Sicurezza dell'Identity: una guida per i responsabili della sicurezza

Secondo il Netwrix 2026 Data and Identity Security Report, un sondaggio su 2.317 professionisti IT e della sicurezza ha rilevato che il 75% delle esposizioni di dati sensibili iniziano con identità compromesse o permessi configurati in modo errato.

Un accesso apparentemente valido può comportare rischi molto tempo dopo la fornitura, rendendo la sicurezza dell’identità una questione di resilienza informatica e governance aziendale, non solo tecnica.

In un'organizzazione con 100-5.000 dipendenti, rispondere a un membro del consiglio o a un revisore esterno che chiede chi ha accesso a cosa, o se l'organizzazione è sicura, spesso richiede una riconciliazione manuale. I dati sottostanti risiedono in Active Directory (AD), Microsoft Entra ID, più console di amministrazione SaaS e fogli di calcolo, e questi record spesso non coincidono.

Un programma disciplinato trasforma quei dati frammentati in una postura misurabile che i team di sicurezza, i consigli e gli auditor possono utilizzare. La governance continua supporta quindi risposte più rapide, decisioni di accesso difendibili e prove chiare dei progressi.

Cos'è la sicurezza dell'identità?

La sicurezza dell'identità è la pratica continua di proteggere ogni identità nell'organizzazione da compromessi e usi impropri. Identifica dove l'accesso concesso crea rischi, monitora come viene utilizzato e interrompe attività anomale dell'identità. L'ambito copre dipendenti e collaboratori, nonché account di servizio, identità applicative e agenti AI.

Identity and access management (IAM) è la disciplina correlata che consente alle persone o alle macchine giuste di accedere agli asset giusti al momento giusto e per motivi legittimi. IAM gestisce il provisioning, decidendo chi ottiene cosa e configurandolo.

La sicurezza dell'identità segue questa decisione, applicando la prevenzione prima di un attacco e il rilevamento e la risposta una volta che è in corso. IAM costruisce la struttura e la sicurezza dell'identità la difende.

Perché la sicurezza dell'identità è ora un rischio a livello di consiglio

I consigli necessitano di prove specifiche e misurabili per gestire l'esposizione dell'identità come parte della postura di cyber resilienza dell'organizzazione. Tre forze hanno recentemente alzato la posta.

Quasi la metà delle organizzazioni ha subito una compromissione di account cloud lo scorso anno

Il Rapporto sulla Sicurezza dei Dati e dell'Identity Netwrix 2026 ha rilevato un tasso di violazioni del 43% negli ultimi 12 mesi tra le organizzazioni in cui l'IA ha aumentato significativamente l'impronta dell'identity, rispetto all'11% tra quelle in cui non è cambiata in modo significativo. Ogni identity aggiunta è un'altra credenziale che un attaccante può usare. Le credenziali valide dei tenant cloud consentono a un attaccante di leggere email, estrarre dati e spostarsi tra servizi SaaS senza attivare i controlli progettati per i perimetri di rete.

Identità e permessi governano i percorsi che gli aggressori seguono verso i dati

L'origine delle esposizioni di dati sensibili è una questione distinta da come gli aggressori ottengono l'accesso iniziale. In Verizon's 2026 Data Breach Investigations Report (DBIR), lo sfruttamento delle vulnerabilità (31%) ha superato l'abuso di credenziali (13%) come principale vettore di accesso iniziale. L'abuso di credenziali è comunque apparso nel 39% delle violazioni in qualche fase.

Una volta dentro, sia tramite un exploit sia tramite una password rubata, l'accesso ai dati passa attraverso identità e permessi. I controlli del firewall governano il traffico di rete, mentre identità e permessi governano l'accesso ai dati.

Le compagnie assicurative stanno già considerando questo rischio nei rinnovi

Tra le organizzazioni assicurate, Il Netwrix 2025 Cybersecurity Trends Report ha rilevato che la domanda di IAM è aumentata dal 38% nel 2023 al 48% nel 2025. I cicli di rinnovo ora includono domande specifiche sull'identità e i premi riflettono le risposte.

