Gestione degli accessi privilegiati (PAM)
La gestione degli accessi privilegiati (PAM) protegge, controlla e monitora gli accessi con privilegi elevati ai sistemi e ai dati più critici di un'organizzazione, combinando una cassaforte per le credenziali, il controllo delle sessioni, l'accesso just-in-time e l'auditing. Scopri come funziona il PAM, quali sono le sue funzionalità principali, i casi d'uso più comuni e in che cosa si differenzia dall'IAM.
Che cos'è la gestione degli accessi privilegiati (PAM)?
La gestione degli accessi privilegiati è la pratica che consiste nel proteggere, controllare e monitorare gli accessi elevati ("privilegiati") ai sistemi e ai dati più critici di un'organizzazione. Gli account privilegiati - amministratori, root, account di servizio e simili - possono modificare le configurazioni, raggiungere dati sensibili e aggirare i controlli ordinari. Questo potere li rende il bersaglio principale nella maggior parte delle violazioni gravi. Il PAM riduce il rischio eliminando gli accessi permanenti, nascondendo le credenziali e rendendo verificabile ogni azione privilegiata.
Che cosa si intende per accesso privilegiato?
Per accesso privilegiato si intende qualsiasi accesso che comporta diritti elevati rispetto a quelli di un utente standard. Alcuni esempi comuni:
- Account amministratore - amministratori locali e di dominio su server e workstation.
- Account root e superuser sui sistemi Linux e Unix.
- Account di servizio e di macchina che eseguono processi automatizzati.
- Account dell'infrastruttura cloud con ampie autorizzazioni sulla console o sulle API.
- Credenziali di amministratore di database, dispositivi di rete e hypervisor.
Ognuno di essi può apportare modifiche di vasta portata o esporre informazioni sensibili: ecco perché vengono governati in modo diverso rispetto agli account utente ordinari.
Come funziona il PAM?
Una soluzione PAM porta gli account privilegiati sotto controllo centralizzato grazie a diverse funzionalità fondamentali:
- Conservazione delle credenziali in cassaforte - password, chiavi e segreti privilegiati vengono archiviati in forma cifrata invece di restare nelle mani degli utenti.
- Iniezione e brokering delle credenziali - le credenziali vengono inserite nelle sessioni senza essere rivelate all'utente.
- Gestione delle sessioni privilegiate - le sessioni verso i sistemi critici vengono instradate tramite proxy, monitorate e registrate, spesso attraverso un privileged session manager (PSM).
- Accesso just-in-time (JIT) - i diritti elevati vengono concessi per un intervallo di tempo limitato e revocati automaticamente, eliminando i privilegi permanenti.
- Rotazione delle credenziali - le password privilegiate vengono modificate automaticamente secondo una pianificazione o dopo ogni utilizzo.
- Auditing e reportistica - ogni prelievo, sessione e azione viene registrato ai fini di revisione e conformità.
Casi d'uso comuni del PAM
Le organizzazioni adottano il PAM soprattutto per:
- Controllare l'accesso di terze parti e fornitori - concedere ai tecnici esterni un accesso limitato nell'ambito e nel tempo senza consegnare le password.
- Proteggere gli account di servizio e di automazione - conservare in cassaforte e ruotare le credenziali non umane utilizzate da script e applicazioni.
- Fornire un accesso di emergenza (break-glass) - rendere disponibile l'accesso privilegiato d'emergenza in modo controllato e completamente verificabile.
- Governare le infrastrutture cloud e ibride - applicare controlli coerenti alle console on-premise e cloud.
- Soddisfare i requisiti di audit e conformità - produrre prove di chi ha avuto accesso a cosa e quando.
PAM e IAM: qual è la differenza?
La gestione delle identità e degli accessi (IAM) governa le identità e gli accessi quotidiani dell'intera popolazione di utenti. Il PAM è una disciplina mirata all'interno di questo ambito, che riguarda specificamente il numero ridotto di account con privilegi elevati e ad alto rischio. In sintesi, l'IAM gestisce l'accesso di tutti; il PAM gestisce quegli accessi potenti che, se utilizzati in modo improprio, potrebbero causare i danni maggiori.
| IAM | PAM |
|---|---|
| Governa le identità e gli accessi dell'intera base di utenti. | Governa nello specifico gli account privilegiati, elevati e ad alto rischio. |
| Si concentra su autenticazione, provisioning e accessi quotidiani. | Si concentra su cassaforte, controllo delle sessioni, accesso JIT e rotazione. |
Perché il PAM è importante?
Le credenziali privilegiate compromesse sono all'origine di una quota rilevante dei principali incidenti di sicurezza, perché conferiscono a un attaccante la portata d'azione di un amministratore fidato. Il PAM riduce questa esposizione eliminando i privilegi permanenti, tenendo le credenziali fuori dalla portata degli utenti e limitando ciò che un singolo account può fare. Produce inoltre la traccia di audit che framework come SOC 2 e ISO 27001 richiedono per le attività privilegiate, risultando quindi centrale sia per la sicurezza sia per la conformità.
Domande frequenti
Che cos'è la gestione degli accessi privilegiati (PAM)?
La gestione degli accessi privilegiati (PAM) è la pratica che consiste nel proteggere, controllare e monitorare gli accessi con privilegi elevati ai sistemi e ai dati più critici di un'organizzazione. Combina la conservazione delle credenziali in cassaforte, il controllo delle sessioni, l'accesso just-in-time e l'auditing, in modo che gli account privilegiati vengano utilizzati solo quando necessario, dalle persone giuste e con una registrazione completa delle attività.
Qual è la differenza tra PAM e IAM?
La gestione delle identità e degli accessi (IAM) governa le identità e gli accessi quotidiani dell'intera popolazione di utenti, mentre la gestione degli accessi privilegiati (PAM) è una disciplina mirata che riguarda specificamente gli account con privilegi elevati e ad alto rischio, come gli account amministratore, root e di servizio. L'IAM gestisce l'accesso di tutti; il PAM gestisce quegli accessi potenti che, se utilizzati in modo improprio, potrebbero causare i danni maggiori.
Quali sono le funzionalità principali di una soluzione PAM?
Una soluzione PAM offre in genere la conservazione delle credenziali in cassaforte, l'iniezione delle credenziali, la gestione e la registrazione delle sessioni privilegiate, l'accesso just-in-time, la rotazione automatica delle credenziali e un auditing dettagliato. Insieme, queste funzionalità eliminano i privilegi permanenti, mantengono le credenziali nascoste agli utenti e rendono tracciabile ogni azione privilegiata.
Gestione degli accessi privilegiati con Devolutions
Proteggi, ruota e verifica ogni account privilegiato nella tua infrastruttura.
Termini correlati
Gestore di sessioni privilegiate (PSM)
Controlla, monitora e registra le sessioni privilegiate verso i sistemi critici.
Leggi ora →Privilegio minimo
Concedere agli utenti solo l'accesso necessario per svolgere le proprie responsabilità.
Leggi ora →Gestione delle identità e degli accessi (IAM)
Autenticare le identità e consentire loro di accedere alle risorse di cui hanno bisogno.
Leggi ora →