Identity Governance Technical Consulting Services
Net Studio ha maturato un’esperienza quasi ventennale nella “Identity Governance & Administration”, termine che unisce i concetti di “Gestione” dell’identità e “Governance” delle abilitazioni di accesso alle risorse o alle informazioni aziendali.
Identity
Governance
Access
Management
Privileged Access Management
Identity Governance
Obiettivo dell’attività
La disciplina “Identity Governance Administration” (comunemente chiamata IGA) può essere definita come l’insieme delle procedure (processi), delle policy e dei controlli che consentono una corretta gestione dei diritti di accesso a dati strutturati in «Applicazioni» e non «es: File System».
L’obiettivo principale dell’IGA è consentire l’applicazione delle regole in merito a:
L’obiettivo principale dell’IGA è consentire l’applicazione delle regole in merito a:
- Processi relativi al ciclo di vita delle Identità
- Processi di richiesta e revisione delle abilitazioni
- Identificazione dei rischi di Separation of Duty ed in generale compliance a policy aziendali e normative (dovute a GDPR, D.Lgs 231 etc.)
A chi si rivolge
Oggi molti aziende, pubbliche amministrazioni o enti istituzionali hanno la necessità di introdurre controlli relativi alle autorizzazioni di accesso degli utenti a determinate applicazioni aziendali. Ciò si traduce nell’introduzione nelle loro organizzazioni degli strumenti destinati al tema del governo degli accessi logici, più comunemente denominata “Identity Governance”.
Descrizione delle attività previste
Spesso si sono avviate attività di governo e controllo delle Identità e degli account (accessi che le identità hanno verso le applicazioni) con iniziative ad-hoc con un approccio a Silos (applicazione per applicazione). Questi approcci non hanno consentito di avere una visione d’insieme producendo, come risultato, l’indisponibilità di un repository centralizzato delle Identità e degli account da esse possedute, su tutto il perimetro applicativo aziendale. I controlli vengono svolti generalmente su ogni singolo sistema/applicazione, con procedure manuali estremamente faticose e dispendiose che richiedono, inoltre, il coinvolgimento sistematico e ripetitivo di varie figure quali responsabili tecnici delle applicazioni per l’estrazione dei dati. IGA offre strumenti di controllo e di mitigazione dei rischi correlati all’assegnazione agli utenti delle autorizzazioni.
Risultati attesi
Chi si occupa di IGA deve essere in grado di dare risposta ad una serie di domande, come:
- Stiamo adeguatamente tutelando (valutazione del rischio) l’accesso alle informazioni ed i dati, tra questi anche quelli personali?
- Siamo in grado di identificare potenziali accessi non autorizzati alle informazioni?
- Siamo in grado di certificare gli accessi e garantire l’accuratezza delle revoche?
- Possiamo quindi provare la conformità alle normative?
Rilasci previsti
Per scoprire le linee guida di approccio ad un progetto per l’Identity Governance, scarica ora gratis il nostro PDF.
Access Management
Obiettivo dell’attività
L’Access Management si occupa di mettere in pratica le politiche IGA, occupandosi della tecnica con cui un utente di identifica, si autentica e riceve il “lasciapassare” per entrare laddove (e soltanto) dove si è deciso di lasciarlo entrare.
Un effetto benefico collaterale di questa disciplina è il Single Sign-On. Poiché un meccanismo di Access Management riconosce l’utente, dopo avergli chiesto esibizione delle necessarie prove che sia davvero lui, gli fornisce anche tutto il “set di chiavi” per poter entrare nelle “stanze” alle quali egli è stato dichiarato abilitato, senza dover fornire di nuovo le prove di essere veramente lui ad ogni “stanza”.
Un effetto benefico collaterale di questa disciplina è il Single Sign-On. Poiché un meccanismo di Access Management riconosce l’utente, dopo avergli chiesto esibizione delle necessarie prove che sia davvero lui, gli fornisce anche tutto il “set di chiavi” per poter entrare nelle “stanze” alle quali egli è stato dichiarato abilitato, senza dover fornire di nuovo le prove di essere veramente lui ad ogni “stanza”.
A chi si rivolge
A tutte le Aziende, Pubbliche Amministrazioni e Enti che hanno bisogno di garantire accessi personalizzati a tutti gli attori, tracciando il modo in cui gli utenti si identificano e ottengono il “via libera” all’ingresso.
Descrizione delle attività previste
L’Access Management prevede una serie di attività, che possono essere riassunte in 4 fasi:
- Identificazione
L’identificazione è il processo attraverso il quale un sistema / server / applicazione può riconoscere un utente. Esistono molti modi per eseguire l’identificazione automatica dell’utente; il modo più semplice è tramite il nome utente. Un approccio moderno per identificare un utente consiste nell’utilizzare l’identificazione biometrica, che prevede l’uso della geometria della mano o della geometria del lobo dell’orecchio o dei motivi della retina e dell’iride o delle onde vocali o del DNA per abbattere le possibilità di contraffazione.
- Autenticazione
Quando si progetta un sistema di Access Management, si deve prevedere un rigoroso sistema di riconoscimento del richiedente, al fine di creare un’infrastruttura immune agli attacchi informatici.
L’autenticazione a più fattori (MFA) comporta la concessione dell’accesso a un utente richiedente solo dopo aver ricevuto prove diverse (almeno 2) della legittimità e autenticità di un utente.
