Perché le organizzazioni faticano a far funzionare una governance delle identità efficace

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Perché i progetti di Enterprise Identity Governance (IGA) falliscono. Scopri perché le iniziative IGA non decollano e aumentano il rischio di violazioni. Migliora la conformità, le tracce di audit e riduci il rischio di accesso.

Automatically translated with AI from the original post. Read the English original

La governance delle identità ha un ruolo fondamentale nel proteggere la tua organizzazione dalla crescita delle minacce informatiche. Oltre 318.000 casi di controlli di accesso non funzionanti mostrano i rischi che affronti ogni giorno. Molti si affidano ancora a fogli di calcolo manuali per gli audit degli accessi, con più errori e ritardi. Forse hai sentito dire che l'AI nella governance delle identità è solo un'esagerazione o che sostituisce i team umani. In realtà, l'AI supporta il tuo personale di sicurezza, migliorando accuratezza e conformità. Questi equivoci, uniti a processi lenti e criteri obsoleti, fanno sì che molte organizzazioni facciano fatica a gestire in modo efficace la governance delle identità.

Punti chiave

• I processi manuali di governance delle identità causano ritardi, errori e aumentano i rischi per la sicurezza.
• I sistemi legacy e gli ambienti tecnologici frammentati rendono difficili l'integrazione e la gestione.
• Criteri obsoleti e scarso coinvolgimento degli stakeholder ostacolano una governance delle identità efficace.
• L'automazione riduce il lavoro manuale, migliora l'accuratezza e accelera la reportistica di conformità.
• Il monitoraggio in tempo reale aiuta a rilevare rapidamente le minacce e supporta una gestione proattiva del rischio.
• Un approccio basato sul rischio concentra le risorse sulla protezione, per prima cosa, degli asset più critici.
• Revisioni periodiche dei criteri e l'adattamento alle nuove minacce mantengono la governance delle identità solida e aggiornata.
• Affrontare queste sfide migliora la sicurezza, riduce le minacce interne e garantisce la conformità normativa.

Problemi dei processi manuali

8 fatti sorprendenti sull'Enterprise Identity Governance (IGA)

Per capire perché la maggior parte delle organizzazioni fallisce nella governance delle identità, bisogna partire dal riconoscere queste verità inattese sull'Enterprise Identity Governance (IGA).

1. La governance è più culturale che tecnica. Molte organizzazioni investono molto in strumenti IGA ma trascurano la cultura: responsabilità poco chiare, resistenza al cambiamento e processi frammentati fanno deragliare le implementazioni molto prima che la tecnologia ceda.
2. La complessità cresce più in fretta della visibilità. Con l'adozione di modelli cloud, SaaS e ibridi, le identità si moltiplicano in silos separati. I progetti IGA accumulano ritardi perché il perimetro di identità e autorizzazioni cresce in modo inatteso.
3. La proliferazione delle autorizzazioni è il rischio silenzioso. Permessi eccessivi e poco documentati si accumulano nel corso degli anni. Le organizzazioni sottovalutano la portata della pulizia necessaria, e le iniziative IGA si bloccano.
4. L'automazione mette rapidamente in luce i dati di scarsa qualità. Automatizzare le revisioni degli accessi e il provisioning è potente, ma rivela anni di dati di identità incoerenti, e i progetti falliscono se la bonifica dei dati non è pianificata.
5. La conformità fa crescere il perimetro. Le esigenze normative spingono i progetti IGA a coprire più sistemi e controlli di quanto previsto in origine, rendendo irrealistici tempi e budget.
6. Spesso manca il contesto di business. Una IGA efficace richiede di mappare ruoli e autorizzazioni sui processi aziendali. Senza questo contesto, i criteri di accesso perdono significato e l'adozione si indebolisce.
7. I risultati a breve termine vengono sottovalutati. I team che non ottengono miglioramenti incrementali e dimostrabili (come sprint di pulizia o campagne di certificazione mirate) perdono il supporto degli stakeholder e i finanziamenti.
8. Gli strumenti da soli non risolvono la responsabilità. Anche le piattaforme IGA mature falliscono quando mancano processi decisionali, flussi di approvazione e una chiara titolarità dei ruoli. Questo dimostra che la governance è una sfida di persone e processi, non solo un acquisto di prodotto.

