Cos'è l'Identity Security Posture Management (ISPM)?

I moderni sistemi di gestione delle identità sono vulnerabili perché l'identità ha sostituito la rete come principale superficie di attacco. Le applicazioni risiedono ormai nel cloud, i dipendenti possono accedere da qualsiasi luogo e ogni connessione dipende da un'unica identità verificata. Gli aggressori dispongono di un percorso diretto, basato sulle credenziali, che le tradizionali difese perimetrali non sono state progettate per bloccare.

Gli ambienti ibridi aumentano ulteriormente il livello di complessità. Le rapide migrazioni al cloud possono frammentare l'infrastruttura delle identità tra Active Directory (AD) in locale, Microsoft Entra ID e Okta, spesso senza una visibilità unificata su tutti questi sistemi. Ogni piattaforma ha le sue autorizzazioni di accesso, le sue peculiarità e i suoi punti deboli in termini di sicurezza. Gli hacker di oggi sono diventati esperti nello sfruttare le lacune di questi sistemi.

La posta in gioco continua ad alzarsi. Il report di Zscaler ThreatLabz del 2026 sulla sicurezza dell'AI ha rilevato che le transazioni di AI e machine learning nelle aziende sono aumentate del 91% su base annua, coinvolgendo oltre 3.400 applicazioni. Ogni nuovo strumento di intelligenza artificiale adottato dalla tua organizzazione necessita di un'identità per l'autenticazione. Poiché le credenziali compromesse rappresentano la principale via di accesso ai dati proprietari, ogni integrazione con l'AI amplia la superficie di attacco legata alle identità.

Quali sono i pericoli derivanti da configurazioni errate delle identità legacy?

Gli archivi di identità legacy, in particolare gli account degli utenti IT e dei dirigenti con privilegi elevati, rimangono le risorse più prese di mira nell'ambiente di un'organizzazione. Oltre il 90% delle aziende si affida ancora ad Active Directory per l'autenticazione, e le sue impostazioni predefinite e i decenni di configurazioni accumulate lo rendono un sistema intrinsecamente vulnerabile. Gli hacker lo sanno e hanno creato degli strumenti specifici per sfruttare queste vulnerabilità.

Una configurazione inadeguata delle directory crea facili vie di attacco. Gli attacchi Pass-the-Hash permettono a un malintenzionato di autenticarsi utilizzando l'hash di una password rubata, senza mai aver bisogno della password stessa. Il Kerberoasting consente a un utente malintenzionato di richiedere ticket di assistenza associati ad account di servizio scarsamente protetti, per poi decifrare le credenziali cifrate offline utilizzando il proprio hardware. Entrambe le tecniche sfruttano le vulnerabilità delle directory che non sono state sottoposte a verifiche recenti.

A complicare ulteriormente il quadro è il debito tecnico legato alle identità, che può accumularsi gradualmente senza essere rilevato. Gli account appartenenti agli ex dipendenti rimangono attivi per mesi. Le credenziali di servizio orfane persistono anche dopo la chiusura delle applicazioni per cui sono state create. I privilegi degli utenti superano di gran lunga quelli approvati. Ognuno di questi elementi è una porta aperta, e la maggior parte delle organizzazioni non ha idea di quante ne abbia.

L'ISPM individua costantemente tutte le identità umane e non umane presenti nell'ambiente IT, verifica la presenza di configurazioni errate e privilegi eccessivi per ciascuna di esse e aggrega i risultati in un unico punteggio del profilo di sicurezza basato sul rischio. L'ISPM integra diverse funzionalità in un ciclo continuo di individuazione, analisi e risoluzione dei problemi. Ciascuna funzionalità svolge un ruolo distinto e, insieme, mostrano dove si annida il rischio legato all'identità.

Visibilità e rilevamento end-to-end

La visibilità e il rilevamento end-to-end costituiscono la fase del processo ISPM in cui vengono individuate e catalogate tutte le identità, umane e non umane, prima di procedere con qualsiasi analisi dei rischi. I team di sicurezza possono proteggere solo ciò che vedono, quindi l'ISPM effettuerà un inventario di dipendenti, collaboratori esterni, account di servizio e identità delle macchine presenti su Active Directory, Entra ID e piattaforme dell'infrastruttura cloud.

