Dai ruoli alle richieste: l'elevazione just-in-time nel PAM guidato dall'IT

I piccoli team non hanno bisogno di un labirinto di strumenti di sicurezza. Hanno bisogno di barriere di protezione che si implementino rapidamente e siano difficili da eludere. Questa è la promessa del JIT in un programma PAM guidato dall’IT: concedere esattamente i diritti necessari, solo per il tempo necessario, e poi revocarli automaticamente. Nello stack Devolutions, PAM è il motore che applica il JIT; RDM e Gateway semplificano la richiesta, l’avvio e la registrazione, ma PAM può anche applicare il JIT in autonomia.

Provalo nel suo ambiente

Attivi Devolutions PAM nel cloud (Devolutions Cloud) o sul suo server locale (Devolutions Server) ed esegua il flusso JIT in RDM. Vedrà quanto rapidamente il lavoro privilegiato diventi intenzionale, osservabile e di breve durata, senza interrompere le operazioni quotidiane. Il tutto ai migliori prezzi del mercato per i piccoli team, in grado di offrire risultati di livello enterprise.

Trasformare il privilegio in una risorsa limitata nel tempo e verificabile

Il tradizionale principio del privilegio minimo riduce i diritti assegnati, ma i permessi permanenti restano comunque disponibili, in attesa di essere sfruttati in modo improprio. Il JIT va oltre: l’accesso viene richiesto, limitato nel tempo e poi rimosso automaticamente, senza periodi di tolleranza. Questo approccio è in linea con il principio Zero Standing Privilege (ZSP): nessun diritto amministrativo permanente, solo accesso di breve durata quando necessario. Nel modello Devolutions, il JIT può riguardare sia “chi può diventare privilegiato” sia “come viene utilizzato tale privilegio”, con revoca automatica alla scadenza. Un’elevazione controllata che non frena il lavoro del team.

Perché è importante: riduce le finestre di opportunità per gli attaccanti, diminuisce il rischio di movimento laterale e trasforma ogni elevazione in un evento verificabile e di breve durata.

Il JIT quotidiano con RDM + Gateway

Ecco come si presenta l’elevazione controllata quando è integrata negli strumenti che gli amministratori già utilizzano:

1. Richiesta in RDM con una motivazione (e un ticket).
2. Approvazione di una finestra temporale limitata (ad esempio 15/60 minuti), che scade automaticamente.

3. Avvio tramite Devolutions Gateway con iniezione delle credenziali; le password non vengono mai esposte all’utente.
4. Registrazione della sessione privilegiata (RDP/SSH), collegata alla richiesta.
5. Revoca/Rotazione al check-in o allo scadere del tempo: l’accesso termina, le credenziali cambiano e la traccia è completa.

L’elevazione è intenzionale, tracciabile e sufficientemente rapida da poter essere utilizzata ogni volta.

Elevazione JIT e provisioning JIT

Elevazione JIT: concede brevemente permessi più elevati a un’identità esistente per un’attività o una finestra temporale definita, per poi revocarli automaticamente.

Provisioning JIT: fornisce accesso di breve durata legato a una finestra di richiesta e lo rimuove secondo pianificazione, senza necessità di pulizia manuale. In Devolutions PAM, questo può significare creare un account dedicato per l’attività, limitarlo nel tempo, quindi revocare l’accesso e ruotare la password al termine della sessione. Entrambi gli approcci eliminano il privilegio permanente; scelga il modello più adatto al suo flusso di lavoro.

Dove si inserisce la gestione del desktop remoto (e perché è un moltiplicatore di forza)

Dove l’operatività trasforma la politica in pratica

In generale, PAM si concentra sulla credenziale: chi può utilizzarla, per quanto tempo e con quale approvazione. La gestione del desktop remoto aggiunge il livello del “come viene utilizzata” senza rallentare il lavoro degli amministratori. Le richieste avvengono in RDM, la politica decide le approvazioni e la fonte dati controlla quali sessioni un utente può avviare. L’iniezione delle credenziali impedisce ai tecnici di visualizzare mai le password in chiaro, e Devolutions Gateway gestisce il percorso di connessione end-to-end, in modo che le sessioni attraversino le reti in modo pulito e coerente. Poiché le barriere di protezione risiedono all’interno degli strumenti utilizzati quotidianamente, l’adozione aumenta. RDM mantiene il lavoro fluido, mentre PAM governa le credenziali e le approvazioni dietro ogni sessione.

Approvazioni in linea con il lavoro reale

Le approvazioni non dovrebbero sembrare una deviazione. All’interno di RDM, le richieste arrivano e vengono instradate verso gli approvatori in base alla politica stabilita. Le finestre temporali sono predefinite o personalizzabili, e le risposte vengono inviate. Le sessioni approvate vengono registrate e collegate alla richiesta e all’approvazione, per una traccia di evidenza chiara. Quando la finestra termina, l’accesso termina. Nessun periodo di tolleranza e nessuna sorpresa del tipo “ho dimenticato di rimuovere l’utente”.

L’elevazione rapida e verificabile diventa la norma, non l’eccezione.

Reportistica e rischio: mostri il suo lavoro (e i suoi risultati)

Gli auditor vogliono prove, non promesse. Con Devolutions PAM, il suo pacchetto di evidenze può includere: la richiesta, la traccia di approvazione, i dati o la registrazione della sessione (RDP/SSH) e gli eventi di rotazione/revoca, in modo che la storia sia chiara dall’inizio alla fine.

Gli aggiornamenti recenti semplificano ulteriormente questo flusso di lavoro e rendono più facile dimostrare la governance (ad esempio, collegando i ticket alle attività e rafforzando i legami “chi/cosa/quando/perché” nei report).

Ricostruisca quanto accaduto in pochi minuti, con metriche oggettive per copertura e SLA.

Su cosa stiamo lavorando

Continuiamo a investire in:

• Copertura più ampia dei provider: ampliamento dell’elenco dei tipi di provider gestiti, in modo che una parte più estesa del suo ecosistema IT possa essere individuata e governata da PAM, in linea con il principio del privilegio minimo (PoLP).
• Permessi più granulari: aumento della flessibilità e della granularità dei permessi sugli account privilegiati e sulle cassaforti PAM, per applicare meglio il ZSP, consentire la separazione dei compiti e adattarsi a un maggior numero di modelli organizzativi (inclusi gli scenari MSP).

E stiamo esplorando:

• Ergonomia basata sul browser tramite Workspace Browser Extension: valutiamo modi per portare alcune azioni PAM selezionate direttamente nel browser, come la revisione/approvazione delle richieste o l’attivazione delle rotazioni, in modo che le attività semplici possano avvenire con meno cambi di contesto. Condivideremo i dettagli non appena le progettazioni saranno più mature.

Avvii una prova gratuita di 30 giorni di PAM oppure provi Devolutions PAM in una sessione di laboratorio gratuita basata su browser per scoprire come stiamo aiutando i professionisti IT a ottenere un’ottima copertura PAM riducendo l’accesso permanente nelle loro organizzazioni.