Le domande a cui la sicurezza di Identity Management deve rispondere

Un programma efficace risponde a quattro domande pratiche in termini che i consigli e i revisori possono valutare:

1. Chi ha accesso effettivo in questo momento?
2. L'accesso viene utilizzato normalmente?
3. Le decisioni di accesso possono essere difese in seguito?
4. L’accesso viene rimosso in tempo?

Le discipline di supporto includono Privileged Access Management (PAM), governance e amministrazione dell'identità (IGA), Identity Threat Detection & Response (ITDR) e gestione della postura di sicurezza dell'identità (ISPM).

Chi ha accesso a cosa, in questo momento, in tutti i sistemi?

I team rispondono comunemente a questa domanda un sistema alla volta. Il team AD estrae le appartenenze ai gruppi, l’amministratore di Microsoft 365 esporta le assegnazioni dei ruoli e ogni proprietario di SaaS ha una console. Ciò che manca è un’unica immagine aggiornata che copra AD, Microsoft Entra ID, SaaS e cloud, con l’appartenenza ai gruppi annidati risolta in base all’accesso effettivo di una persona. La risposta di solito richiede una riconciliazione aggiuntiva dopo la riunione.

L'accesso viene utilizzato nel modo previsto?

Il comportamento necessita ancora di una verifica separata quando una persona utilizza un account fuori dagli orari previsti, anche se l'account ha i permessi corretti. Il furto di credenziali, movimento laterale, e l'escalation dei privilegi possono sembrare attività consentite dal punto di vista dei diritti, perché l'account fa cose che è autorizzato a fare ma in una sequenza e a un ritmo incoerente con il comportamento legittimo dell'amministratore. Rispondere a questa domanda richiede un'analisi del comportamento nel tempo, che è compito di ITDR.

Possiamo dimostrare perché l'accesso è stato appropriato, a posteriori?

Quando i team non riescono a ricostruire una decisione di accesso valida in seguito, l'organizzazione manca delle prove che un revisore si aspetta. L'organizzazione ha bisogno di un registro di chi ha richiesto l'accesso, chi lo ha approvato e quando è stato l'ultimo controllo. Quel registro collega la decisione originale all'attuale autorizzazione.

L'accesso viene rimosso quando dovrebbe?

La politica scritta e lo stato della directory possono divergere rapidamente. Standing privileged access che supera la sua ragione, un account di un appaltatore ancora attivo dopo il progetto e un account di servizio il cui proprietario se n’è andato molto tempo fa, ognuno lascia diritti in vigore che nessuno riautorizzerebbe oggi.

Il Netwrix 2026 Data and Identity Security Report ha rilevato che il 76% delle organizzazioni non può revocare immediatamente l’accesso permanente quando non è più necessario, un problema che i leader possono affrontare con controlli del ciclo di vita più rigorosi.

I componenti principali della sicurezza dell'identità

La sicurezza di Identity suddivide il lavoro tra provisioning, privilege, governance, rilevamento e la directory da cui tutti dipendono, nell’ordine in cui ogni disciplina entra nel ciclo di vita dell’accesso.

IAM: l'ombrello che concede e gestisce l'accesso

IAM copre i sistemi e i processi che decidono chi ottiene accesso a cosa e poi lo forniscono, inclusi directory, single sign-on, MFA e richieste di accesso. I controlli di sicurezza si basano su ciò che IAM concede esaminando i diritti emessi per segni di compromissione, uso improprio o rischio accumulato.

Privileged Access Management: il sottoinsieme privilegiato che può causare i danni maggiori

Privileged Access Management gestisce gli account che possono modificare l'ambiente stesso, inclusi gli amministratori di dominio, gli amministratori globali cloud e account di servizio con diritti elevati. Gli strumenti PAM applicano controlli tecnici più rigorosi sugli account, le credenziali e i comandi utilizzati per amministrare o configurare sistemi e applicazioni.