Inefficienze e rischi

Attività che richiedono molto tempo

I processi manuali di gestione delle identità causano spesso inefficienze che possono compromettere la postura di sicurezza della tua organizzazione. Potresti ritrovarti a dedicare un tempo eccessivo ad attività che potrebbero essere automatizzate. Ad esempio, l'inserimento manuale dei dati può introdurre errori umani. Errori banali, come un nome scritto male, possono creare rischi significativi per la sicurezza. Le priorità concorrenti possono far sì che i dipendenti trascurino attività critiche di gestione delle identità, aumentando la probabilità che vengano dimenticate. Inoltre, i processi manuali spesso creano silos di dati. Questi silos impediscono l'integrazione con il sistema principale di gestione delle identità, con conseguente spreco di tempo e risorse.

Aumento dei rischi per la sicurezza

I processi manuali di governance delle identità, superati e poco efficaci, possono contribuire all'aumento degli incidenti di sicurezza. Le organizzazioni che non dispongono di controlli coerenti sulla governance delle identità vanno spesso incontro a esiti negativi negli audit e a sanzioni normative. Ad esempio, gli account inattivi di ex dipendenti possono consentire accessi non autorizzati, con conseguenti problemi di conformità. La non conformità a normative come GDPR e HIPAA può derivare da pratiche di governance delle identità inadeguate. Quando un'organizzazione non è in grado di dimostrare controlli di accesso adeguati, rischia di non superare gli audit. I processi manuali di governance delle identità non sono solo inefficienti: rappresentano vere e proprie passività per la sicurezza e l'operatività, che espongono l'organizzazione a lacune di rischio significative.

Mancanza di standardizzazione

Variabilità dei processi

La mancanza di standardizzazione dei processi di governance delle identità tra le organizzazioni crea ulteriori difficoltà. Secondo il report State of Identity Governance 2026, molte organizzazioni faticano con pratiche non uniformi. Il report evidenzia uno scollamento tra la percezione dei dirigenti e il reale rischio di accesso. Le metriche operative tendono a concentrarsi sul completamento dei processi, ma spesso trascurano il rischio di accesso concreto. Di conseguenza, anche quando gli SLA (accordi sul livello del servizio) per il provisioning e le revisioni degli accessi vengono completati in tempo, i rischi reali possono persistere senza essere notati.

Sfide di conformità

L'assenza di pratiche standardizzate di governance delle identità genera diverse sfide di conformità. Le organizzazioni si trovano spesso di fronte a soluzioni di governance delle identità complesse, costose e che richiedono competenze tecniche specifiche. Applicazioni aziendali diverse possono complicare la gestione efficace delle identità in tutta l'organizzazione. Inoltre, il ricorso a processi manuali aumenta il rischio di errori e ritardi. Un provisioning degli accessi non corretto può verificarsi quando gli utenti ereditano privilegi eccessivi senza controlli adeguati. Una scarsa attenzione alla conformità all'interno dell'organizzazione può ulteriormente aggravare pratiche di governance inadeguate. Navigare tra normative diverse, come GDPR e CCPA, aggiunge complessità e rende difficile applicare criteri uniformi per le identità e gli accessi a livello globale.

Sfide di integrazione nella governance delle identità

Problemi dei sistemi legacy

Problemi di compatibilità

Molte organizzazioni incontrano difficoltà significative di compatibilità quando integrano i sistemi legacy con le moderne soluzioni di governance delle identità. Questi sistemi obsoleti spesso non dispongono delle funzionalità necessarie per lavorare senza problemi con le nuove tecnologie. Di conseguenza, potresti incontrare ostacoli che complicano le tue attività di governance delle identità. Ad esempio, le applicazioni legacy non standard possono creare ostacoli che limitano la capacità di modernizzare i sistemi di identità. Questa incompatibilità può portare a una scarsa coordinazione tra le diverse applicazioni aziendali, rendendo difficile gestire efficacemente la governance delle identità.

