Il gioco dell'acchiappa la talpa sugli accessi non finisce mai. C'è un motivo

Penso spesso al problema del gioco dell'acchiappa la talpa sugli accessi. Nuovi assunti, nuovi progetti, nuovi file, nuove condivisioni, qualcuno che interrompe l'ereditarietà di una cartella senza rendersene conto. È per questo che non finisce mai: le novità arrivano più in fretta di quanto qualcuno riesca a rivedere ciò che già esiste, quindi l'elenco non si accorcia mai, per quanto spesso lo si ripulisca.

Il problema esiste da sempre, ma si è fatto più acuto. Trovare un file sovraesposto richiedeva una ricerca manuale, per cui la maggior parte restava lì in silenzio, non scoperta, per anni. Copilot e gli agenti simili riducono l'intera ricerca a una sola domanda, con risposta in pochi secondi, per chiunque la faccia. L'IA non crea il rischio, ma amplifica quello che c'era già.

Sono un ex ingegnere e mi piace osservare come i team software affrontano problemi simili. Claude Mythos Preview è uscito ad aprile e, nel giro di un mese, Anthropic e i suoi partner avevano trovato più di 10.000 vulnerabilità di gravità alta o critica in software molto diffuso. I maintainer non possono correggere tutto questo. Applicare patch a ogni bug man mano che emerge somiglia molto al tentativo di stare dietro a ogni modifica dei permessi: non finisce mai. Per questo i team più accorti non cercano di correggere ogni bug. Riprogettano invece il codice più rischioso, quello al quale non riescono realisticamente a stare dietro, su piattaforme rafforzate e isolate, così un intero gruppo di vulnerabilità smette di contare in un colpo solo.

Credo che la stessa idea valga per la governance degli accessi.

Sposta i dati, non limitarti a proteggerli meglio

Un file share generico è la sede più debole per i dati sensibili: i permessi si ereditano in modo imprevedibile, raramente ha etichettatura o DLP attivi per impostazione predefinita e la traccia di audit è scarsa. Una pulizia saltata espone tutto ciò che si trova dietro. Revisioni dei permessi più frequenti sono difficili da scalare. La soluzione è portare i dati sensibili fuori dalla cosa più difficile da governare.

Alcune categorie di dati sensibili hanno già una sede migliore, di solito un sistema che possiedi già. I dati finanziari appartengono alla piattaforma finanziaria, non a un'unità condivisa. I dati sanitari appartengono al sistema clinico o di gestione dei rimborsi già governato dal tuo programma di conformità. Nulla di tutto ciò è un'idea nuova, ma vale la pena trattarla come la vera soluzione, perché toglie i dati dal mucchio che altrimenti dovresti continuare a ricontrollare all'infinito.

I dati personali generici, il materiale segnalato dal GDPR e tutto ciò che resta in una vecchia condivisione perché nessuno gli ha costruito una sede adeguata sono dati senza un sistema dedicato evidente. Per questi, SharePoint è davvero una piattaforma migliore, non solo più ordinata. Un'etichetta di riservatezza viaggia con il file stesso, quindi la protezione non svanisce nel momento in cui qualcuno lo scarica o lo inoltra, cosa che un file share piatto non è progettato per fare di serie. Le etichette possono anche attivare un accesso basato sull'identità: un sito con materiale riservato può richiedere l'MFA nel momento in cui qualcuno prova ad aprirlo, invece di fidarsi di chiunque abbia un login. E Restricted Access Control permette di limitare subito il pubblico reale di un sito, annullando la dispersione di condivisioni accumulata negli anni, invece di sbrogliare i permessi gruppo per gruppo. Quest'ultimo punto conta soprattutto per Copilot e gli agenti simili: mostrano solo ciò che la persona che chiede ha già il permesso di raggiungere, quindi ridurre quel pubblico reale riduce anche ciò che qualsiasi agente IA può trovare. Netwrix 1Secure può mostrarti oggi la tua esposizione a Copilot.

La stessa logica vale per gli accessi permanenti

L'altro problema di permessi che continua ad accumularsi è chi possiede accessi elevati che usa a malapena. Rivedere quell'elenco è lo stesso gioco dell'acchiappa la talpa senza fine di rivedere ogni permesso sui file, solo con una posta in gioco più alta. Gli account di servizio privilegiati sono sempre stati un bersaglio, per il loro ampio raggio d'azione, ma le identità degli agenti IA portano la cosa a un altro livello per la loro capacità di agire in autonomia. La soluzione più duratura è l'elevazione just-in-time: concedere l'accesso per il compito e lasciarlo scadere, invece di lasciarlo raggiungibile a riposo. Esistono strumenti di accesso privilegiato proprio per questo, e conviene trattarli come infrastruttura e non come una policy che qualcuno deve ricordarsi di applicare.

Dove diventa urgente

La parte dei dati non funziona se prima non sai dove si trovano davvero i tuoi dati sensibili, ed è il passaggio che la maggior parte dei team salta.

Gli accessi permanenti si possono correggere oggi; non dipendono da nulla. Ma non puoi riprogettare ciò che non vedi sul fronte dei dati. Se trovi dati personali su un file share, è il segnale per spostarli in un luogo costruito per ospitarli, come SharePoint. Sapere cosa hai e dove si trova è il punto di partenza per portare i dati sensibili fuori dalle piattaforme che non sanno proteggerli. È esattamente qui che entra in gioco Netwrix 1Secure.