Di Mhicole A. Moral, Special Features and Content Writer

Con l’accelerazione delle operazioni digitali, l’identità è diventata una delle priorità che definiscono la cybersecurity aziendale. Sempre più spesso, le imprese si affidano all’identity and access management (IAM) per stabilire chi può accedere alle informazioni critiche, quando tale accesso viene autorizzato e come viene monitorato in modo continuativo. Il cambiamento è stato amplificato dall’ampia adozione del cloud e dalla diffusione delle applicazioni software-as-a-service, che hanno ampliato in modo significativo il numero di account utente e di percorsi di accesso che i team di sicurezza devono gestire.

Durante il terzo panel del BusinessWorld Cybersecurity Summit, intitolato “Identity and Access Management in the Enterprise”, i dirigenti tecnologici hanno esaminato perché sistemi più solidi di identità e accesso siano diventati indispensabili per le organizzazioni moderne.

Oltre password e autenticazione a più fattori

Catherine Anne Paleracio, Chief Information Security Officer (CISO) di Tonik, ha osservato che il panorama dell’identità si è evoluto insieme alla crescente accessibilità dei servizi digitali. Se in passato le organizzazioni facevano grande affidamento sui metodi di autenticazione convenzionali, l’attuale contesto di minaccia richiede ai team di sicurezza di andare ben oltre username, password e autenticazione a più fattori.

“About 30% of attacks are credential-based”, ha detto Ms. Paleracio. “This calls for organizations to act according to the landscape that we're in right now, and it triggers us to think about a different strategy on how we're usually approaching IAM.”

Jan Martin Encina, director of information security di Maya Philippines, Inc., ha sottolineato che identity and access management è da tempo una preoccupazione centrale per i professionisti della sicurezza e dell’audit, poiché il controllo degli accessi è il fondamento della protezione delle risorse aziendali.

Sebbene la gestione degli accessi possa apparire come un’attività di routine, Encina ha ribadito che le organizzazioni dovrebbero costruire pratiche solide per ottenere benefici che vanno ben oltre la riduzione del rischio informatico.

“If an organization is able to get their IAM right, it serves as a very important value driver for that organization,” ha osservato. “You’re able to make your process a lot more efficient, and really be able to engage your employees.”

Questo impatto sul business aiuta a spiegare perché gli avversari prendano spesso di mira le identità prima di tentare exploit più sofisticati dal punto di vista tecnico.

“Access is like the first choice of our adversaries, simply because it’s so basic that everyone has it,” ha detto Mr. Encina. “Before a threat actor attempts any sort of complicated, sophisticated exploit, they will try to gain access first. If you can get that password from that administrator, from that finance manager who can transfer funds, from someone who can escalate your privileges, there's nothing technical about that. It's all social engineering.”

La sfida degli endpoint remoti

Mark Anthony P. Almodovar, Risk Services — Cybersecurity and Privacy executive director di PwC Philippines, ha sottolineato che le organizzazioni hanno dovuto passare dal concentrare la sicurezza negli uffici aziendali alla protezione di migliaia di endpoint remoti.

Durante la pandemia di COVID-19, per esempio, molte aziende hanno chiesto ai dipendenti di portare a casa i computer desktop per poter continuare le operazioni, ampliando drasticamente il numero di ambienti che i team di sicurezza dovevano proteggere.

“The endpoint is actually tied up to an individual,” ha spiegato Mr. Almodovar. “So it’s really hard as well to protect it. We still rely on the trust basis.”

Ha osservato che, in generale, le organizzazioni danno per scontato che la persona che accede a un account aziendale sia il dipendente autorizzato, ma verificare questa ipotesi tra migliaia di utenti ogni giorno resta una sfida considerevole.

Le persone: l’anello debole

I progressi nella sicurezza aziendale hanno anche influenzato il comportamento degli attaccanti. Man mano che le organizzazioni rafforzavano le difese tecniche con tecnologie migliori e una più ampia consapevolezza della sicurezza, i threat actor hanno spostato l’attenzione su persone e credenziali.

“The weakest thing sometimes in the chain is not the process, it's not the technology, but it's really the people,” ha spiegato Mr. Encina. “Even if you have the most sophisticated security systems, if your admins are giving out their passwords, then just forget your multimillion-dollar investment in security.”

Mr. Almodovar ha condiviso la stessa opinione, affermando che il controllo degli accessi rimane il controllo di sicurezza informatica più fondamentale, perché gli aggressori trovano più facile manipolare le persone che sconfiggere la tecnologia.

“For the most part, people are still the most vulnerable,” ha detto. “At least, the technology is playing a good part in terms of enforcing people to use, to some extent, a more sophisticated authentication.”

Ms. Paleracio ha aggiunto che le campagne di phishing restano tra i vettori d’attacco più semplici ma efficaci perché colpiscono persone che dispongono già di accessi di valore. Gli aggressori, ha detto, tendono a concentrarsi su amministratori, fornitori e dipendenti con accesso a informazioni critiche, poiché compromettere un account fidato può aprire un percorso diretto verso i sistemi senza bisogno di exploit tecnici complessi.