L'identificazione delle identità non umane (NHI) richiede un'attenzione particolare. Le chiavi API, i token di automazione e le identità dei workload operano spesso completamente al di fuori dei sistemi tradizionali di governance delle directory. Uno sviluppatore crea un account di servizio per un progetto da realizzare nel fine settimana. Tre anni dopo, l'account dispone ancora di privilegi di amministratore e nessuno ne monitora le attività. L'ISPM rende visibili le identità non umane (NHI), in modo che nessuna identità presente nell'elenco operi inosservata.

Audit continuo e valutazione del profilo nell'ambito dell'ISPM

La funzione di audit continuo e di valutazione del profilo di sicurezza dell'ISPM analizza la configurazione di ogni identità 24 ore su 24 e converte i risultati in un unico punteggio di rischio tracciabile. La fase di rilevamento individua ciò che esiste; la fase di verifica determina se è sicuro. I problemi più comuni che emergono da queste scansioni includono:

• Password deboli o riutilizzate
• Policy di autenticazione a più fattori (MFA) disabilitate
• Strutture di privilegi obsolete, rimaste invariate dopo cambiamenti di ruolo o procedure di revoca degli accessi mai completate del tutto

Questo punteggio fornisce ai team IT e di sicurezza un parametro di riferimento chiaro per monitorare i progressi e comunicare i miglioramenti alla dirigenza. Un punteggio in aumento indica un miglioramento della gestione della sicurezza delle identità, mentre un punteggio in calo segnala nuovi rischi prima che si trasformino in incidenti di sicurezza.

Analisi dei percorsi di attacco e dell'escalation dei privilegi

L'analisi del percorso di attacco e dell'escalation dei privilegi è la funzionalità ISPM che mappa le relazioni tra identità, privilegi e risorse per rivelare il modo in cui gli aggressori possono sfruttare una serie di piccole vulnerabilità fino a compromettere completamente un sistema. Questo è utile perché una singola configurazione errata raramente fornisce un quadro completo.

Ad esempio, un team di sicurezza potrebbe scoprire un account con privilegi limitati che dispone di autorizzazioni relative a una policy configurata in modo errato per errore. Di per sé, l'account sembra innocuo. Tuttavia, in presenza di una relazione di fiducia latente con un altro dominio, potrebbe consentire a un aggressore di ottenere privilegi di amministratore di dominio, trasformando una criticità apparentemente minore in un percorso di attacco critico. La visualizzazione del percorso di attacco consente ai team di sicurezza di correggere le connessioni a più alto rischio, anziché correggere indistintamente ogni vulnerabilità a basso rischio.

Applicazione adattiva delle norme basata sul rischio

L'applicazione adattiva delle policy basata sul rischio attiva automaticamente controlli aggiuntivi non appena emerge una vulnerabilità, anziché attendere un intervento manuale. Questi controlli includono:

• Limitazione dell'accesso alle aree sensibili in base al livello di rischio
• Identificazione di richieste anomale di privilegi elevati
• Integrazione dei dati in tempo reale sul profilo nelle policy zero trust

Si crea così un processo a ciclo chiuso tra rilevamento e correzione, che rende il miglioramento della sicurezza delle identità parte delle attività quotidiane anziché un intervento annuale.

L'ISPM si integra con lo stack di gestione delle identità aggiungendo un'analisi continua del profilo di sicurezza all'applicazione delle policy di accesso dell'IAM e alla governance dell'IGA. Anziché sostituire una delle due discipline, si colloca nel ruolo intermedio tra l'autenticazione di un accesso e la verifica che questo rimanga sicuro nel tempo.

Qual è la differenza tra ISPM e IAM?

ISPM e IAM differiscono per ambito di applicazione. L'IAM (Identity and Access Management) determina chi può accedere al sistema al momento del login, gestendo gli account utente di un'organizzazione e verificando l'accesso tramite single sign-on (SSO) e autenticazione a più fattori (MFA). L'ISPM, invece, verifica continuamente se le autorizzazioni di un'identità già autenticata rimangono sicure.

La sola gestione delle identità e degli accessi (IAM) non è sufficiente a proteggere le identità dalle minacce. L'IAM convalida le credenziali al momento dell'accesso, ma non è in grado di stabilire se l'account dispone di autorizzazioni eccessive. Un dipendente autenticato che effettua l'accesso tramite autenticazione a più fattori (MFA) può comunque detenere diritti di amministratore di cui non ha più bisogno. La soluzione IAM li approva sempre, perché dal suo punto di vista non sembra esserci nulla di anomalo.

