑premise, piattaforme cloud, applicazioni SaaS, dispositivi personali e modelli di lavoro ibridi coesistono in un ecosistema complesso e in continua evoluzione.
Di conseguenza, il tradizionale concetto di perimetro di sicurezza, fondato su un confine interno chiaramente definito, ha progressivamente perso di efficacia.
Le reti non possono più essere considerate come limiti netti, ma come relazioni interconnesse di dati e servizi, spesso difficili da definire, contenere e governare in modo rigido.
Come conseguenza, Zero Trust 2.0 e Identity‑First Security emergono non come semplici estensioni di modelli precedenti, ma come una nuova filosofia di sicurezza che sposta il baricentro dalla posizione fisica della persona, al ruolo, al comportamento e al contesto.
Abilitare la conformità
Zero Trust 2.0 estende la prima versione del modello oltre gli utenti e i dispositivi, includendo applicazioni, servizi, API e macchine.
L’obiettivo è ridurre la superficie di attacco e limitare i movimenti laterali nel caso in cui un attaccante riesca ad ottenere l’accesso con una qualsiasi credenziale.
In questo contesto, tecnologie come ZTNA 2.0, che operano a livello di identità dell’applicazione e non di indirizzo IP, diventano essenziali.
L’accesso viene concesso a funzioni specifiche o aree sensibili sulla base di politiche altamente granulari e di contesto.
Identity‑First Security offre alle organizzazioni un modo chiaro per dimostrare che l’azienda opera un controllo degli accessi, dell’autenticazione e una supervisione su sistemi e dati.
In pratica, consente di trasformare requisiti normativi ampi in controlli misurabili.
Il valore principale deriva dallo spostare la conformità da esercizio documentale a livello di processo a un modello di controllo continuo governato da strumenti.
Invece di affidarsi solo ai confini di rete, le organizzazioni possono basare le decisioni su chi è l’utente, cosa è autorizzato a fare e se l’accesso resta appropriato nel corso del tempo.
Tradurre i requisiti normativi generali in controlli operativi
Questo modello aiuta a tradurre i requisiti normativi generali in controlli operativi supportati da evidenze verificabili:
- NIS2 introduce un quadro armonizzato per la cyber security nei settori critici e importanti dell’UE, richiedendo una gestione del rischio, una notifica degli incidenti e un set di controlli di accesso più rigorosi.
- DORA si concentra sulla resilienza operativa digitale degli operatori finanziari e richiede esplicitamente una gestione robusta delle identità e dei diritti di accesso.
- PCI‑DSS impone controlli stretti sugli accessi ai dati delle carte, attraverso l’applicazione del principio di minimo privilegio e della responsabilità individuale.
- HIPAA richiede che solo utenti autorizzati accedano alle Informazioni digitali relative ai pazienti, attraverso identificativi univoci e opportuni tracciamenti.
- ISO 27001 formalizza il controllo degli accessi nell’Annex A, includendo l’amministrazione e governo delle identità, autenticazione, diritti di accesso e privilegi amministrativi.
- GDPR e normative simili enfatizzano la protezione delle informazioni by design e by default, la minimizzazione dei dati, una base giuridica e la trasparenza nella gestione delle identità.
Oltre a questi framework, esistono numerose normative locali, settoriali e/o regole interne di governance che possono trarre vantaggio da un approccio centrato sull’identità.
Nella pubblica amministrazione, nel settore dell’istruzione, nella produzione o in altri settori altamente regolamentati, le architetture Zero Trust 2.0 e Identity‑First Security possono essere riusate per indurre il principio del minimo privilegio, implementare un monitoraggio continuo delle identità e fornire evidenze tracciabili degli accessi, diventando una base solida e scalabile di conformità multi‑normativa o contrattuale.
Gestione degli accessi (AM)
L’Access Management (AM) è il primo livello in cui il legame tra Zero Trust 2.0, Identity‑First Security e la normativa diventa concreto.
La maggior parte delle normative richiede infatti controlli di accesso rigorosi, identificazione affidabile e politiche chiare su chi può accedere a cosa e in base a quali condizioni.
Allo stesso tempo, GDPR ed altre leggi sulla privacy richiedono che l’accesso ai dati personali sia limitato a chi ne ha bisogno per una finalità chiaramente definita, e che i consensi e le politiche di trattamento siano registrati e applicabili in modo coerente.
