Gestione degli accessi spiegata per responsabili IT

La gestione degli accessi è l’insieme di processi, policy e tecnologie che determinano chi può accedere a quali risorse aziendali e in quali condizioni. Secondo Microsoft Security, il controllo degli accessi è il processo di concessione dell’autorizzazione a utenti, gruppi e dispositivi per accedere a oggetti e risorse: definisce chi può fare cosa su un sistema. Non si tratta di un singolo strumento, ma di un perimetro operativo che comprende policy, provisioning, autenticazione, autorizzazione e auditing continuo.

Due azioni ad effetto immediato per ridurre il rischio nelle prossime 72 ore:

• Abilitare MFA per tutti gli account privilegiati ancora privi di autenticazione a più fattori, iniziando dagli amministratori di sistema e dagli account di servizio con accesso a dati critici.
• Avviare una revisione dei privilegi amministrativi per identificare account con diritti eccessivi rispetto al ruolo effettivo, account orfani di dipendenti usciti e account condivisi non tracciabili.

Il valore strategico della gestione degli accessi si concentra in due principi: il principio del privilegio minimo (PoLP) e l’auditing sistematico. Applicarli riduce la superficie d’attacco e fornisce le prove documentali richieste da ISO 27001, NIS2 e Legge 90/2024.

Un consiglio: Prima di acquistare qualsiasi strumento, mappate i vostri sistemi critici e classificate le risorse per sensibilità. Un inventario preciso vale più di qualsiasi piattaforma PAM configurata su dati incompleti.

Punti chiave

La gestione degli accessi è il controllo di sicurezza con il miglior rapporto tra costo di implementazione e riduzione del rischio: MFA, PoLP e processi strutturati di provisioning eliminano la causa radice della maggior parte delle violazioni aziendali.

Indice

• Gestione degli accessi vs IAM: dove finisce l’uno e inizia l’altro?
• Quali sono i componenti tecnici fondamentali del controllo degli accessi?
• Quali modelli di controllo degli accessi scegliere: RBAC, ABAC, DAC o MAC?
• Perché il Privileged Access Management è il controllo più critico da implementare
• Quali tecnologie compongono un’architettura di gestione degli accessi?
• Quali rischi derivano da una gestione degli accessi carente?
• Come si gestisce il ciclo di vita degli accessi: provisioning, review e revoca
• Cosa richiedono ISO 27001, NIS2 e Legge 90/2024 sul controllo degli accessi?
• Come misurare l’efficacia dei controlli di accesso nel tempo
• Checklist operativa per responsabili IT: cosa fare nei prossimi 180 giorni
• Esempi pratici: onboarding, offboarding, terze parti e lavoro remoto
• Perché la gestione degli accessi è l’investimento più efficace per le PMI
• Fonti

Gestione degli accessi vs IAM: dove finisce l’uno e inizia l’altro?

I termini si sovrappongono spesso nelle conversazioni tecniche, ma le distinzioni operative contano in fase di progettazione. Come chiarisce HTS Italy, IAM, IGA, PAM, IM e AM rappresentano funzioni distinte nell’ecosistema della gestione delle identità.

Identity Management (IM) gestisce il ciclo di vita delle identità digitali: creazione, modifica e cancellazione degli account nel repository (Active Directory, LDAP, identity store cloud). Access Management (AM) si occupa di autenticazione e autorizzazione in tempo reale. IAM è l’insieme integrato di entrambi. IGA (Identity Governance and Administration) aggiunge uno strato di governance: policy, certificazioni dei diritti e reportistica per audit. PAM (Privileged Access Management) gestisce specificamente gli account con privilegi elevati, con funzionalità dedicate come il vaulting delle credenziali e la registrazione delle sessioni.

Un progetto IAM completo si giustifica quando l’organizzazione supera una certa complessità: più di 200 utenti, sistemi eterogenei, requisiti di compliance multipli. Per una PMI con infrastruttura omogenea, interventi mirati su AM e PAM producono risultati più rapidi con investimento inferiore.

Quali sono i componenti tecnici fondamentali del controllo degli accessi?

Il modello AAA (Authentication, Authorization, Accounting) descrive i tre pilastri operativi, a cui si aggiunge l’identificazione come prerequisito.