Qual è la differenza tra ISPM e IGA?

ISPM e IGA differiscono per cadenza. La soluzione IGA disciplina l'accesso tramite provisioning automatizzato e revisioni periodiche delle certificazioni. Questo fornisce ai team addetti alla conformità una registrazione degli accessi approvati e della relativa data. L'ISPM, invece, funziona in modo continuo e valuta se l'accesso approvato rimane valido tra un ciclo di revisione e l'altro.

Le revisioni delle soluzioni IGA sono in gran parte manuali e vengono eseguite mensilmente o trimestralmente, il che può comportare che autorizzazioni ad alto rischio rimangano non rilevate per settimane prima della successiva revisione.

Al contrario, l'ISPM esegue analisi continue e automatiche del profilo di sicurezza della configurazione delle directory, anziché attendere la successiva revisione programmata. Dove la soluzione IGA chiede: "Abbiamo approvato questo accesso?" L'ISPM chiede: "Questo accesso è sicuro in questo momento?"

Insieme, queste tre discipline compongono uno stack completo per le identità. La soluzione IAM controlla chi può accedere, la soluzione IGA stabilisce chi dovrebbe avere accesso e la soluzione ISPM garantisce che l'infrastruttura sottostante sia priva delle configurazioni errate su cui gli aggressori fanno affidamento per eludere i controlli.

I percorsi di attacco automatizzati minacciano la sicurezza delle identità riducendo drasticamente il tempo che intercorre tra la scoperta e la compromissione. Gli aggressori utilizzano strumenti basati sull'intelligenza artificiale per mappare la struttura Active Directory in pochi secondi, identificare il percorso più breve per ottenere i privilegi di amministratore di dominio e agire prima che i difensori possano rispondere.

Le identità non umane compromesse aumentano ulteriormente la posta in gioco. Una singola chiave API sfruttata o un token di automazione dimenticato possono aprire una backdoor silenziosa, che raramente attiva gli avvisi di accesso come farebbe un account gestito da un utente umano.

La velocità è l'aspetto più difficile da pianificare. Durante i test di red-teaming condotti sui sistemi di AI aziendali, ThreatLabz ha rilevato un tempo mediano di 16 minuti prima che si verificasse una compromissione critica, con il 90% dei sistemi completamente compromessi entro 90 minuti. Un approccio reattivo alla sicurezza non può tenere il passo con questa rapidità. La tua organizzazione ha bisogno di una gestione proattiva della sicurezza per eliminare le vulnerabilità prima che si verifichi una violazione.

Le misure di difesa dell'ISPM tengono il passo con gli attacchi condotti alla velocità delle macchine, combinando il rafforzamento continuo delle configurazioni, la correzione automatizzata dei privilegi e il rilevamento delle minacce in tempo reale. Queste misure colmano le lacune di sicurezza sfruttate dagli aggressori che utilizzano strumenti automatizzati prima ancora che inizi un attacco e rilevano le minacce attive non appena si manifestano.

Integrazione dell'ISPM con l'ITDR (Identity Threat Detection and Response)

Le soluzioni ISPM e ITDR (Identity Threat Detection and Response) si integrano suddividendo la difesa dell'identità in due parti complementari. L'ISPM rafforza in modo proattivo la configurazione dell'identità, correggendo le configurazioni errate su cui fanno affidamento gli aggressori. L'ITDR rileva e isola le minacce attive in tempo reale quando un aggressore si trova già all'interno dell'ambiente.

La combinazione delle due pratiche crea un ciclo completo di protezione dell'identità. Le informazioni sul profilo di sicurezza fornite dall'ISPM vengono integrate direttamente nei playbook di mitigazione dell'ITDR, consentendo ai team di risposta di sapere quali account presentano i rischi maggiori ancora prima che venga generato un avviso. Invece di due strumenti isolati, il risultato è un ciclo continuo di rafforzamento e risposta.

Correzione automatizzata dell'accumulo di privilegi eccessivi

I privilegi si accumulano silenziosamente. Un utente cambia ruolo e ottiene un accesso temporaneo a un progetto. Il progetto si conclude; l'accesso, invece, rimane. Se l'account viene compromesso, tutti i privilegi accumulati passano all'aggressore.

L'ISPM risolve questo problema con una correzione automatizzata: segnala le autorizzazioni non necessarie e revoca i diritti di accesso agli utenti che non ne hanno più bisogno. Un minor numero di privilegi permanenti significa meno risorse a disposizione di un malintenzionato.