Costi di manutenzione

Mantenere sistemi di governance delle identità legacy può essere costoso. Le commissioni medie di licenza per questi sistemi possono arrivare a circa 821.000 $ in tre anni per una base di 5.000 identità. Inoltre, le attività di implementazione e distribuzione possono comportare un costo aggiuntivo di circa 28.000 $. Il costo totale sale così a circa 849.000 $. Anche se i vantaggi della modernizzazione di questi sistemi possono ammontare a 2,6 milioni di $, l'investimento iniziale può scoraggiare. Gli alti costi di manutenzione spingono spesso le organizzazioni a non aggiornare i propri framework di governance delle identità, lasciandole esposte a rischi per la sicurezza.

Ambienti tecnologici eterogenei

Fonti di dati frammentate

Ambienti tecnologici eterogenei possono complicare gli sforzi di integrazione della governance delle identità. Quando i dati sono distribuiti su più sistemi, si crea una frammentazione che può ostacolare una governance efficace. Ad esempio, si presentano sfide di conformità, perché i dati frammentati rendono più complesso il monitoraggio delle transazioni in tempo reale. Questo rende più difficile dimostrare la conformità durante gli audit. Aumentano anche le inefficienze operative, perché indagini lente e segnalazioni normative possono ritardare le risposte agli avvisi di conformità. Inoltre, dati incompleti possono danneggiare la reputazione dell'organizzazione e minare la fiducia dei clienti.

Sforzi di integrazione complessi

Integrare diversi stack tecnologici presenta sfide specifiche. Ogni sistema può avere requisiti propri, rendendo difficile definire una strategia di governance delle identità coerente. Secondo i risultati più recenti, il 47% delle organizzazioni deve fare i conti con limitazioni delle API, mentre il 38% fatica con i requisiti di sviluppo personalizzato. Queste complessità possono rallentare il processo di integrazione e portare a un controllo degli accessi non uniforme in tutta l'organizzazione. Molte organizzazioni si affidano ancora a sistemi IT obsoleti, che complicano l'implementazione di soluzioni moderne di Identity Governance and Administration (IGA). Questa dipendenza dai sistemi legacy può ostacolare la capacità di mantenere controlli degli accessi coerenti, esponendo l'organizzazione a potenziali rischi.

Divario tra politiche e pratica

Disallineamento delle politiche

Criteri di governance obsoleti

Molte organizzazioni faticano con criteri di governance obsoleti che non corrispondono alle loro capacità attuali. Questo disallineamento porta spesso a una governance delle identità inefficace. Potresti scoprire che la tua organizzazione implementa criteri e ruoli per i quali non è ancora pronta. Questo può generare confusione e ostacolare gli sforzi di governance. Le valutazioni di maturità sono essenziali. Aiutano a garantire che gli approcci di governance siano adeguati alla situazione attuale dell'organizzazione.

Mancato coinvolgimento degli stakeholder

L'assenza di coinvolgimento degli stakeholder può creare problemi significativi. Quando gli stakeholder si sentono esclusi, possono opporsi ai cambiamenti. Questa resistenza può portare a fraintendimenti sugli obiettivi del progetto. Senza il loro supporto, le iniziative di governance delle identità rischiano di incontrare ostacoli inutili. Coinvolgere gli stakeholder in modo proattivo può aiutare a evitare questi problemi. Ad esempio, una comunicazione regolare sugli aggiornamenti del progetto favorisce fiducia e collaborazione.

Suggerimento: per coinvolgere con successo gli stakeholder, considera queste strategie:

• Condividi regolarmente gli aggiornamenti del progetto.
• Ascolta attivamente le preoccupazioni degli stakeholder.
• Mantieni gli impegni presi con gli stakeholder.
• Mostra empatia per i loro punti di vista.
• Coinvolgili nella risoluzione dei problemi.

Sfide nell'implementazione

Formazione insufficiente

La formazione svolge un ruolo fondamentale nella corretta implementazione della governance delle identità. Senza una formazione adeguata, il tuo team potrebbe faticare a comprendere nuovi criteri e strumenti. Questo può portare a errori e inefficienze. Programmi di formazione completi possono rafforzare la fiducia e assicurare che tutti abbiano le stesse informazioni. È fondamentale comunicare chiaramente l'importanza di questi programmi.