Le piattaforme di AM moderne costruite su servizi di directory e soluzioni di
amministrazione delle identità, forniscono sistemi di autenticazione forte, includendo modelli di autenticazione passwordless e/o MFA, una gestione centralizzata del ciclo di vita delle identità e la verifica autorizzativa in funzione del contesto.
In una prospettiva Zero Trust 2.0, l’AM diventa uno strato intelligente che valuta in tempo reale le richieste di accesso, in linea con le normative e supportando la minimizzazione dei dati e il principio di liceità del trattamento.
Amministrazione e governo delle identità (IGA)
L’Identity governance and Administration (IGA) garantisce che il controllo degli accessi sia coerente, tracciabile e dimostrabile lungo l’intero ciclo di vita dell’identità.
Le normative enfatizzano tracciabilità, trasparenza e livelli di accesso: le organizzazioni devono dimostrare che i privilegi vengono assegnati solo quando necessari e che i diritti eccessivi o orfani siano rivisti periodicamente. In parallelo, framework come GDPR richiedono che l’accesso ai dati personali sia documentato, giustificato, revocabile e verificabile.
Le soluzioni IGA introducono modello dei ruoli basato su politiche, campagne di certificazione, flussi di richiesta e approvazione e integrazione con i sistemi di HR per l’intero ciclo di vita delle identità.
In un modello Identity‑First Security, i ruoli diventano costrutti dinamici, governati dal rischio e regolamentati, in grado di riflettere la realtà di business, le finalità e i requisiti di trattamento dei dati.
Il modello, supportando NIS2, DORA, PCI‑DSS, HIPAA, ISO 27001 e GDPR, trasforma tali politiche in controlli effettivi e tracciabili.
Gestione degli accessi privilegiati (PAM)
Il Privileged Access Managenent (PAM) si concentra sulle identità a più alto rischio: amministratori, account di servizio, fornitori terzi e qualunque profilo privilegiato che possa aggirare o indebolire i controlli standard.
NIS2 richiede un controllo rigoroso su chi può accedere ai sistemi critici, protezione contro l’uso improprio delle credenziali privilegiate e tracciabilità di ogni azione amministrativa.
DORA richiede un rigore simile in termini di resilienza operativa digitale, mentre PCI‑DSS, HIPAA e ISO 27001 richiedono che l’accesso a dati sensibili sia controllato, registrato e riconducibile a persone specifiche.
Le soluzioni PAM implementano processi di rilascio dei privilegi in modalità Just‑In‑Time (JIT), rotazione delle credenziali, registrazione delle sessioni e casseforti digitali (vault), garantendo che gli account privilegiati siano attivi solo quando necessario e sotto stretto controllo.
Integrazione del PAM con AM e IGA
Integrando il PAM con AM e IGA, si costruisce di una strategia identity‑first unificata: definizione dei ruoli privilegiati nel motore di governance, richieste di privilegi soggette e flussi di approvazione ed elevazione dei privilegi gestiti dinamicamente.
Questo modello risponde alle aspettative di NIS2, DORA, PCI‑DSS, HIPAA e ISO 27001 in materia di controllo degli accessi e prevenzione degli incidenti, supportando al tempo stesso la tracciabilità richiesta dal GDPR.
Identity Threat Detection and Response (ITDR)
L’Identity Threat Detection and Response (ITDR) sposta il focus da “chi dovrebbe accedere a cosa” a “chi sta realmente tentando di abusare dell’identità”.
ITDR combina cyber threat intelligence, user and entity behavior analytics, regole di rilevamento di minacce e playbook di risposta automatizzati per proteggere l’identità stessa.
In un’architettura Zero Trust 2.0, l’ITDR monitora continuamente flussi di
autenticazione e autorizzazione, cercando anomalie come login in località insolite, pattern di impossible travel, elevazione di privilegi troppo rapida, cambi ruolo inattesi o rilascio di autorizzazioni OAuth sospette.
In presenza di questi eventi, gli strumenti ITDR possono attivare risposte automatiche, bloccando sessioni, revocando token, disabilitando account o aprendo incidenti di sicurezza, mantenendo al tempo stesso evidenze dettagliate.
Per NIS2, questa capacità è essenziale per prevenire, rilevare e mitigare in modo dimostrabile le minacce relative alle identità.
