AO_439

Tutorial GIUGNO/LUGLIO 2022 AUTOMAZIONE OGGI 439 | 91 I l report ‘Identity Security Threat Landscape 2022’ pubblicato da CyberArk identifica come l’aumento di identità umane e non-umane, con fino a centinaia di migliaia di macchine spesso in esecuzione in ogni organizzazione, abbia in- crementato il ‘debito’ di cybersecurity legato all’identità, esponendo così le aziende a un maggiore rischio. Ogni grande iniziativa IT o digitale comporta un aumento delle interazioni tra persone, applica- zioni e processi, creando un elevato numero di identità digitali che, se non sono gestite e pro- tette, possono rappresentare un rischio signifi- cativo per la cyber sicurezza. A livello globale, la ricerca evidenzia che: » il 68% di identità non umane o bot ha accesso a dati e risorse sensibili; » ogni dipendente ha in media più di 30 identità digitali; » med i amen t e , i n azienda, le identità delle macchine ora su- perano quelle umane di 45 volte; » l’87% archivia segreti in più luoghi all’in- terno degli ambienti DevOps, mentre l’80% afferma che gli svilup- patori hanno in ge- nere più privilegi del necessario per i loro ruoli. IT e OT se ne stanno rendendo conto e stanno reagendo adottando un approccio detto ‘Zero Trust’. Ciò significa che la fiducia non è mai concessa implicitamente e deve essere continuamente valutata. La convalida di tutte le identità digitali, compresa l’identità della macchina, è particolarmente cruciale nell’ap- plicare il modello Zero Trust. L’identità della macchina incorpora un meccanismo per la concessione di un controllo granulare dei pri- vilegi di accesso, il controllo dell’accesso privi- legiato e le autorizzazioni specifiche per ogni dispositivo e processo in una rete. Nelle macchine, di fatto, non è possibile uti- lizzare facilmente le stesse tecniche di iden- tificazione impiegate per gli uomini. Infatti, le macchine non possono rispondere a uno smartphone per digitare una password mo- nouso. Inoltre, memorizzare o trasferire le pas- sword all’interno di processi di comunicazione automatizzati apre la porta alle vulnerabilità. Pertanto, le imprese moderne si affidano ai cer- tificati gestiti tramite un’infrastruttura a chiave pubblica (PKI - Public Key Infrastructure) come gold standard per garantire l’identità digitale delle proprie macchine. L’infrastruttura per una corretta gestione delle chiavi crittogra- fiche PKI è un componente fondamentale di un’architettura Zero Trust, che garantisce livelli di sicurezza robusti a tutte le identità di utenti finali, dispositivi e applicazioni. L’utilizzo dei certificati digitali e delle loro coppie di chiavi crittografiche rafforza la verifica delle identità delle macchine. Chiavi pubbliche e private A differenza dei sistemi basati su password e autenticazione multi-fattore, le identità digi- tali che utilizzano i certificati digitali basati su coppie di chiavi pubbliche/private eliminano la dipendenza dai segreti da condividere, che potrebbero essere facilmente intercettati dai criminali informatici. La procedura di autenticazione PKI ha successo quando la macchina dimostra il possesso della chiave privata, che è tipicamente memorizzata e salvaguardata nel modulo di sicurezza har- È umanamente impossibile pretendere che operatori e dipendenti memorizzino improbabili nomi utente e password, eppure oggi è spesso prassi corrente nelle organizzazioni La verifica dell’identità digitale delle persone utilizza spesso soluzioni articolate, per esempio abbinando sistemi di riconoscimento biometrico Troppe identità digitali minano la sicurezza Fonte Shutterstock Fonte Shutterstock