Resistenza al cambiamento

La resistenza al cambiamento è un'altra sfida comune. Molti dipendenti si trovano a loro agio con i processi esistenti. Potrebbero considerare i nuovi criteri di governance delle identità come interruzioni inutili. Questa mentalità può frenare i progressi. Per superarla, ti conviene mettere in evidenza i vantaggi dei nuovi criteri. Evidenzia come migliorano la sicurezza e la conformità.

Affrontando queste sfide, puoi colmare il divario tra criteri e pratica nei tuoi sforzi di governance delle identità.

L'importanza dell'automazione nella governance delle identità

L'automazione svolge un ruolo fondamentale nel migliorare i processi di governance delle identità. Semplificando i flussi di lavoro, puoi ridurre in modo significativo il lavoro manuale e migliorare l'accuratezza.

Semplificazione dei processi

Riduzione del lavoro manuale

Automatizzare le attività di governance delle identità riduce al minimo il tempo dedicato alle attività ripetitive. Ad esempio, le organizzazioni che implementano soluzioni automatizzate registrano in media una riduzione del 35% dei costi legati alla conformità. Memorial Health System ha ottenuto guadagni di efficienza notevoli dopo aver automatizzato i processi di provisioning. Il tempo necessario per elaborare le richieste per più utenti è passato da 30 minuti a pochi secondi. Questo cambiamento non solo accelera l'accesso, ma garantisce anche che gli utenti ricevano rapidamente le autorizzazioni appropriate.

Maggiore precisione

L'automazione migliora la precisione dei tuoi sforzi di governance delle identità. I sistemi automatizzati mantengono i controlli di accesso allineati agli standard di conformità attuali. Questo allineamento riduce il rischio di sanzioni e danni reputazionali. Ogni azione legata alle decisioni di certificazione e ai criteri viene registrata automaticamente. Questa registrazione fornisce agli auditor prove immediate, semplificando la conformità a framework come SOX, ISO 27001 e HIPAA. Le organizzazioni prive di processi automatizzati di certificazione degli accessi impiegano 3,5 volte più tempo per completare le revisioni degli accessi e registrano un tasso del 27% più alto di persistenza di accessi non appropriati.

Vantaggi del monitoraggio in tempo reale

Il monitoraggio in tempo reale è un altro aspetto fondamentale di una governance delle identità efficace. Consente di rilevare e rispondere rapidamente alle minacce legate alle identità.

Gestione proattiva del rischio

Con il monitoraggio in tempo reale puoi individuare minacce sofisticate legate alle identità, come il credential stuffing e il takeover degli account. Un monitoraggio efficace delle identità richiede visibilità sull'intero ciclo di vita delle identità, inclusi gli eventi di autenticazione e le violazioni dei criteri. Le organizzazioni dotate di capacità di risposta automatizzata alla sicurezza possono ridurre fino al 60% il tempo medio necessario per identificare e contenere una violazione dei dati. Questo approccio proattivo attenua l'impatto degli attacchi basati sulle identità in secondi anziché in giorni.

Reporting di conformità migliorato

Il monitoraggio in tempo reale potenzia anche le tue capacità di reporting sulla conformità. Il monitoraggio automatico della conformità ti offre la sicurezza di rispettare costantemente i requisiti normativi. Tracce di audit complete e la raccolta delle prove ti permettono di dimostrare la conformità agli enti regolatori e ai revisori esterni. La natura proattiva di questi sistemi ti consente di individuare e risolvere le potenziali lacune di conformità prima che si trasformino in violazioni.

Adottando l'automazione nella tua strategia di identity governance, puoi semplificare i processi, migliorare la precisione e potenziare il reporting sulla conformità. Questo cambio di approccio non solo rafforza la tua postura di sicurezza, ma prepara anche la tua organizzazione a rispondere in modo efficace alle minacce emergenti.