Identificazione è il momento in cui un soggetto dichiara la propria identità al sistema. Il repository che contiene queste identità può essere Active Directory, un LDAP aziendale, un identity provider cloud come Azure AD o Okta, oppure un database applicativo locale. La qualità del repository determina la qualità di tutto ciò che segue.

Autenticazione verifica che il soggetto sia davvero chi dichiara di essere. Le modalità variano per forza:

• Password: il metodo più diffuso, ma il più vulnerabile a phishing e credential stuffing.
• MFA: combina qualcosa che si conosce (password), qualcosa che si possiede (token, app) o qualcosa che si è (biometria). Riduce drasticamente il rischio di compromissione delle credenziali.
• Certificati digitali: usati per autenticazione machine-to-machine e VPN aziendali.
• Biometria: impronta digitale, riconoscimento facciale; adatta per accessi fisici e dispositivi mobili.

Autorizzazione determina cosa può fare un soggetto autenticato. Il decision point (PDP, Policy Decision Point) valuta la richiesta rispetto alle policy definite e restituisce un permesso o un diniego. I modelli di policy (RBAC, ABAC, MAC, DAC) vengono trattati nella sezione successiva.

Accounting e auditing registrano ogni evento di accesso: chi ha fatto cosa, quando, da dove e con quale esito. Questi log sono la base per la correlazione con i sistemi SIEM e per le prove documentali richieste in sede di audit. Agenda Digitale raccomanda monitoraggio continuo e gestione centralizzata come misure imprescindibili per proteggere i dati sensibili.

Un consiglio: Configurate i log di autenticazione con un livello di dettaglio sufficiente a rispondere alle domande di un auditor: indirizzo IP sorgente, timestamp, esito e risorsa tentata. Un log incompleto è quasi inutile in fase di incident response.

Quali modelli di controllo degli accessi scegliere: RBAC, ABAC, DAC o MAC?

Ogni modello risponde a esigenze diverse. La scelta sbagliata genera complessità gestionale o lacune di sicurezza.

RBAC (Role-Based Access Control) assegna i permessi a ruoli, non a singoli utenti. Un utente ottiene i diritti ereditando il ruolo. Funziona bene in strutture organizzative stabili con mansioni ben definite. Secondo ICT Security Magazine, RBAC può diventare complesso in scenari con responsabilità trasversali o ruoli temporanei, e presenta limiti nella gestione del contesto e nell’integrazione con sistemi legacy.

ABAC (Attribute-Based Access Control) valuta attributi multipli: dell’utente (reparto, livello di clearance), della risorsa (classificazione dati), dell’ambiente (ora del giorno, posizione geografica). Più flessibile di RBAC, ma richiede un motore di policy più sofisticato e una governance degli attributi rigorosa.

DAC (Discretionary Access Control) lascia al proprietario della risorsa la decisione su chi può accedervi. Comune nei file system tradizionali. Flessibile, ma difficile da governare su scala: il proliferare di eccezioni individuali crea una superficie d’attacco difficile da mappare.

MAC (Mandatory Access Control) applica policy centralizzate e non modificabili dall’utente, basate su classificazioni di sicurezza (es. riservato, segreto). Tipico di ambienti governativi e militari. Massima rigidità e controllo, ma scarsa flessibilità operativa.

Per le PMI italiane, RBAC rimane il punto di partenza più pratico. Quando i ruoli diventano troppo granulari o i contesti di accesso troppo variabili, integrare elementi ABAC per le eccezioni è più sostenibile che ridisegnare l’intero schema.

Un consiglio: Applicate il principio di separazione dei compiti (SoD) già in fase di progettazione dei ruoli. Un caso classico che gli auditor cercano: l’utente che può sia inserire un nuovo fornitore nel gestionale sia approvarne i pagamenti. Questo tipo di conflitto va eliminato a livello di policy, non gestito con controlli manuali.

Perché il Privileged Access Management è il controllo più critico da implementare

Gli account privilegiati, quelli con diritti amministrativi su sistemi, database o infrastrutture, rappresentano il vettore di attacco più sfruttato nelle violazioni aziendali. Non perché siano numerosi, ma perché il loro compromesso consente movimenti laterali rapidi e accesso a dati critici senza ulteriori barriere.

