Gabriel Caron LandrySe la Sua organizzazione sta valutando l’acquisto di una soluzione per la gestione delle password, prima di procedere è necessario rispondere a una domanda fondamentale. Non si tratta di costi, compatibilità o conformità. È qualcosa di più profondo: ha bisogno SOLO di un gestore di password? Che ci creda o no, la risposta è probabilmente no!
Orientato al business? Sì.
Ecco il problema di fondo: “gestore di password” è essenzialmente un termine di marketing coniato diversi anni fa, senza dubbio per sfruttare due elementi che le organizzazioni ricercano e apprezzano: la sicurezza (implicita nella parola “password”) e l’efficienza (implicita nella parola “gestore”).
Certo, i gestori di password sono orientati al business. Ma, contrariamente a quanto si crede comunemente, NON sono intrinsecamente sicuri.
In sostanza, un gestore di password offre un modo centralizzato per gestire i dati. Un altro modo di vedere la questione è che, non appena si gestiscono e si condividono dati, si sta di fatto utilizzando un sistema di gestione delle password. Questo significa che qualcosa di insicuro come un foglio Excel condiviso può essere considerato un “gestore di password”? La risposta è sì! Infatti, la maggior parte dei gestori di password sul mercato consente alle organizzazioni di condividere un’unica cassaforte con tutti gli utenti (tecnici e non), senza alcun controllo su chi ha accesso a cosa.
Anche in questo caso, ciò accade perché i gestori di password sono progettati per centralizzare e gestire i dati. Non sono realizzati per la sicurezza, ma per la continuità aziendale. Ecco una spiegazione del perché…
Sicuro? No.
I gestori di password consentono agli utenti finali di condividere casseforti contenenti diversi tipi di informazioni, come credenziali, carte di credito, dati di connessione remota, accessi a siti web, documenti e così via. Se un utente finale lascia l’azienda, gli ex colleghi non devono perdere tempo a cercare fogli di calcolo personali, blocchi note e simili. Possono invece trovare rapidamente e facilmente ciò di cui hanno bisogno nelle casseforti condivise. Questo è comodo, ma non è sicuro. Con qualsiasi gestore di password, all’utente finale basta copiare e incollare le credenziali in un altro file e portarle via con sé.
I gestori di password oggi disponibili sul mercato non possono risolvere questa situazione, eppure vengono presentati come “sicuri”. L’unico modo per renderli sicuri sarebbe cambiare tutte le password ogni volta che qualcuno lascia l’azienda, un’operazione davvero fastidiosa. E se le password venissero reimpostate automaticamente dopo ogni utilizzo? Questo è quasi impossibile per le applicazioni di terze parti o le password dei siti web. In pratica, l’unica opzione sicura e praticabile è nascondere la password al momento dell’utilizzo tramite l’iniezione sicura delle credenziali, argomento che approfondiremo più avanti in questo articolo.
Cosa significa tutto questo per la Sua organizzazione? Ecco la verità sorprendente, e forse scioccante: se acquista solo un gestore di password, otterrà continuità aziendale, NON sicurezza. È ciò che si fa con le password, e come lo si fa, a rendere sicuri.
Le “funzionalità reattive” dei gestori di password
Esplorando i vari gestori di password disponibili, e ce ne sono davvero molti tra cui scegliere, si sarà (o si sarà già) imbattuti in prodotti con funzionalità come:
- Controllo degli accessi basato sui ruoli (RBAC)
- Verifica delle password “compromesse” (pwned)
- Policy minime per le password
- Estensione del browser
- Registrazione (logging)
Solitamente, i fornitori le descrivono come “funzionalità di sicurezza”. Tuttavia, queste non rendono realmente più sicura la Sua organizzazione! Sarebbe più corretto chiamarle “funzionalità reattive”, poiché possono renderLa consapevole di potenziali problemi. Queste funzionalità sono il punto in cui la sicurezza della Sua organizzazione INIZIA, non quello in cui FINISCE.
Il ruolo dei gestori di password
Nonostante questi seri limiti, i gestori di password, che dovrebbero in realtà essere chiamati “strumenti di continuità aziendale”, hanno il loro posto nel panorama aziendale. In particolare, sono utili per gli utenti aziendali non tecnici, che altrimenti farebbero fatica a ricordare un enorme elenco di password complesse e uniche (una ricerca ha rilevato che l’utente aziendale medio ha oggi ben 191 password!).
Tuttavia, questo è il limite del caso d’uso dei gestori di password. Gli utenti tecnici (ad esempio amministratori di sistema, personale dell’help desk, ecc.) operano in aree in cui il rischio reale è concreto e in cui le esigenze di sicurezza sono più elevate. Per loro, un gestore di password da solo è del tutto insufficiente. Fortunatamente, esiste un modo pratico e collaudato per colmare questa lacuna di sicurezza.
Potenziare i gestori di password con la gestione delle sessioni privilegiate (PSM) o la gestione degli accessi privilegiati (PAM)
Un gestore di password che funzioni anche come soluzione di sicurezza autentica e robusta, e non solo come strumento di continuità aziendale, supporterà funzionalità come:
- Iniezione sicura delle credenziali
- Rilevamento degli account
- Rotazione automatica delle password
- Avvisi e notifiche
- Processo di approvazione delle richieste di checkout
Ebbene, indovini un po’? Non appena si inizia a concentrarsi su queste funzionalità di sicurezza essenziali, non si è più semplicemente alla ricerca di un gestore di password. Si sta anche cercando una soluzione di gestione delle sessioni privilegiate (PSM) o di gestione degli accessi privilegiati (PAM)!
Un modo semplice per determinare le proprie esigenze
Come si fa a sapere se serve un gestore di password con funzionalità PSM, o un gestore di password potenziato con funzionalità PAM? Ecco una semplice checklist per stabilirlo:
Probabilmente ha bisogno di un gestore di password + PSM se:
- La soluzione sarà utilizzata da utenti tecnici.
- Desidera avviare automaticamente le connessioni.
- Non desidera che gli utenti finali vedano le password.
Probabilmente ha bisogno di un gestore di password + PAM se:
- Desidera che le password vengano modificate/reimpostate.
- Desidera opzioni di rilevamento degli account.
- Desidera un processo di approvazione delle richieste di checkout.
E naturalmente, se si riconosce in entrambi gli elenchi, ha bisogno di un gestore di password con funzionalità sia PSM che PAM.
Considerazioni finali
Non c’è nulla di intrinsecamente sbagliato nei gestori di password. Hanno un ruolo da svolgere e offrono importanti vantaggi in termini di efficienza e comodità. Tuttavia, da soli non sono soluzioni di sicurezza autentiche in grado di fornire funzioni di sicurezza IT sofisticate, anche se per decenni sono stati pubblicizzati come tali.
Per ottenere efficienza E sicurezza, non l’una al posto dell’altra, la Sua organizzazione ha bisogno di un gestore di password potenziato con PSM e/o PAM. Con questo approccio e questa infrastruttura, gli utenti aziendali resteranno produttivi ed efficienti, mentre il personale IT disporrà del controllo, della visibilità e della reportistica necessari per mantenere l’organizzazione sicura e conforme.