Adottare un approccio basato sul rischio

Un approccio basato sul rischio alla identity governance ti aiuta a concentrarti su ciò che conta di più. Dando priorità agli asset critici, puoi allocare le risorse in modo efficace e rafforzare la tua postura di sicurezza.

Dare priorità agli asset critici

Individuare le aree ad alto rischio

Inizia individuando le aree ad alto rischio all'interno della tua organizzazione. Usa framework come il NIST Cybersecurity Framework per classificare gli asset in base alla loro criticità e al loro impatto sulla missione. Questo approccio strutturato ti assicura di affrontare i punti più vulnerabili della tua strategia di identity governance.

Considera queste aree chiave quando dai priorità agli asset:

Allocazione efficace delle risorse

Una volta individuate le aree ad alto rischio, alloca le risorse di conseguenza. Definisci criteri di priorità per ogni classe di asset. Applica questi criteri in modo coerente, così che gli asset più critici ricevano l'attenzione che meritano. Monitora e aggiorna regolarmente le priorità degli asset, soprattutto quando nella tua organizzazione avvengono cambiamenti significativi.

Strategie di miglioramento continuo

Il miglioramento continuo è essenziale per mantenere una identity governance efficace. Valuta regolarmente i tuoi criteri e adattali alle minacce emergenti.

Revisione periodica dei criteri

Esegui revisioni periodiche dei criteri per assicurare che il framework di identity governance resti solido. Queste revisioni ti aiutano ad allineare i criteri alle normative in evoluzione e alle esigenze dell'organizzazione. Mitigano anche i rischi legati alle autorizzazioni obsolete e al privilege creep. Le organizzazioni che implementano revisioni periodiche registrano vantaggi significativi, tra cui una riduzione del 70% delle ore di elevazione dei privilegi e un calo del 50% delle autorizzazioni inattive.

Adattarsi alle minacce emergenti

Resta proattivo adattando le tue strategie alle minacce emergenti. Coinvolgi gli stakeholder di tutta l'organizzazione per raccogliere indicazioni e individuare le vulnerabilità. Introduci le nuove misure di identity governance con un approccio a fasi, così da migliorare in modo continuo senza causare interruzioni. Automatizza i processi dove possibile, per aumentare l'efficienza e ridurre il carico amministrativo.

Adottando un approccio basato sul rischio, puoi migliorare in modo significativo i risultati della tua identity governance. Questa strategia non solo rafforza la sicurezza, ma garantisce anche che la tua organizzazione resti agile di fronte alle minacce in evoluzione.

Molte organizzazioni faticano con la governance delle identità perché si affidano in larga misura a processi manuali (84%) e devono affrontare difficoltà di integrazione con i sistemi legacy (83%). Gestire più framework di conformità e autorizzazioni eccessive aggiunge complessità. Questi problemi creano falle di sicurezza e rischi di conformità che non puoi ignorare.

Affrontare queste sfide migliora la tua postura di sicurezza e ti aiuta a rispettare normative come GDPR, HIPAA e SOX. Le soluzioni di governance delle identità riducono gli accessi non autorizzati e le minacce interne, applicando il principio del privilegio minimo e automatizzando la gestione del ciclo di vita.

Per rafforzare la governance delle identità, adotta le best practice e strumenti innovativi. Il monitoraggio centralizzato degli accessi e il provisioning automatizzato semplificano i flussi di lavoro e riducono i rischi. Questi passaggi non solo proteggono la tua organizzazione, ma migliorano anche la conformità e l'efficienza operativa.

Ricorda che una governance delle identità efficace è un percorso continuo. Inizia concentrandoti sui rischi più elevati e procedi da lì.

Checklist: perché la maggior parte delle organizzazioni fallisce nella governance delle identità — Checklist per la governance delle identità aziendale (IGA)

Usa questa checklist per valutare la prontezza e prevenire i fallimenti più comuni nella governance delle identità aziendale (IGA).