Le organizzazioni utilizzano strumenti separati e registrazioni delle sessioni per questo accesso ristretto e ad alto rischio perché assicuratori e revisori lo esaminano più attentamente rispetto all’accesso standard degli utenti. Il Netwrix Cybersecurity Trends Report 2025 ha rilevato che il 42% dei professionisti IT darebbe priorità al miglioramento di PAM rispetto a tutte le altre iniziative di sicurezza se potesse scegliere.

IGA: il livello di governance che verifica ancora l’accesso ha senso

La governance e amministrazione di Identity fornisce il livello di revisione periodica. Mentre il provisioning di IAM guarda avanti perché una persona ha bisogno di un ruolo oggi, IGA guarda indietro e chiede se l’accesso ricevuto 18 mesi fa sia ancora appropriato e cosa il team avrebbe già dovuto revocare. Le funzionalità principali di IGA includono la gestione del ciclo di vita dell’identità, certificazione degli accessi e l’elaborazione delle richieste di accesso. Per scopi di audit, IGA produce registri di certificazione che mostrano che qualcuno ha revisionato l’accesso.

ITDR: monitoraggio delle compromissioni dopo la concessione dell'accesso

Identity threat detection and response fornisce lo strato in tempo reale. Gartner ha introdotto la categoria nel 2022. Rileva il furto di credenziali, il movimento laterale e l'escalation dei privilegi mentre avvengono. IGA e PAM regolano se i team configurano correttamente l'accesso, mentre ITDR identifica gli abusi dopo che l'accesso è stato concesso.

Sicurezza di Directory: Proteggere il sistema da cui dipende ogni identità

Active Directory e Entra ID costituiscono la base per le altre discipline. Una directory compromessa o configurata in modo errato compromette tutte contemporaneamente perché il controllo della directory modifica la fonte di verità per ogni identità.

La guida Five Eyes Rilevamento e mitigazione delle compromissioni di Active Directory, pubblicata per la prima volta a settembre 2024 e successivamente revisionata, avverte che ottenere il controllo di Active Directory concede agli attori malintenzionati accesso privilegiato a tutti i sistemi e utenti che gestisce.

Dove si colloca la sicurezza di Identity con Zero Trust

La Cybersecurity and Infrastructure Security Agency (CISA) pone l'identità al centro della verifica continua. Il Modello di Maturità Zero Trust di CISA rende l'identità il primo dei suoi cinque pilastri, con una fase Ottimale in cui un'organizzazione convalida continuamente l'identità durante l'accesso usando MFA resistente al phishing.

Validazione continua, least privilege e rivalutazione della fiducia durante una sessione attiva sono tutte attività di sicurezza dell'identità. Una strategia Zero Trust allineata al modello CISA dipende dalla forza dei controlli di identità che la implementano.

Come valutare la posizione della tua organizzazione

Tre esercizi producono una baseline difendibile utilizzando gli strumenti già in possesso del team. Un test di visibilità temporizzato, una revisione di approvazione degli accessi privilegiati e una scansione indipendente della directory producono ciascuno un artefatto specifico che il team può consegnare alla leadership o a un revisore.

Esegui un test di visibilità dell’accesso efficace di un giorno

Chiedi al team di rispondere a "chi ha accesso a cosa, in questo momento, su ogni sistema" entro un giorno lavorativo. Registra il numero di console utilizzate, il tempo impiegato e i sistemi che il team non è riuscito a coprire. Il risultato è una lista unica e riconciliata degli accessi effettivi per utente o, in mancanza, una lista documentata degli ostacoli che hanno impedito di produrla. Entrambi i risultati vanno inclusi nel racconto per il consiglio in seguito.

Rivedi l'accesso privilegiato permanente per approvazioni che nessuno ricorda di aver concesso

Estrai l'elenco completo degli account con diritti elevati, inclusi gli account di servizio e quelli che ereditano i diritti di amministratore tramite gruppi nidificati. Per ogni account, identifica chi lo ha approvato, quando è avvenuta l'approvazione e perché l'accesso rimane attivo.