Le funzionalità PAM che riducono concretamente il rischio:

• Credential vaulting: le password degli account privilegiati sono conservate in un vault cifrato, mai visibili all’operatore in chiaro. L’accesso avviene tramite checkout temporaneo.
• Session recording: ogni sessione privilegiata viene registrata integralmente. Deterrente per abusi interni e prova documentale per audit e incident response.
• Just-in-Time (JIT) access: i privilegi vengono concessi solo per il tempo necessario all’operazione specifica, poi revocati automaticamente. Elimina gli account permanentemente privilegiati.
• Rotazione automatica delle password: le credenziali degli account di servizio e degli amministratori vengono ruotate periodicamente senza intervento manuale, riducendo il rischio di credenziali compromesse non rilevate.

Un caso d’uso operativo tipico: un amministratore di database deve eseguire una manutenzione straordinaria su un sistema di produzione. Con PAM, richiede l’accesso JIT per 2 ore, ottiene la password dal vault per quella finestra temporale, la sessione viene registrata, e al termine i privilegi vengono automaticamente revocati. Nessuna credenziale condivisa, nessun accesso permanente, traccia completa dell’operazione.

Il rischio maggiore non viene dall’esterno, ma dall’interno: l’accumulo progressivo di privilegi non revocati trasforma ogni dipendente in un potenziale vettore di attacco, spesso senza che nessuno se ne accorga fino a un incidente.

Un consiglio: Iniziate il PAM dagli account di servizio, non dagli amministratori umani. Gli account di servizio sono spesso condivisi, raramente monitorati e quasi mai revocati. Sono il punto cieco più comune nelle PMI.

Quali tecnologie compongono un’architettura di gestione degli accessi?

Un sistema di gestione degli accessi aziendali non è un prodotto singolo, ma un’architettura di componenti che devono comunicare tra loro. Gruppo Infor descrive come un IAM centralizzato supporti provisioning, autenticazione forte, autorizzazione condizionale e integrazione con SIEM, facilitando conformità GDPR e principi Zero Trust.

Le tecnologie principali e la loro funzione operativa:

• SSO (Single Sign-On): un’unica autenticazione dà accesso a tutti i sistemi autorizzati. Riduce la fatica da password e centralizza il punto di controllo dell’autenticazione.
• MFA: secondo strato di verifica obbligatorio. Deve essere abilitato almeno per tutti gli accessi remoti e gli account privilegiati.
• LDAP / Active Directory: repository centrale delle identità on-premise. La base su cui si appoggiano la maggior parte dei sistemi IAM aziendali.
• IGA: piattaforma di governance che gestisce certificazioni dei diritti, workflow di approvazione e reportistica per audit.
• PAM: gestione degli account privilegiati con vaulting, JIT e session recording.
• SIEM (Security Information and Event Management): raccoglie e correla i log di accesso provenienti da tutti i sistemi, genera alert su comportamenti anomali.

Come orchestrarli:

1. Il repository LDAP/AD è la fonte autoritativa delle identità.
2. Il sistema IAM legge le identità e applica le policy di provisioning.
3. SSO e MFA gestiscono l’autenticazione degli utenti verso le applicazioni.
4. PAM gestisce separatamente gli account privilegiati con controlli dedicati.
5. Tutti gli eventi di autenticazione e autorizzazione vengono inviati al SIEM per correlazione e alerting.
6. IGA fornisce la vista di governance: chi ha accesso a cosa, con quale giustificazione e da quando.

In ambienti cloud o ibridi, l’identity provider cloud (Azure AD, Google Workspace, AWS IAM) si affianca o sostituisce parzialmente l’AD on-premise. L’integrazione tra i due ambienti richiede attenzione alla sincronizzazione delle identità e alla coerenza delle policy di accesso condizionale.

Un consiglio: Prima di integrare un SIEM, assicuratevi che i log di autenticazione di Active Directory siano configurati per registrare gli eventi 4624 (accesso riuscito), 4625 (accesso fallito) e 4648 (accesso con credenziali esplicite). Senza questi eventi, la correlazione SIEM produce poco valore.

Quali rischi derivano da una gestione degli accessi carente?

I tre vettori di rischio più frequenti nelle organizzazioni che non gestiscono gli accessi in modo strutturato:

Minacce interne e abuso di privilegi. Un dipendente con accesso eccessivo rispetto al proprio ruolo può esfiltrare dati, modificare configurazioni o sabotare sistemi, intenzionalmente o per errore. La minaccia interna è statisticamente sottovalutata rispetto agli attacchi esterni, ma spesso più difficile da rilevare.

