Steven LafortuneIl report Devolutions State of IT Security in SMBs in 2024-25 Survey è ora disponibile. Sebbene ci sia molto da esplorare e analizzare, dalle minacce interne all’IA, una delle rivelazioni più importanti è che il 52% delle PMI non ha ancora adottato una soluzione di gestione degli accessi privilegiati (PAM) sicura, efficace e automatizzata. Questo è allarmante, considerando che:
- Il 74% delle violazioni dei dati inizia con l’abuso di credenziali privilegiate
- Il 55% delle organizzazioni non sa quanti account privilegiati possiede né dove si trovino
- Oltre il 50% degli account privilegiati non scade mai né viene disattivato
Di recente abbiamo lanciato una serie in 4 parti per comprendere meglio cosa impedisce ad alcune PMI di adottare (o adottare completamente) una soluzione PAM. Nella prima parte, abbiamo puntato i riflettori su un classico strumento del panorama lavorativo, i fogli di calcolo, e abbiamo condiviso 10 motivi per cui, sebbene possano essere ottimi per attività come la previsione dei budget, sono terribili per il PAM. Se l’ha perso, lo trovi qui.
Ora procediamo con la seconda parte della serie. In questo articolo, puntiamo i riflettori su uno strumento di lavoro che sta creando un pericoloso falso senso di sicurezza informatica in molte PMI: i gestori di password.
Continuità operativa vs. sicurezza
Secondo il report Devolutions State of IT Security in SMBs in 2024-25 Survey, il 30% dei dirigenti di alto livello nelle PMI non ha adottato una soluzione PAM perché utilizza un gestore di password con cassaforti e ritiene che questo sia sufficiente.
Questa opinione è comprensibile, perché i gestori di password vengono talvolta menzionati in articoli, video e discussioni sul PAM. Inoltre, alcuni fornitori che vendono gestori di password promuovono i loro prodotti come “soluzioni PAM” o come strumenti che “abilitano il PAM”. Queste affermazioni non sono semplice esagerazione di marketing. Sono pubblicità ingannevole!
Ecco la verità: in sostanza, i gestori di password sono strumenti di continuità operativa, non strumenti di sicurezza. Consentono agli utenti di condividere cassaforti che contengono diversi tipi di dati sensibili, come credenziali degli account, numeri di carte di credito, informazioni di connessione remota e altro ancora.
Questa funzionalità è comoda ed efficiente. Si consideri uno scenario in cui un utente che ha creato e utilizzato più password lascia l’organizzazione. Senza cassaforti, gli ex colleghi potrebbero doversi mettere a cercare tra fogli di calcolo e blocchi note per (si spera) trovare quelle password. Ma con le cassaforti, basta accedere e ottenere ciò di cui si ha bisogno.
Il valore dei gestori di password in termini di continuità operativa e facilità amministrativa è evidente. Tuttavia, questi vantaggi non hanno nulla a che fare con la cybersecurity reale, perché la sorprendente verità è che i gestori di password sono intrinsecamente insicuri!
Tutto ciò che l’utente in partenza deve fare è copiare e incollare le password in un altro file. Certo, un’organizzazione potrebbe cambiare tutte le password ogni volta che qualcuno se ne va. Ma questo è tedioso e richiede molto tempo. E cosa dire del reimpostare automaticamente le password dopo ogni utilizzo? Questo potrebbe funzionare per gli account interni, ma non per le app di terze parti o le password dei siti web.
I gestori di password possono aumentare la consapevolezza, ma non la sicurezza
Per rendere le cose ancora più confuse, i gestori di password offrono in genere funzionalità legate alla sicurezza delle password, come:
- Verifica rispetto a un elenco di password compromesse note
- Generatore di password complesse
- Applicazione di requisiti minimi per le password
- Registrazione dei log
Funzionalità come queste sono utili. Tuttavia, se le esaminiamo attentamente, ci rendiamo conto che in realtà non rendono le organizzazioni più sicure! Nella migliore delle ipotesi, aiutano le organizzazioni a diventare consapevoli di potenziali problemi e vulnerabilità. Sono di natura reattiva, non proattiva. Indicano dove la sicurezza dell’organizzazione dovrebbe INIZIARE, non stabiliscono dove dovrebbe FINIRE.
Questo è particolarmente vero per gli utenti tecnici, come i SysAdmin e il personale dell’help desk. Questi professionisti operano in ambiti in cui le esigenze e i rischi di sicurezza sono più elevati. Per loro, utilizzare un gestore di password per il PAM non è solo del tutto insufficiente, ma estremamente precario.