Fatto sembra un foglio di calcolo con un record di approvazione allegato a ogni voce e una lista ristretta di account da revocare. Cybersecurity Maturity Model Certification (CMMC) I valutatori di Livello 2 richiedono esattamente questo set di artefatti, inclusa una lista di account di sistema attivi collegati a individui nominati e i corrispondenti record di autorizzazione all'accesso, quindi l'esercizio funge anche da preparazione all'audit.

Esegui una scansione indipendente della directory secondo una checklist standard

Valuta la directory con una scansione esterna, come una valutazione mappata MITRE ATT&CK o una basata sulle tecniche di compromissione AD nelle Five Eyes guidance, per produrre una baseline indipendente. Il risultato è una lista classificata di configurazioni errate, incluse quelle che consentono a un utente ordinario di scalare a amministratore e gli account che gli attaccanti possono prendere di mira senza un login interattivo.

Tradurre la sicurezza dell'identità nel linguaggio del consiglio e della revisione

Il finanziamento dipende dalla traduzione dei risultati sull'identità in esposizione, tempi di risposta e prove difendibili su cui un consiglio può agire. La Director's Handbook on Cyber-Risk Oversight, quinta edizione (2026), assegna tale responsabilità di traduzione alla direzione.

Le metriche che funzionano in una conversazione del consiglio

Il conteggio delle vulnerabilità misura lo sforzo, mentre un consiglio deve vedere l’esposizione. Le metriche di identità basate sul tempo forniscono questa visione, traducendo l’attività tecnica in una timeline del rischio che un direttore non tecnico può valutare. NACD le elenca tra le metriche da riportare almeno trimestralmente e immediatamente dopo qualsiasi incidente rilevante:

• Tempo medio di rilevamento (MTTD): Quanto a lungo un’identità compromessa resta inosservata, il periodo in cui un attaccante può muoversi lateralmente o aumentare i privilegi senza essere rilevato.
• Tempo medio di risposta (MTTR): Quanto tempo ci vuole per revocare l'accesso non necessario o compromesso una volta segnalato, una misura diretta di quanto velocemente l'organizzazione chiude una vulnerabilità.
• Quota di incidenti ad alto costo: Il Netwrix Cybersecurity Trends Report 2025 ha rilevato che la quota di organizzazioni che segnalano danni da attacchi superiori a 200.000 dollari è quasi raddoppiata, passando dal 7% nel 2024 al 13% nel 2025. Questa tendenza fornisce a MTTD e MTTR un costo aziendale su cui ancorarsi.

Prove che gli auditor si aspettano di vedere

Decisioni di accesso accurate e prove di tali decisioni sono requisiti di audit separati. Il criterio CC6.2 di System and Organization Control 2 (SOC 2) richiede la rimozione delle credenziali di sistema dell’utente quando l’accesso non è più autorizzato, e AICPA's Trust Services Criteria definiscono lo standard contro cui gli auditor SOC 2 testano.

Una revisione traccia tipicamente due tipi di prove:

• Registri di provisioning e terminazione: un campione di eventi di concessione e rimozione dell’accesso tracciati fino ai ticket approvati, con rimozioni ritardate registrate come eccezioni.
• Documentazione della revisione degli accessi: il nome del revisore, la data della revisione, i sistemi coperti e l'approvazione del manager, registrati per ogni revisione periodica, non solo per la concessione iniziale.

Una garanzia verbale lascia questi test non supportati. Gli auditor considerano un'esportazione con data e ora dal sistema di registrazione come prova verificabile.

Trasformare i risultati in una narrazione del rischio invece che in una lista di controllo

Quando i team presentano i risultati della directory come un arretrato tecnico, un consiglio può facilmente considerarli come manutenzione di routine. Inquadrare gli stessi risultati in base ai risultati operativi rende più chiari il rischio e l'obiettivo di rimedio.

Ad esempio, “l’accesso permanente da amministratore di dominio non ha un’approvazione tracciabile” diventa “rimuovere l’accesso permanente non necessario restringe le vie per il controllo dell’intera directory e rende le approvazioni verificabili.”