Privilege creep e account orfani. Il privilege creep è l’accumulo progressivo di diritti di accesso nel tempo: un utente cambia ruolo, ottiene nuovi accessi per il nuovo incarico, ma quelli precedenti non vengono mai revocati. Gli account orfani, quelli di dipendenti o collaboratori usciti dall’organizzazione, rimangono attivi e potenzialmente accessibili. Entrambi ampliano la superficie d’attacco senza che nessuno ne sia consapevole. Il principio del privilegio minimo è la risposta diretta a questo problema: limitare i privilegi al minimo necessario riduce l’impatto di qualsiasi compromissione.

Compromissione delle credenziali e movimenti laterali. Una password rubata tramite phishing dà all’attaccante l’accesso iniziale. Se quell’account ha privilegi eccessivi o se la rete non è segmentata, il movimento laterale verso sistemi critici diventa rapido. MFA e micro-segmentazione sono i controlli che spezzano questa catena.

Un account orfano attivo sei mesi dopo l’uscita di un dipendente non è un’anomalia rara: nelle organizzazioni senza processi di offboarding automatizzati, è la norma. È anche il tipo di evidenza che un auditor NIS2 cercherà per prima.

Come si gestisce il ciclo di vita degli accessi: provisioning, review e revoca

Il ciclo di vita degli accessi inizia prima che un utente acceda al primo sistema e termina dopo che ha lasciato l’organizzazione. Gestirlo senza processi documentati significa affidarsi alla memoria individuale, con risultati prevedibili.

Provisioning è la creazione e configurazione degli accessi al momento dell’ingresso di un nuovo utente o al cambio di ruolo. Deve essere guidato da un workflow approvativo che coinvolga il responsabile diretto e il data owner della risorsa. L’automazione tramite IGA riduce i tempi e garantisce coerenza.

Deprovisioning è la revoca degli accessi all’uscita dell’utente o al cambio di ruolo. Deve avvenire entro tempi definiti dalla policy (tipicamente entro 24 ore dall’uscita per gli account privilegiati). L’integrazione con il sistema HR è il modo più affidabile per automatizzare questo processo.

Access review è la revisione periodica dei diritti di accesso assegnati. Serve a identificare privilege creep, eccezioni non più giustificate e account inattivi. La frequenza raccomandata varia per sensibilità della risorsa: trimestrale per sistemi critici, semestrale per sistemi standard.

Passi operativi per strutturare il ciclo di vita:

1. Definire un owner per ogni risorsa o sistema (data owner).
2. Documentare il processo di richiesta e approvazione degli accessi.
3. Integrare il sistema IAM con il sistema HR per automatizzare provisioning e deprovisioning.
4. Pianificare access review periodiche con responsabilità assegnate.
5. Mantenere un registro centralizzato dei diritti di accesso aggiornato.
6. Documentare ogni eccezione alle policy standard con giustificazione e scadenza.

Un consiglio: Assegnate a ogni accesso una data di scadenza predefinita, anche per gli accessi ordinari. Un accesso che scade e deve essere rinnovato consapevolmente è molto più sicuro di uno che rimane attivo per inerzia.

Cosa richiedono ISO 27001, NIS2 e Legge 90/2024 sul controllo degli accessi?

I tre riferimenti normativi principali per le organizzazioni italiane convergono su requisiti simili, con livelli di dettaglio e obblighi diversi.

ISO 27001 richiede controlli documentati per la gestione degli accessi nell’Annex A (controlli A.5.15–A.5.18 nella versione 2022): policy di controllo degli accessi, gestione dei diritti degli utenti, responsabilità degli utenti e controllo degli accessi ai sistemi e alle applicazioni. La verifica dei controlli di sicurezza ISO 27001 richiede evidenze documentali: policy approvata, registro dei diritti, verbali delle access review e log di provisioning/deprovisioning.