Un esempio di autenticazione a due fattori può essere un sistema che richiede a un utente di immettere un codice di sicurezza (inviato ai propri smartphones) dopo aver abbinato correttamente le credenziali di accesso immesse. L’algoritmo one-time password (TBOT) basato sul tempo è un algoritmo che viene utilizzato per calcolare una chiave segreta comune (condivisa), una password (da utilizzare una sola volta) e l’ora corrente.
Tramite Single Sign-On (SSO), un utente può accedere con un singolo nome utente e password e ottenere l’accesso a una moltitudine di sistemi connessi (senza la necessità di inserire nomi utente e password separati). L’autenticazione SSO fornisce un sistema di accesso unificato (centralizzato) che è diventato una necessità nel mondo di oggi.
Ecco alcuni benefici del SSO:
L’autenticazione a più fattori (MFA) comporta la concessione dell’accesso a un utente richiedente solo dopo aver ricevuto prove diverse (almeno 2) della legittimità e autenticità di un utente.
Un esempio di autenticazione a due fattori può essere un sistema che richiede a un utente di immettere un codice di sicurezza (inviato ai propri smartphones) dopo aver abbinato correttamente le credenziali di accesso immesse. L’algoritmo one-time password (TBOT) basato sul tempo è un algoritmo che viene utilizzato per calcolare una chiave segreta comune (condivisa), una password (da utilizzare una sola volta) e l’ora corrente.
Tramite Single Sign-On (SSO), un utente può accedere con un singolo nome utente e password e ottenere l’accesso a una moltitudine di sistemi connessi (senza la necessità di inserire nomi utente e password separati). L’autenticazione SSO fornisce un sistema di accesso unificato (centralizzato) che è diventato una necessità nel mondo di oggi.
Ecco alcuni benefici del SSO:
- Mitigazione del rischio per l’accesso a siti Web di terzi, poiché nessun nome utente o password lasciano il dominio del sito Web
- Riduzione della necessità di ricordare una moltitudine sempre più nutrita di passwords, eliminando la necessità per gli utenti di ricordarne ciascuna per ogni applicazione
- Eventuale riduzione dei costi di apertura di Trouble Tickets all’Help Desk per via di un minor numero di chiamate per password dimenticate.
- Transitive Trust
- Autorizzazione
Il processo di autorizzazione consiste nella verifica del sistema per capire se un utente richiedente è autorizzato ad accedere per visualizzare o modificare una risorsa o meno. Esistono molte tecniche per implementare l’autorizzazione; uno dei metodi più utilizzati è il principio del privilegio minimo. Secondo il principio del privilegio minimo, l’accesso sarà limitato al livello minimale di autorizzazioni che non inibirà in alcun modo il funzionamento. Ad esempio, quando applicato ai dipendenti, il principio garantisce che le persone ottengano il minor numero di diritti che possono possedere e comunque svolgere il proprio lavoro. Questo aiuta a ridurre la possibilità di violazione della sicurezza.
Risultati attesi
L’Access Management consente la verifica facile e veloce delle modalità di accesso previste a ciascuna risorsa. Seguendo le policy, Aziende e Organizzazioni potranno implementare sistemi sicuri per permettere identificazione e autenticazione di ogni attore all’interno delle piattaforme.
Rilasci previsti
Per scoprire le linee guida di approccio ad un progetto di Access Management, scarica ora gratis il nostro PDF.
Privileged Access Management
Obiettivo dell’attività
Gli utenti dotati di accessi privilegiati rispetto agli utenti “normali” gestiscono attività cruciali per il business aziendale. In virtù di questo principio, è fondamentale porre particolare attenzione alla legittimità dei loro diritti di accesso IT.
L’obiettivo del Privileged Access Management è proprio questo: offrire delle concessioni di accesso ad un’utenza personalizzata.
L’obiettivo del Privileged Access Management è proprio questo: offrire delle concessioni di accesso ad un’utenza personalizzata.
A chi si rivolge
Ad Aziende, Organizzazioni ed Enti che hanno necessità di permettere l’accesso a determinati attori a materiali privilegiati.
Questi attori possono ricoprire particolari mansioni, in genere manageriali: i diritti di accesso dovranno essere quindi concessi per visionare dati aziendali particolarmente importanti o riservati.
Questi attori possono ricoprire particolari mansioni, in genere manageriali: i diritti di accesso dovranno essere quindi concessi per visionare dati aziendali particolarmente importanti o riservati.
Descrizione delle attività previste
Le concessioni di accesso ad utenza privilegiate devono transitare tramite processi approvativi non troppo dissimili da quelli a cui sono assoggettate le concessioni di diritti degli utenti standard, pur con strumenti tecnologici diversi e con caratteristiche di controllo e verifica decisamente più elevate.
Le attività previste seguono questo principio e consentono l’integrazione di una serie di comandi fondamentali per consentire a determinati attori le autorizzazioni necessarie per l’accesso privilegiato a informazioni e dati.
Le attività previste seguono questo principio e consentono l’integrazione di una serie di comandi fondamentali per consentire a determinati attori le autorizzazioni necessarie per l’accesso privilegiato a informazioni e dati.
Rilasci previsti
Per scoprire le linee guida di approccio ad un progetto di Privileged Access Management, scarica ora gratis il nostro PDF.