Come Netwrix supporta la sicurezza dell'identità nella pratica

Netwrix crea controlli lungo l’intero ciclo di vita dell’identità per ambienti Microsoft ibridi, dalla valutazione della directory e visibilità della postura alla registrazione delle attività, all’applicazione dei privilegi, al rilevamento delle minacce e al blocco in tempo reale. Ogni prodotto corrisponde a una delle quattro domande con cui questa guida è iniziata.

Valutazione dell'esposizione della directory con una baseline esterna

Netwrix PingCastle valuta, assegna punteggi e classifica il rischio AD tramite oltre 170 controlli mappati su MITRE ATT&CK, producendo il tipo di baseline indipendente richiesta dalla scansione della directory sopra citata. Poiché il controllo della directory supporta tutte le altre discipline di identity, un punteggio PingCastle prioritizzato trasforma un ampio problema del directory Microsoft in una lista di lavoro misurabile su cui un acquirente tecnico può agire.

Mantenere un quadro aggiornato del rischio di identità

Netwrix Identity Security Posture Management (ISPM), fornito tramite la Netwrix 1Secure™ Platform, rileva configurazioni errate in AD e Microsoft Entra ID con oltre 170 controlli e mantiene aggiornata la visibilità della postura, offrendo ai team una visione che si adatta all'ambiente invece di restare indietro rispetto all'ultima conciliazione manuale.

Questo è ciò che serve per rispondere a "chi ha accesso a cosa, in questo momento". Il modello di erogazione SaaS elimina la configurazione dell'infrastruttura dall'impostazione.

Ridurre il tempo di indagine con registri di attività ibridi

Netwrix Auditor registra le modifiche e l’attività di accesso in AD, Microsoft 365, file system e altre piattaforme. Quel registro fornisce ai team la traccia di prove necessaria per rispondere a "possiamo dimostrare perché l’accesso era appropriato", insieme a un modo più rapido per individuare attività fuori dai normali schemi.

Applicazione del principio del minimo privilegio per account ad alto rischio

Netwrix Privilege Secure risponde direttamente a "l'accesso viene rimosso in tempo?" per gli account privilegiati. Sostituisce i diritti amministrativi permanenti con accesso just-in-time per un'attività specifica, lo rimuove automaticamente al termine dell'attività e registra le sessioni risultanti per la revisione dell'audit.

Eastern Carver County Schools ha eliminato l'accesso amministrativo permanente ai sistemi contenenti dati di 9.300 studenti, sostituendolo con accesso just-in-time, completando il rollout in giorni anziché mesi.

Rilevamento dell'uso improprio degli accessi mentre avviene

Netwrix Threat Manager risponde: “L’accesso viene utilizzato normalmente in tempo reale?” Rileva il furto di credenziali, movimenti laterali, escalation di privilegi, Kerberoasting, attacchi Golden Ticket e altre minacce all’identità negli ambienti AD e Microsoft Entra ID, con copertura aggiuntiva per le tecniche ESC1-ESC7 di Active Directory Certificate Services (AD CS).

Netwrix Threat Prevention va oltre bloccando in tempo reale gli attacchi DCSync, Kerberoasting e Pass-the-Hash. Suddividere il rilevamento e il blocco tra due prodotti mantiene i controlli distinti proteggendo allo stesso tempo asset di Tier Zero come gruppi privilegiati, controller di dominio e Group Policy Objects (GPOs).

Conosci la situazione delle tue identità

La visibilità degli accessi efficaci negli ambienti ibridi Microsoft, prove di governance tracciabili, informazioni sulla postura attuale e rilevamento o contenimento tempestivi dovrebbero guidare l'investimento nella sicurezza dell'identità.

Confronta la politica scritta con lo stato della directory per stabilire una baseline, quindi utilizza il test di visibilità di un giorno, la revisione degli account privilegiati e la scansione indipendente per identificare dove il prossimo investimento avrà il maggiore impatto.

Richiedi una demo per scoprire come Netwrix può aiutarti a mappare l'accesso efficace negli ambienti ibridi Microsoft, eliminare l'accesso privilegiato permanente e rilevare le minacce all'identità in tempo reale.