NIS2 impone requisiti più prescrittivi. Come dettagliato da NIS2 Lab, la direttiva richiede una politica formale di controllo degli accessi, un registro centralizzato dei diritti, revisioni periodiche e prove documentali per audit. I principi fondamentali sono need-to-know, least privilege e segregation of duties. Le linee guida tecniche NIS2 dettagliano i requisiti per policy, gestione dei diritti, account privilegiati e MFA nei paragrafi 11.1–11.7.

Legge 90/2024 (recepimento italiano della NIS2) estende gli obblighi a un perimetro più ampio di soggetti essenziali e importanti, con scadenze operative che richiedono alle organizzazioni di dimostrare l’adozione di misure tecniche adeguate, inclusa la gestione degli accessi.

Cosa documentare per un audit:

• Policy di controllo degli accessi approvata dalla direzione e aggiornata.
• Registro centralizzato dei diritti di accesso con data di assegnazione e owner.
• Verbali delle access review periodiche con evidenza delle azioni correttive.
• Log di provisioning e deprovisioning con timestamp e approvazioni.
• Evidenza dell’adozione di MFA per account privilegiati e accessi remoti.
• Documentazione delle eccezioni alle policy con giustificazione e scadenza.

L’adozione di NIS2 come opportunità per migliorare la maturità operativa è un approccio più produttivo della semplice compliance reattiva: le organizzazioni che formalizzano i processi di accesso per rispondere alla direttiva ottengono benefici operativi che vanno oltre il requisito normativo.

Come misurare l’efficacia dei controlli di accesso nel tempo

I controlli di accesso senza metriche sono controlli non verificabili. Queste sono le misure operative più utili per valutare lo stato della gestione degli accessi:

• Percentuale di account con MFA abilitato: target minimo del 100% per account privilegiati, progressivamente esteso a tutti gli utenti.
• Tempo medio di revoca degli accessi: dal momento dell’uscita di un utente alla disabilitazione completa di tutti gli account. Target: entro 24 ore per account privilegiati.
• Numero di account orfani rilevati: identificati durante le access review. Una riduzione progressiva indica miglioramento del processo di deprovisioning.
• Percentuale di accessi con eccezioni alle policy: eccezioni troppo numerose segnalano policy non aderenti alla realtà operativa.
• Tempo medio di completamento delle access review: indica l’efficienza del processo e la partecipazione degli owner.

Per la correlazione degli eventi, il SIEM deve ricevere i log di autenticazione da tutti i sistemi critici. La retention dei log richiesta per compliance NIS2 e GDPR varia, ma un minimo di 12 mesi è la soglia operativa raccomandata. Per approfondire le tecniche di monitoraggio degli accessi ai dati personali, Securityhub ha pubblicato una guida dedicata.

Checklist operativa per responsabili IT: cosa fare nei prossimi 180 giorni

Una roadmap temporalizzata con responsabilità chiare è più utile di qualsiasi lista di best practice generiche.

Entro 30 giorni (priorità alta):

1. Censire tutti gli account privilegiati (amministratori di sistema, account di servizio, account di emergenza).
2. Abilitare MFA per tutti gli account privilegiati e per gli accessi remoti VPN.
3. Identificare e disabilitare gli account orfani di dipendenti usciti negli ultimi 12 mesi.
4. Verificare che esista una policy di controllo degli accessi documentata e approvata.

Entro 90 giorni (priorità media):

1. Avviare la prima access review formale con coinvolgimento dei data owner.
2. Implementare un processo documentato di provisioning e deprovisioning integrato con HR.
3. Configurare il logging degli eventi di autenticazione su tutti i sistemi critici e inviarlo al SIEM.
4. Definire i ruoli RBAC principali e verificare che non esistano conflitti SoD evidenti.
5. Avviare la valutazione di una soluzione PAM per gli account privilegiati.

Entro 180 giorni (consolidamento):

1. Completare l’implementazione PAM con vaulting e session recording per gli account critici.
2. Pianificare le access review periodiche con cadenza definita e responsabilità assegnate.
3. Produrre il registro centralizzato dei diritti di accesso come evidenza per audit.
4. Allineare la documentazione ai requisiti ISO 27001 e NIS2 per prepararsi a una verifica esterna.

Un consiglio: Non cercate la perfezione al primo ciclo di access review. L’obiettivo è avere un processo ripetibile e documentato. Un’access review imperfetta ma eseguita vale infinitamente più di una perfetta mai avviata.