• Sponsor esecutivo individuato: conferma uno sponsor esecutivo nominativo con autorità di budget e revisioni periodiche della governance.
• Responsabilità e ownership chiare: definisci chi è responsabile delle identità, dei criteri di accesso, della gestione dei ruoli e dei risultati di conformità.
• Ambito e obiettivi allineati al business: collega gli obiettivi IGA ai rischi aziendali, ai requisiti normativi e a KPI misurabili.
• Inventario completo di identità e sistemi: documenta utenti, account di servizio, applicazioni, directory e proprietari delle risorse.
• Qualità dei dati e fonti autorevoli identificate: stabilisci le fonti master per gli attributi delle identità e assicurati che siano accurati e aggiornati.
• Modello dei ruoli e tassonomia delle autorizzazioni: progetta una struttura semplificata di ruoli e autorizzazioni per evitare l'esplosione di combinazioni di accesso uniche.
• Processi del ciclo di vita degli accessi definiti: standardizza i flussi di lavoro per onboarding, offboarding, cambi di ruolo, accessi temporanei ed emergenza.
• Certificazione degli accessi e cadenza delle revisioni: implementa campagne di attestazione periodiche con responsabili definiti e SLA per la risoluzione.
• Criteri di separazione dei compiti (SoD) implementati: definisci le regole SoD, individua le violazioni e integrale nelle approvazioni e nelle certificazioni.
• Provisioning e deprovisioning automatizzati: riduci le attività manuali e gli account orfani tramite connettori IAM e flussi di lavoro automatizzati.
• Integrazione con i sistemi HR e IT: assicurati che la fonte di riferimento delle identità sia sincronizzata con HR, directory, ITSM e piattaforme cloud.
• Metriche e reportistica attive: monitora il tempo di provisioning, gli account orfani, il completamento delle certificazioni, le violazioni SoD e l'andamento dei rischi.
• Gestione del cambiamento e coinvolgimento degli stakeholder: comunica i benefici, forma gli approvatori e i responsabili di business ed esegui dei pilot prima del rollout completo.
• Priorizzazione basata sul rischio: concentrati prima sulle applicazioni ad alto rischio, sugli account privilegiati e sulle aree guidate dalla conformità.
• Architettura scalabile e selezione del fornitore: scegli soluzioni IGA in grado di supportare la tua roadmap, le integrazioni e il volume previsto di identità.
• Sicurezza della piattaforma IGA: rafforza i sistemi IGA, imponi MFA per l'accesso amministrativo e proteggi gli archivi delle credenziali.
• Ciclo di miglioramento continuo: rivedi regolarmente i processi, integra i risultati degli audit e affina i modelli di ruoli e criteri.
• Piano di costi e risorse: prevedi il budget per implementazione, operatività, formazione e audit periodici.
• Considerazioni legali e sulla privacy: assicurati che la governance delle identità sia allineata alle leggi sulla protezione dei dati e ai requisiti di consenso.
• Pianificazione di uscita e ripristino: pianifica i cambi di fornitore, l'esportazione dei dati, il disaster recovery e la continuità dei controlli di accesso.

Domande frequenti: progetti di identity governance e sicurezza delle identità

Perché la maggior parte delle organizzazioni fallisce per prima cosa nell'identity governance?

La maggior parte delle organizzazioni fallisce per prima cosa nell'identity governance perché sottovaluta la portata del problema: identità e accessi si estendono a ambienti on-premises, ambienti cloud, SaaS, identità umane e non umane, accessi privilegiati e sistemi di identità legacy. Questa dispersione, unita a programmi di governance deboli, a un framework poco chiaro e a una collaborazione insufficiente tra i team di sicurezza e le unità di business, porta a soluzioni improvvisate, revisioni manuali degli accessi degli utenti e implementazioni IGA soggette a errori umani, lasciando vulnerabilità di sicurezza e un rischio elevato per le identità.

In che modo l'identity governance legacy e gli approcci tradizionali alle identità contribuiscono al fallimento?

L'identity governance legacy e gli approcci tradizionali alle identità si concentrano spesso su soluzioni on-prem e criteri statici che non si adattano all'adozione del cloud né ai modelli di accesso dinamici. Mancano di automazione, si integrano male con SSO o con la gestione moderna degli accessi e non tengono conto delle identità non umane e degli accessi privilegiati. Ne derivano lacune nei requisiti di conformità e implementazioni lente nel rispondere alle tecniche degli attaccanti.