Zero Trust come percorso graduale

Sebbene l’identità sia diventata il fulcro della sicurezza aziendale, i relatori hanno concordato che l’implementazione dello Zero Trust è un processo graduale che dipende tanto dalla governance e dall’allineamento con il business quanto dalla tecnologia stessa. Il concetto, formalizzato nella U.S. National Institute of Standards and Technology Special Publication 800-207, sposta la sicurezza dalla fiducia implicita basata sulla posizione di rete alla verifica continua di ogni richiesta di accesso.

Ms. Paleracio ha descritto lo Zero Trust come un solido concetto di sicurezza, ma ha avvertito che tradurlo nelle operazioni quotidiane richiede investimenti continuativi e una pianificazione attenta. Le organizzazioni, inoltre, differiscono notevolmente nella capacità di adottare il modello, poiché la scala incide direttamente sulla complessità. Un’impresa più piccola, ad esempio, può introdurre controlli Zero Trust più rapidamente, mentre le organizzazioni con migliaia di dipendenti devono gestire una rete molto più ampia di utenti, sistemi e relazioni di accesso.

“The challenge is basically defining what you really need and limiting it based on the business needs,” ha aggiunto Ms. Paleracio. “At the end of the day, it will be everyone's role, everyone's responsibility to have cybersecurity in place. We need to make sure we become enablers while we're putting up the security controls.”

Allo stesso modo, Mr. Encina ha affermato che lo Zero Trust non può avere successo senza la partecipazione attiva di tutte le parti interessate.

“Security is everybody's responsibility because Zero Trust can only be implemented if all of the stakeholders are actually doing it,” ha osservato.

Ha spiegato che i controlli di sicurezza diventano inefficaci se i dipendenti li aggirano. Politiche eccessivamente restrittive possono spingere gli utenti verso dispositivi personali, applicazioni di intelligenza artificiale non autorizzate o tecnologie non approvate, creando ulteriori rischi che le organizzazioni non possono monitorare.

Invece di imporre controlli dopo che i sistemi sono già stati realizzati, Mr. Encina ha sostenuto l’integrazione della sicurezza nelle fasi più iniziali dello sviluppo attraverso un approccio secure-by-design. Le organizzazioni, quindi, dovrebbero definire i requisiti di identity and access management prima di selezionare o distribuire nuove tecnologie. I sistemi che non possono integrarsi con le piattaforme di identità aziendali non soddisfano fin dall’inizio i requisiti di business, invece di diventare eccezioni di sicurezza dopo il deployment.

Supporto del management e governance

Il sostegno del vertice resta altrettanto importante, secondo Mr. Almodovar, perché le policy non possono avere successo senza un reale impegno organizzativo. Ha ricordato discussioni con organizzazioni che cercavano di rafforzare le policy di autenticazione incontrando la resistenza di dirigenti di alto livello, i quali mettevano in dubbio la necessità di controlli più forti dopo anni senza incidenti di sicurezza. Tale riluttanza, ha osservato, spesso ritarda gli investimenti in sicurezza fino a quando le organizzazioni non subiscono perdite.

“Access control is the most basic and most fundamental control in information security,” ha detto Mr. Almodovar. “Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that's the time when they will start implementing it.”

I relatori hanno più volte richiamato leadership e cultura organizzativa come fattori decisivi per il successo dei programmi di sicurezza. Poiché ogni dipendente dispone di un certo livello di accesso a sistemi, applicazioni e informazioni, ciascuno contribuisce alla postura complessiva di sicurezza dell’organizzazione.

“Every single person in the organization has access. Every single person in the organization has a role to play in your systems,” ha detto Mr. Encina.

Ha aggiunto che un identity and access management efficace richiede il sostegno del management, perché i programmi di sicurezza incidono contemporaneamente su tecnologia, operazioni di business e comportamento dei dipendenti. Senza un supporto visibile da parte della leadership, le organizzazioni spesso faticano a stabilire una governance dell’identità coerente tra i diversi reparti.

Ha inoltre messo in guardia dal considerare i requisiti di conformità come unico metro di sicurezza.

“It’s extremely dangerous to have people implement technology without having the right set of policies and governance,” ha spiegato. “But it’s also ineffective to be all governance and not do anything about technology.”

Mr. Almodovar ha ribadito che proteggere le organizzazioni significa, in ultima analisi, proteggere le persone. Poiché molti cybercriminali sfruttano individui con una limitata consapevolezza della sicurezza informatica, i leader dovrebbero avviare programmi per controlli più forti che vadano ben oltre password e one-time PIN. Anche così, la tecnologia da sola non può compensare cattive abitudini di sicurezza.

“Before implementing technology, the governance and management parts are still the first requirement,” ha detto Mr. Almodovar. “How can we secure something if we don't understand what we are trying to secure?”

Ha sottolineato che le organizzazioni devono prima avere una chiara comprensione di asset, processi di approvazione, responsabilità di proprietà e strutture decisionali prima di automatizzare la gestione delle identità.

I relatori hanno concordato all’unanimità che le organizzazioni devono prima comprendere i propri rischi, i probabili avversari e il livello di consapevolezza sulla sicurezza all’interno della forza lavoro, invece di presumere che la sola conformità normativa offra una protezione adeguata.