Identity Governance & Administration (IGA): la risorsa giusta per la persona giusta al momento giusto.

Gli accessi avvengono raramente in un unico ambiente. Coinvolgono Active Directory, Microsoft 365, applicazioni specialistiche, piattaforme cloud e spesso anche sistemi gestiti direttamente dai reparti aziendali. I processi manuali per la gestione degli accessi sono rischiosi e causano spesso tempi di attesa e mancanza di trasparenza. Se le autorizzazioni vengono inoltre assegnate successivamente tramite ticket, e-mail o file Excel, si perde rapidamente la visione d’insieme.

Allo stesso tempo aumentano i requisiti di compliance e governance. Standard come ISO 27001[i] 27001 o prescrizioni normative come NIS2[ii] richiedono processi tracciabili, verifiche periodiche e una documentazione completa degli accessi. Gli audit diventano costosi quando occorre ricostruire a posteriori chi ha ricevuto quale accesso, quando e per quale motivo. L’IGA non offre soltanto sicurezza, ma anche esattamente questa evidenza.

Gestione ordinata anziché stato d’eccezione

IGA[iii] fa parte del moderno Identity & Access Management (IAM)[iv]. Consente di gestire e controllare centralmente identità, ruoli e autorizzazioni. Una soluzione IGA accompagna l’intero ciclo di vita degli utenti: l’ingresso in azienda, il cambio di ruolo e l’uscita. Nella pratica si parla spesso di processi Joiner, Mover e Leaver: chi entra riceve accessi perfettamente adeguati; chi cambia ruolo restituisce i diritti non più necessari; chi lascia l’azienda perde l’accesso in modo sistematico e senza ritardi.

Nel lavoro quotidiano, una soluzione di questo tipo garantisce la disponibilità degli accessi necessari. In concreto, ciò significa richieste di accesso automatizzate con processi di approvazione (Entitlement Management), modelli di autorizzazione basati sui ruoli, ricertificazioni periodiche per verificare gli accessi esistenti e revoche tracciabili quando termina un’attività, si cambia reparto o si conclude il rapporto di lavoro.

Chi può accedere, quando e dove?

Molte aziende non sanno con precisione chi può accedere a quali sistemi e dati. Strutture di autorizzazione cresciute nel corso degli anni, nuove applicazioni e cambiamenti organizzativi possono far sì che gli accessi non corrispondano più alle responsabilità effettive. Soprattutto in caso di cambio di ruolo, le autorizzazioni esistenti spesso non vengono eliminate in modo sistematico. Nel tempo, i collaboratori accumulano quindi diritti di accesso aggiuntivi di cui non hanno più bisogno. Due esempi tipici sono i giovani talenti che passano attraverso diversi reparti e le persone che rinunciano a responsabilità dirigenziali. Il risultato: maggiore lavoro amministrativo, una superficie di attacco più ampia e più necessità di spiegazioni durante gli audit.

A ciò si aggiungono responsabilità poco chiare. Spesso non è definito in modo univoco chi sia responsabile di un’applicazione, chi possa approvare gli accessi o chi debba effettuare le verifiche periodiche. Le ricertificazioni rimangono quindi frammentarie e singoli sistemi restano esclusi dai processi Joiner, Mover e Leaver.

Le identità sono il nuovo bersaglio

Gli attacchi informatici si concentrano sempre più sulle identità digitali. Invece di sfruttare vulnerabilità tecniche, gli aggressori cercano di acquisire il controllo di account utente legittimi tramite phishing o furto delle credenziali. Una moderna soluzione IGA applica quindi sistematicamente il principio del privilegio minimo, concedendo tutto l’accesso necessario e il meno possibile.

Tuttavia, l’IGA da sola non basta. Le identità non devono soltanto essere gestite, ma anche protette costantemente, indipendentemente dal fatto che l’accesso avvenga dalla rete aziendale, dall’home office o dal cloud. È qui che intervengono gli Identity Security Services: combinano IAM e IGA con un monitoraggio continuo, rilevano tempestivamente gli utilizzi impropri e colmano il divario tra l’assegnazione delle autorizzazioni e il comportamento effettivo.

Tutti gli accessi necessari fin dal primo giorno

L’IGA aiuta le aziende a mettere a disposizione le risorse giuste, al momento giusto e per le persone giuste. Se fin dal primo giorno sono disponibili tutti gli accessi, le applicazioni, i canali Teams e le caselle di posta necessari, l’inizio nel nuovo posto di lavoro diventa un’esperienza positiva. Anche nella quotidianità sono fondamentali processi chiari: chi necessita di un accesso presenta una richiesta tracciabile. Chi approva decide in base al ruolo, al rischio e alla responsabilità, non a sensazione. Il vero valore aggiunto non nasce soltanto nell’IT, ma anche nelle attività operative: i collaboratori diventano produttivi più rapidamente, i tempi di attesa diminuiscono e i processi diventano più efficienti.

Nel migliore dei casi, una buona gestione degli accessi passa quasi inosservata. Una cattiva gestione, invece, si nota immediatamente: durante l’onboarding, in occasione di un audit o in caso di incidente di sicurezza.

La piattaforma IGA tenfold e un IAM integrato con UMB

UMB si affida a tenfold come piattaforma IGA preferenziale. Questo prodotto austriaco si distingue dalle soluzioni IGA tradizionali grazie al moderno approccio no-code e consente di introdurre rapidamente i processi di Identity Governance. I complessi sviluppi personalizzati vengono ridotti, mantenendo al contempo una flessibilità sufficiente per le esigenze specifiche dei clienti.

tenfold copre l’intero ambito IGA: dallo User Lifecycle Management all’Entitlement Management e alle ricertificazioni, fino ai concetti di ruoli, profili e segregazione delle funzioni (Segregation of Duties, SoD). Le numerose integrazioni standard consentono di collegare facilmente sistemi come Microsoft 365, Active Directory e diverse soluzioni HR e ITSM. Per le esigenze individuali è disponibile un’API. La SoD è molto più di una semplice parola chiave della compliance: impedisce che combinazioni critiche, come richiesta e approvazione oppure registrazione e controllo delle autorizzazioni, siano nelle mani di un’unica persona.

UMB è il vostro partner per IAM e IGA

UMB collega l’IGA agli altri componenti dell’IAM: l’Identity Provider (Microsoft Entra ID o Active Directory), il Privileged Access Management e gli Identity Security Services del Cyber Defense Center. I clienti non ricevono soltanto un software, ma un partner che riunisce strategia, implementazione ed esercizio.

Sapete dove si trovano le possibili lacune di sicurezza e compliance nella vostra azienda? Tutti i sistemi sono integrati nei processi Joiner, Mover e Leaver oppure alcune applicazioni vengono ancora gestite manualmente dai reparti aziendali?

Un’analisi iniziale mostra dove manca la trasparenza, dove si generano privilegi eccessivi e dove la governance è già efficace. Su questa base è possibile automatizzare i processi, perfezionare i ruoli e configurare le ricertificazioni in modo che funzionino nella quotidianità.

Fissate con noi un colloquio di consulenza senza impegno oppure scoprite tenfold in una demo interattiva, comprensiva di funzionalità e integrazioni.

[i] ISO 27001 Certification Switzerland

[ii] NIS2 Richtlinie | Insight CH (Tedesco)

[iii]What Is IGA?

[iv]What is Identity Access Management (IAM)?