Per supporto nell’implementazione dei controlli ISO 27001, Securityhub offre percorsi strutturati per PMI e grandi organizzazioni.

Esempi pratici: onboarding, offboarding, terze parti e lavoro remoto

Quattro scenari ricorrenti con le soluzioni operative più efficaci.

Onboarding di un nuovo dipendente. Il processo inizia prima del primo giorno: HR notifica il sistema IAM con ruolo, reparto e data di inizio. Il sistema provvede automaticamente alla creazione dell’account, all’assegnazione dei gruppi RBAC corrispondenti al ruolo e all’invio delle credenziali temporanee. Il primo accesso richiede il cambio password e la registrazione MFA. Nessun accesso manuale, nessuna email con password in chiaro.

Offboarding di un dipendente uscente. La notifica di uscita da HR attiva la disabilitazione immediata dell’account AD, la revoca delle sessioni attive SSO, il checkout e la rotazione delle credenziali PAM eventualmente in uso, e il trasferimento della ownership delle risorse condivise. Tutto documentato con timestamp nel registro.

Accessi per terze parti e fornitori. Gli account per consulenti esterni devono avere:

• Scadenza predefinita allineata alla durata del contratto.
• Accesso limitato ai soli sistemi necessari per l’incarico specifico.
• MFA obbligatorio, anche per accessi occasionali.
• Revisione mensile da parte del referente interno.

Cloud e lavoro remoto. L’accesso condizionale è il controllo chiave: l’autorizzazione dipende non solo dall’identità, ma dallo stato del dispositivo (device posture), dalla posizione geografica e dall’ora del giorno. Un dispositivo non gestito o non conforme alle policy di sicurezza non ottiene accesso alle risorse cloud, indipendentemente dalle credenziali presentate. Questo approccio si allinea ai principi Zero Trust e riduce significativamente il rischio di accessi non autorizzati da dispositivi compromessi.

Perché la gestione degli accessi è l’investimento più efficace per le PMI

La maggior parte delle PMI italiane affronta la sicurezza informatica come una serie di acquisti: un firewall, un antivirus, un backup. La gestione degli accessi non rientra naturalmente in questa lista perché non è un prodotto, è un processo. Ed è esattamente per questo che viene trascurata, e per questo che è così efficace quando viene implementata correttamente.

Il ragionamento è semplice: la maggior parte delle violazioni sfrutta credenziali compromesse o privilegi eccessivi. Non vulnerabilità zero-day, non attacchi sofisticati. Credenziali rubate e account con troppi diritti. Affrontare questi due problemi con MFA, PoLP e processi di deprovisioning strutturati elimina la causa radice della maggior parte degli incidenti, a un costo inferiore rispetto a qualsiasi soluzione di rilevamento e risposta.

Log, registri, verbali di access review. Queste evidenze sono esattamente ciò che serve per dimostrare conformità a ISO 27001, NIS2 e GDPR. Un’organizzazione che gestisce gli accessi correttamente è già a metà strada verso la certificazione, senza lavoro aggiuntivo.

L’obiezione più comune è la complessità. Ma la complessità è proporzionale all’ambizione del progetto, non al valore prodotto. Abilitare MFA per gli account privilegiati, avviare una access review trimestrale e documentare il processo di offboarding sono tre azioni che una PMI può completare in 30 giorni con risorse interne. Il ritorno, in termini di riduzione del rischio e preparazione alla compliance, è immediato e misurabile.

Securityhub supporta le organizzazioni italiane nel percorso verso la certificazione ISO 27001 e nell’implementazione dei controlli operativi necessari, inclusa la gestione degli accessi.

Fonti

• Cos’è il controllo degli accessi? | Microsoft Security
• Proteggi i dati aziendali sensibili: strategie efficaci di Access Control
• Controllo accessi NIS2: il primo pilastro di sicurezza operativa
• IAM, PAM, IGA, IM e AM facciamo ordine – HTS
• Identity Access Management (IAM): gestione delle identità utenti

Raccomandati

• Come monitorare accessi ai dati personali: guida 2026 – Security Hub
• 7 Fondamentali per la Guida Gestione Sicurezza End User – Security Hub
• Procedure gestione password sicure: Implementa il tuo sistema di sicurezza – Security Hub
• Gestione Incidenti Informatici: Guida Completa 2025 – Security Hub