Non eliminare il gestore di password, basta aggiungere il PAM
Non stiamo consigliando alle PMI di eliminare il proprio gestore di password preferito e familiare. Come accennato, i gestori di password sono strumenti pratici e utili per la continuità operativa. Possono anche contribuire ad aumentare la consapevolezza delle vulnerabilità. E strumenti come i generatori di password complesse possono promuovere buone pratiche e abitudini in materia di password tra gli utenti finali (che, purtroppo, saranno sempre l’anello più debole della catena di sicurezza IT). Tutto questo è positivo.
Tuttavia, ciò che invitiamo le PMI a fare è integrare il proprio gestore di password con un vero prodotto PAM. Si tratta di una soluzione che offre funzioni e funzionalità integrate come:
- Individuazione degli account privilegiati
- Controllo degli accessi basato sui ruoli (RBAC)
- Iniezione sicura delle credenziali
- Approvazione delle richieste di check-out
- Rotazione automatica e pianificata delle password
- Elevazione dei privilegi just-in-time
- Propagazione delle modifiche alle password
- Registrazione delle sessioni
- Report amministrativi e audit
- Politiche di approvazione integrate
Con una vera soluzione PAM, e non solo uno strumento di continuità operativa etichettato come gestore di password, le PMI ottengono il controllo totale e la visibilità sui loro account più importanti e sensibili (le cosiddette “chiavi del regno”).
Considerati i rischi crescenti e i costi potenzialmente catastrofici di una violazione dei dati, attualmente stimati in una media di 4,88 milioni di dollari USA per incidente, i dirigenti delle PMI non devono considerare il PAM come superfluo solo perché dispongono già di un gestore di password. Al contrario, il PAM dovrebbe essere considerato un requisito fondamentale e un investimento critico per il successo attuale e futuro della loro organizzazione.
“PAM per tutti gli altri!”
I dirigenti che ora si rendono conto di non disporre realmente di un PAM nella propria PMI (nonostante quanto potrebbe essere stato promesso dai fornitori di gestori di password!) non devono preoccuparsi. La strada da seguire è chiara: scoprire Devolutions PAM.
Devolutions PAM è una piattaforma di sicurezza essenziale progettata per controllare, monitorare e proteggere gli accessi elevati per utenti, account, processi e sistemi in tutta l’organizzazione. Si integra perfettamente con i sistemi aziendali, supporta un’ampia gamma di protocolli di sicurezza e rispetta gli standard di governance. E, altrettanto importante, Devolutions PAM è facilmente accessibile dal punto di vista economico ed è progettato specificamente per le PMI. Non comporta costi generali elevati e i nostri esperti sono pronti ad aiutare (senza costi aggiuntivi) per garantire un’implementazione rapida e senza intoppi.
In Devolutions, crediamo che, quando si tratta di accessi privilegiati, le PMI abbiano bisogno della stessa sicurezza solida e della stessa visibilità totale delle grandi imprese, ma senza restare impantanate in una complessità eccessiva, affrontare curve di apprendimento ripide o sforare i loro limitati budget per la sicurezza IT. Lo chiamiamo “PAM per tutti gli altri!”
PAM Champion
Siamo inoltre lieti di segnalare che Devolutions è stata recentemente nominata Champion 2025 nel report PAM Emotional Footprint di Info-Tech Research Group. Il report quantifica l’esperienza degli utenti in relazione al valore del prodotto e alla solidità del rapporto tra utente e fornitore. Devolutions ha ottenuto un punteggio Net Emotional Footprint perfetto di +100. Siamo stati anche una delle poche aziende a ricevere un feedback positivo al 100%, senza alcun sentiment negativo.
Per saperne di più e prossimi passi
Per saperne di più, ci contatti oggi stesso all’indirizzo sales@devolutions.net. La invitiamo inoltre a scoprire il nostro nuovissimo Starter Pack, che offre Devolutions PAM (e altro ancora) per un massimo di cinque utenti. Clicchi qui per saperne di più e avviare una prova gratuita.
La parte 3 è in arrivo
Nel prossimo episodio di questa serie, ci concentreremo su un altro ostacolo che, secondo il report del sondaggio, impedisce ad alcune PMI di adottare una soluzione PAM completa: la convinzione che l’autenticazione a più fattori (MFA) garantisca una sicurezza solida in tutta l’organizzazione e funga da “rete di sicurezza” per le pratiche di password inadeguate.
Esploreremo perché questa opinione è errata e condivideremo cosa possono fare le PMI per migliorare l’igiene delle password, rafforzare l’applicazione delle politiche e ridurre significativamente il rischio per la sicurezza IT.