Allo stesso modo, DORA, PCI‑DSS, HIPAA e ISO 27001 richiedono forti capacità di rilevamento e risposta, mentre GDPR e normative analoghe impongono che le violazioni che coinvolgono dati personali siano rilevate, notificate entro tempi stringenti e ricostruibili nei dettagli.
Stack integrato: l’infrastruttura per Zero Trust 2.0 e Identity‑First Security
Considerati insieme, AM, IGA, PAM e ITDR formano un’infrastruttura coerente che rende operativo il modello Identity‑First Security e fornisce la base tecnica per una conformità normativa e per un’adeguata gestione dei requisiti di privacy e cyber security.
L’infrastruttura unifica autenticazione, governance, controllo degli accessi privilegiati e rilevamento delle minacce alle identità, offrendo un modo consistente per applicare politiche di gestione e produrre evidenze di tracciamento.
Il valore aggiunto del modello è la trasformazione della compliance normativa da insieme di controlli isolati verso un framework operativo connesso.
Cosa fanno AM, IGA, PAM e ITDR
L’AM verifica e gestisce gli accessi, l’IGA governa il ciclo di vita e i processi di approvazione, il PAM limita, controlla e registra gli accessi privilegiati, l’ITDR rileva attività sospette: insieme migliorano l’adozione del principio del minimo privilegio, la segregazione dei compiti, la tracciabilità e la prontezza di risposta agli incidenti.
L’approccio produce benefici pratici oltre al supporto ai processi di audit, tra cui meno account con privilegiati più ampi del necessario o orfani, maggiore visibilità sulle identità umane e non umane, e maggior resilienza contro l’abuso di credenziali o movimenti laterali.
Zero Trust 2.0 e Identity‑First Security: cosa significa per le aziende
Dal punto di vista aziendale, questa evoluzione significa che l’identità non è più un dettaglio tecnico di back-office, ma una componente strategica della resilienza al rischio cyber, di gestione del rischio e della continuità operativa.
Per le organizzazioni, implementare Zero Trust 2.0 e Identity‑First Security non significa soprattutto introdurre nuovi strumenti, ma ripensare il modo in cui persone, processi e sistemi si integrano in sistemi on‑premise, cloud e servizi di terze parti.
L’organizzazione deve trattare l’identità come un modello di controllo che governa chi può fare cosa, quando e a quali condizioni, su tutti gli asset e i dati critici.
Investire in un’architettura – in cui AM, IGA, PAM E ITDR condividono lo stesso contesto ed applicano politiche coerenti – offre benefici tangibili: minore probabilità di incidenti gravi, meno violazioni legate ai privilegi e minor impatto operativo in presenza di incidenti.
Obiettivi e governo del Zero Trust 2.0 e Identity‑First Security
Dal punto di vista del governo e della direzione, questa architettura rafforza la capacità dell’organizzazione di dimostrare la conformità normativa, non solo rispetto a NIS2, DORA, PCI‑DSS, HIPAA, ISO 27001 e SOX, ma anche verso audit interni, SLA verso clienti ed obblighi contrattuali con partner e cloud provider.
In pratica, l’impresa ottiene un’unica fonte tracciabile per accessi, privilegi e rischio, semplificando il reporting, riducendo l’esposizione legale e reputazionale e accelerando le indagini sugli incidenti.
Inoltre, da un punto di vista operativo e dell’ottimizzazione dei costi, un’infrastruttura centrica sull’identità riduce la complessità e la frammentazione tra i domini.
Invece di mantenere silos separati per provisioning, accessi privilegiati, certificazioni degli accessi e rilevamento delle minacce, l’organizzazione può consolidare queste capacità in una soluzione unica, snellendo i processi e riducendo le attività manuali.
Allo stesso tempo, incorporando concetti di privacy‑by‑design, minimizzazione dei dati e implementazione di politiche di aderenza regolamentare a livello di identità, l’azienda non solo soddisfa solo le richieste normative, ma costruisce anche la fiducia verso i clienti, i partner e le autorità di controllo.
In questo modo, il ruolo dello IAM cambia drasticamente passando da ambito puramente tecnico a fattore strategico di trasformazione digitale sicura, innovazione e sostenibilità di lungo periodo.
Partecipa alla community