Che ruolo hanno i team di sicurezza e i programmi di governance in questi primi fallimenti?

I team di sicurezza sono responsabili della progettazione e dell'applicazione dei controlli di sicurezza e della gestione delle identità e degli accessi, ma i fallimenti si verificano quando i team operano in silos, privilegiano soluzioni puntuali o non hanno un framework chiaro per il rischio legato alle identità. Senza uno sponsor esecutivo e una collaborazione con le unità di business, i programmi di governance faticano ad applicare criteri coerenti, a eseguire revisioni tempestive degli accessi degli utenti e a ridurre il rischio di accesso.

L'automazione e gli strumenti possono correggere i tentativi falliti di identity governance?

L'automazione può ridurre in modo significativo le attività manuali, minimizzare gli errori e applicare criteri coerenti negli ambienti cloud e in quelli aziendali, ma gli strumenti da soli non sono una soluzione miracolosa. Le implementazioni di successo richiedono la mappatura dei processi, la distribuzione di workflow automatizzati per richieste di accesso e revisioni, l'integrazione di IGA con SSO e la gestione degli accessi, e l'allineamento dei team di sicurezza con i requisiti di conformità e gli obiettivi di business.

Perché le identità non umane e gli accessi privilegiati vengono spesso trascurati?

Le identità non umane (account di servizio, script di automazione) e gli accessi privilegiati vengono spesso trascurati perché non rientrano nei tradizionali modelli di provisioning degli utenti e possono essere distribuiti tra ambienti SaaS, on-prem e cloud. Questa svista aumenta il rischio legato alle identità e la superficie di attacco, quindi la governance deve includere esplicitamente criteri e controlli per gli account non umani e per la gestione degli accessi privilegiati.

In che modo l'adozione del cloud e del SaaS cambia il panorama dell'identity governance?

L'adozione del cloud e del SaaS introduce nuovi modelli di identità e accesso, aumenta la velocità dei cambiamenti e crea shadow IT e una proliferazione di identità. Le organizzazioni devono adattare i framework di governance per coprire gli ambienti cloud, integrare le implementazioni IGA con i provider di identità cloud, applicare i principi di zero trust e garantire revisioni continue degli accessi degli utenti per soddisfare i requisiti di conformità e ridurre le vulnerabilità di sicurezza.

Quali sono i fallimenti di processo più comuni nei progetti di identity governance?

I fallimenti di processo più comuni includono un'individuazione inadeguata di identità e autorizzazioni, un coinvolgimento insufficiente degli stakeholder, una proprietà poco chiara della certificazione degli accessi, il ricorso a fogli di calcolo manuali per le revisioni degli accessi degli utenti e la mancata integrazione della governance con i flussi di lavoro di business. Queste lacune portano a soluzioni improvvisate e a un'applicazione incoerente, che compromettono la prontezza per gli audit e aumentano il rischio legato alle identità.

Come devono misurare il successo le organizzazioni e ridurre il rischio di accesso nei tentativi futuri?

Le organizzazioni dovrebbero definire metriche chiare, come il tempo necessario per approvare le richieste di accesso, la percentuale di certificazioni degli accessi completate, la riduzione degli account orfani o privilegiati e il numero di incidenti legati all'uso improprio delle identità. Implementare il monitoraggio continuo, automatizzare le revisioni degli accessi degli utenti e integrare la gestione delle identità e degli accessi con i controlli di sicurezza e SSO aiuta a ridurre il rischio di accesso e a dimostrare i progressi per audit e conformità.

Quali primi passi concreti dovrebbero compiere i team di sicurezza per migliorare l'identity governance?

I primi passi pratici includono un'identity discovery per mappare identità umane e non umane, dare priorità agli accessi privilegiati ad alto rischio e alle applicazioni critiche, scegliere un framework IGA che supporti l'automazione e l'integrazione con il cloud, avviare un progetto pilota di revisione degli accessi utente con le unità di business e allineare i programmi di governance ai requisiti di conformità e agli obiettivi di zero trust, per evitare di ripetere gli errori dei primi tentativi.