Estensione dei principi zero trust alle configurazioni delle directory

Il modello zero trust di solito si applica all'accesso alla rete, ma il principio del "non fidarsi mai, verificare sempre" vale anche per la directory.

L'ISPM verifica ogni impostazione della configurazione, ogni relazione di fiducia e ogni autorizzazione, estendendo i principi della sicurezza zero trust oltre la schermata di accesso e fino alla directory che determina le azioni consentite a un utente autenticato.

L'implementazione efficace di una soluzione ISPM si attua con una serie di passaggi ben precisi. Segui queste istruzioni per passare dalla teoria alla pratica e migliorare in modo tracciabile la sicurezza delle identità.

1. Unifica la visibilità della tua directory: collega l'Active Directory locale ai tuoi sistemi cloud nativi, inclusi Microsoft Entra ID e Okta, in modo che tutte le attività vengano visualizzate in un'unica dashboard, anziché in diverse visualizzazioni isolate.
2. Individua gli archivi di identità non autorizzati: esegui un rilevamento continuo delle risorse per individuare le directory create da sviluppatori che operano in autonomia o da integrazioni SaaS di terze parti, al di fuori dei processi ufficiali di governance. Questi archivi in genere sono meno monitorati e più vulnerabili agli attacchi.
3. Rivedi continuamente le autorizzazioni: utilizza i dati dell'ISPM per rimuovere i privilegi eccessivi dagli account utente e di servizio, assicurandoti che ogni account rispetti il principio del privilegio minimo.
4. Elimina le credenziali orfane: verifica la presenza di account di servizio o credenziali inutilizzate senza un proprietario, quindi eliminale prima che qualcun altro possa utilizzarle.
5. Automatizza gli avvisi di configurazione: avvisa gli amministratori delle directory non appena una modifica alla configurazione si discosta dai parametri di riferimento per la sicurezza.
6. Monitora il punteggio del profilo nel tempo: considera il tuo punteggio ISPM come una misura in tempo reale del profilo di sicurezza della tua identità, non come il tuo livello di sicurezza complessivo. Rivedi tutto regolarmente con il team di sicurezza per verificare i progressi compiuti verso l'eliminazione del rischio.

Questi passaggi si completano a vicenda. La visibilità consente di individuare i rischi, la revisione delle autorizzazioni permette di eliminarli e gli avvisi aiutano a mantenere i miglioramenti ottenuti. In questo modo, un'implementazione una tantum si trasforma in un processo continuo che garantisce la sicurezza dell'intera infrastruttura delle identità anche con l'evolversi delle minacce.

Zscaler Identity Protection (Zscaler ITDR) esegue controlli continui su Active Directory e sugli archivi di identità ibridi per individuare configurazioni errate, fornisce una panoramica del livello di rischio e rileva attacchi come il Kerberoasting in tempo reale. Si integra in modo nativo con la piattaforma Zscaler Zero Trust Exchange™.

Ecco le funzionalità principali:

• Monitoraggio continuo del profilo di Active Directory (AD) ed Entra ID: Zscaler ITDR esegue scansioni continue degli archivi di identità on-premise e ibridi per individuare configurazioni errate, privilegi obsoleti e credenziali esposte prima che gli aggressori possano trovarle.
• Rilevamento in tempo reale degli attacchi all'identità: la piattaforma identifica tecniche come Kerberoasting, Pass-the-Hash e DCSync nel momento stesso in cui si verificano, riducendo al minimo il tempo che intercorre tra la compromissione e la risposta.
• Valutazione unificata del rischio delle identità: Zscaler ITDR converte i risultati frammentati in un unico punteggio di sicurezza tracciabile, che i team IT e di sicurezza possono utilizzare per generare report nel tempo.
• Integrazione nativa con Zero Trust Exchange: i dati relativi al profilo e alle minacce alimentano direttamente le policy zero trust adattive, in modo che il rischio associato all'identità influenzi le decisioni di accesso in tempo reale su Zscaler Zero Trust Exchange.
• Copertura per le identità non umane: Zscaler ITDR estende la visibilità ad account di servizio, chiavi API e identità dei workload che i tradizionali strumenti di gestione delle identità solitamente non rilevano.

Richiedi una dimostrazione per scoprire come Zscaler ITDR può aiutarti a migliorare la sicurezza delle tue identità.