Il login è soltanto il punto di partenza
Quando un utente inserisce le proprie credenziali, il sistema verifica la sua identità e decide se può entrare. È il passaggio più visibile, ma rappresenta solo l’inizio del controllo degli accessi. L’autenticazione risponde infatti alla domanda “chi sei?”, mentre subito dopo occorre affrontarne una molto più complessa: “che cosa puoi fare?”. Una volta riconosciuto l’utente, l’organizzazione deve stabilire quali applicazioni possa utilizzare, quali documenti possa consultare, se possa modificarli o condividerli e per quanto tempo debba mantenere tali facoltà.
La differenza tra autenticazione e autorizzazione è fondamentale, perché un’identità correttamente verificata non dovrebbe automaticamente ottenere accesso a ogni risorsa. Un dipendente dell’amministrazione, per esempio, può avere bisogno di leggere alcuni dati contabili senza poter cambiare le configurazioni del sistema; un consulente esterno può accedere a una cartella di progetto, ma soltanto fino alla conclusione dell’incarico.
È qui che entra in gioco il principio del minimo privilegio: ogni persona, applicazione o dispositivo dovrebbe ricevere esclusivamente i permessi necessari per svolgere la propria attività. Applicarlo, tuttavia, richiede una conoscenza reale dei processi aziendali. Regole troppo rigide rallentano il lavoro e favoriscono comportamenti elusivi, come la condivisione di credenziali o il salvataggio di dati in spazi non autorizzati; regole troppo permissive espongono invece informazioni e funzionalità a errori, abusi e compromissioni. Il controllo efficace nasce quindi dall’equilibrio tra sicurezza e operatività, non dalla semplice moltiplicazione dei divieti.
La crescita dei permessi e la “matematica” delle autorizzazioni
La difficoltà aumenta rapidamente con le dimensioni dell’organizzazione. Ogni nuova identità digitale deve essere collegata a molte risorse: file, cartelle, database, applicazioni cloud, servizi interni, dispositivi e funzioni amministrative. Per ciascuna relazione possono esistere livelli diversi di accesso, come lettura, modifica, cancellazione, approvazione o delega. Il risultato è una rete di combinazioni che cresce molto più velocemente del numero dei dipendenti. Anche una realtà di medie dimensioni può arrivare a gestire milioni di possibili relazioni tra soggetti, oggetti e azioni consentite.
Questa è la “matematica nascosta” dietro ogni login: non una singola decisione, ma una sequenza di verifiche che deve tenere conto del ruolo della persona, del dato richiesto, del dispositivo utilizzato e del contesto in cui avviene l’accesso. Inoltre, le autorizzazioni non rimangono valide per sempre. Le persone cambiano mansione, partecipano a nuovi progetti, sostituiscono temporaneamente un collega o terminano il proprio rapporto con l’azienda. Senza un processo strutturato, i permessi tendono ad accumularsi: un utente conserva l’accesso alle attività precedenti e ne riceve di nuovi, creando nel tempo profili molto più ampi del necessario. Questo fenomeno, spesso definito privilege creep, può trasformare un account ordinario in un punto di ingresso particolarmente pericoloso.
La complessità riguarda anche le applicazioni e le utenze di servizio, che possono interrogare database, trasferire dati o avviare procedure automatiche. In alcuni momenti un sistema agisce come soggetto, perché richiede accesso a una risorsa; in altri diventa esso stesso un oggetto da amministrare e proteggere. Per questo le politiche devono chiarire non solo chi può utilizzare una risorsa, ma anche chi può creare, modificare, approvare o revocare le relazioni di accesso.
Automazione, modelli adattivi e verifiche continue
Governare manualmente una rete così estesa è poco realistico. Le organizzazioni ricorrono quindi a modelli capaci di semplificare le decisioni e rendere più coerente l’assegnazione dei permessi. Con il modello RBAC, gli accessi vengono collegati ai ruoli aziendali: chi svolge la stessa funzione riceve un insieme predefinito di autorizzazioni. L’ABAC introduce invece criteri più dinamici e valuta attributi come reparto, sede, tipologia del dispositivo, fascia oraria o livello di riservatezza dell’informazione.
L’approccio Zero Trust porta questa logica ancora oltre, partendo dal presupposto che nessun accesso debba essere considerato affidabile in modo permanente: ogni richiesta va verificata in base al contesto e al rischio. Questi modelli diventano realmente efficaci quando sono sostenuti dall’automazione. L’assunzione di una persona, il cambio di ruolo, la chiusura di un progetto o la cessazione del rapporto dovrebbero generare in modo tempestivo l’assegnazione, la modifica o la revoca dei relativi accessi. Allo stesso tempo, i log di accesso permettono di osservare come vengono utilizzate le risorse e di individuare anomalie comportamentali. Una connessione notturna, l’uso di un dispositivo sconosciuto o il tentativo di consultare dati mai utilizzati prima possono richiedere un’autenticazione aggiuntiva, un controllo umano o un blocco temporaneo.
La tecnologia, però, non sostituisce la governance. Servono responsabilità chiare, proprietari delle informazioni identificati, account privilegiati nominativi e tracciati, nonché campagne periodiche di ricertificazione degli accessi. In queste verifiche, i responsabili confermano che i permessi siano ancora giustificati oppure ne chiedono la revoca. Indicatori come il numero di account inattivi, i tempi di disabilitazione e la presenza di privilegi senza scadenza aiutano infine a misurare l’efficacia del processo. Dietro ogni login esiste dunque un sistema dinamico, che deve adattarsi continuamente ai cambiamenti delle persone, dei dati e dell’organizzazione.