Si pensi a un ex dipendente il cui account non è mai stato disattivato, o a un fornitore esterno che ha ancora accesso a sistemi critici dopo la fine di un progetto. Situazioni come queste possono passare inosservate per mesi e finire per diventare punti di ingresso per un incidente di sicurezza.

Per un attaccante, compromettere un’identità è spesso più semplice ed efficace che sfruttare una vulnerabilità tecnica. Un account legittimo offre accesso diretto alle risorse dell’organizzazione e permette all’attività malevola di confondersi con il normale comportamento degli utenti senza destare subito sospetti. Per questo le identità sono diventate uno dei principali bersagli degli attacchi informatici.

Quando un’organizzazione perde il controllo sulle proprie identità, perde anche il controllo sugli accessi alla propria infrastruttura. Senza tale controllo, l’efficacia delle altre misure di sicurezza si riduce in modo significativo. Per questo la gestione di identità e accessi rappresenta il primo elemento costitutivo della ciberresilienza.

Quando si verifica un incidente di sicurezza, il tempo diventa una delle risorse più preziose dell’organizzazione. I team di sicurezza devono stabilire rapidamente se si tratti di un utente legittimo, di un account compromesso o di un uso insolito di privilegi esistenti.

Se l’organizzazione non è in grado di rispondere subito alla domanda “Chi sta effettuando l’accesso e a che cosa può accedere?”, le indagini sugli incidenti richiedono più tempo e l’impatto operativo aumenta.

Per rispondere a queste domande in modo efficiente, le organizzazioni hanno bisogno di una visibilità centralizzata sugli eventi di autenticazione e sui diritti di accesso. SIEMBIOT, sviluppato da Expertware in partenariato con la Direzione Nazionale rumena per la Sicurezza Informatica (DNSC), correla gli eventi provenienti dai sistemi di infrastruttura e di identità. Ciò consente agli analisti SOC di individuare accessi sospetti e attività insolite degli account privilegiati e di comprendere il contesto di un incidente prima che si propaghi ad altri sistemi.

L’obiettivo non è semplicemente bloccare gli accessi non autorizzati. È ridurre il tempo necessario per rilevare, indagare e contenere un incidente di sicurezza.

Un programma IAM ben progettato non può prevenire ogni attacco informatico. Ciò che può fare è limitare fin dove può spingersi un attaccante dopo aver compromesso un’identità, riducendo la probabilità di movimento laterale verso altri sistemi e risorse critici.