Gestire le identità digitali tra rischi cyber e compliance

Oggi il tradizionale concetto di perimetro aziendale non esiste più: utenti, partner, applicazioni cloud, dispositivi connessi e sistemi di intelligenza artificiale interagiscono continuamente con dati e risorse distribuite, creando un ecosistema sempre più complesso da proteggere. In questo contesto, la gestione delle identità è diventata uno degli elementi strategici della cybersecurity moderna. Le organizzazioni si trovano, infatti, a governare migliaia di identità, umane e non umane, ognuna delle quali rappresenta un potenziale punto di accesso ai sistemi aziendali. Accessi che non possono essere più controllai in modo statico. Serve un modello di identity governance intelligente e adattivo, capace di valutare in tempo reale il contesto delle richieste, il livello di rischio associato e il comportamento degli utenti o delle applicazioni coinvolte una vola che l’utente si è autenticato.

L’integrazione tra gestione delle identità, sicurezza e analisi dei dati consente alle aziende di ottenere una visibilità completa, ridurre i rischi operativi e rafforzare la compliance. Il tutto senza introdurre complessità o rallentamenti nei processi aziendali. Ma come impostarne correttamene la governance e quali caratteristiche occorre tenere d’occhio negli strumenti da adottare? Per discutere di queste tematiche, Sailpoint, assieme a Soiel International, ha organizzato la tavola rotonda “Gestione delle identità: compliance e gestione del rischio nella nuova era della sicurezza digitale”, appuntamento in cui si sono confrontati CIO e CISO di alcune importanti realtà come Artsana, Saipem e Ministero degli Interni. Moderato dalla giornalista Claudia Rossi, l’evento si inserisce in un ciclo di incontri dedicati alle maggiori problematiche aziendali nell’attuale ecosistema digitale.

Queste le domande che hanno fatto da spunto alla tavola rotonda:

• Gestione delle identità digitali, quali azioni avete in atto o allo studio per abbattere i rischi cyber associati alle identità di dipendenti, partner, infrastrutture cloud, dati e agenti di intelligenza artificiale?
• Quali sono le principali sfide o criticità che state affrontando nell’attuazione della vostra strategia di gestione delle identità?
• A che tipo di partner vorreste affidarvi per assicurarvi il migliore governo delle identità digitali? Quanto è importante la sua capacità di affiancarvi come interlocutore unico, mettendo non solo a disposizione competenze tecniche, ma anche soluzioni in grado di rispondere a tematiche di compliance e governance?

Davide Barbarini, Group CISO & IT Infrastructure / IT Ops Director di Artsana

Il Gruppo Artsana è una multinazionale attiva nel settore della prima infanzia, con una solida presenza internazionale e marchi storici come Chicco, Boppy e Fiocchi di Riso, oltre alle insegne retail Prénatal, Bimbostore, Toys Center e FAO Schwarz. Negli ultimi anni il Gruppo ha avviato un rilevante percorso di trasformazione societaria e digitale che coinvolge processi, organizzazione e governance IT, in un contesto segnato dall’evoluzione normativa – inclusa la direttiva NIS2 – e da una crescente attenzione a resilienza e sicurezza informatica.

In questo quadro, Artsana sta ridefinendo la propria strategia di Identity & Access Management (IAM), cogliendo l’opportunità di progettare un modello più strutturato e scalabile, in grado di sostenere lo sviluppo del business e le esigenze di compliance. Le pratiche di gestione delle identità, già presenti e sviluppate nel tempo in linea con le necessità operative e le best practice, stanno evolvendo verso una maggiore formalizzazione e integrazione dei processi. L’adozione dell’autenticazione multifattore negli ambienti Microsoft costituisce un elemento consolidato su cui costruire ulteriori rafforzamenti del framework di sicurezza. La gestione di provisioning, ruoli e processi di onboarding e offboarding è oggetto di una progressiva razionalizzazione, con l’obiettivo di rendere i flussi più tracciabili, governati e automatizzati, in linea con un modello operativo più efficiente e standardizzato. In tale scenario, la NIS2 rappresenta non solo un obbligo normativo, ma una leva strategica per accelerare la maturità cyber e rafforzare la cultura della sicurezza. La crescente attenzione del management ha portato l’Identity Management al centro delle priorità aziendali, favorendo un allineamento sempre più stretto tra IT, business e funzioni di controllo.

È stato avviato un assessment strutturato per analizzare processi, flussi operativi e modelli organizzativi, con l’obiettivo di definire un framework IAM integrato. L’approccio si basa su evidenze concrete, considerando comportamenti degli utenti, modalità di accesso e utilizzo delle risorse, così da costruire un modello aderente alle dinamiche operative. La sfida dell’Identity Management non è esclusivamente tecnologica: le soluzioni sono mature, ma il fattore critico è la diffusione della cultura della sicurezza e la gestione del cambiamento. Il percorso di Artsana si distingue per un approccio trasversale che coinvolge HR, Legal, Compliance, Operations e Management, con l’obiettivo di costruire un modello condiviso e sostenibile.

Il programma prevede l’introduzione di processi strutturati per la gestione del ciclo di vita delle identità, inclusi onboarding, provisioning e gestione dei privilegi, con un’evoluzione verso modelli di autorizzazione dinamici basati su ruoli e contesto. Parallelamente, l’attenzione si estende alle identità non umane, includendo account di servizio, API e, in prospettiva, agenti basati su intelligenza artificiale. In un contesto di crescente adozione dell’AI, la capacità di governare queste identità diventa fondamentale per garantire sicurezza, controllo e continuità operativa.

Vincenzo Calabrò, Information Security Officer & Digital Forensics Analyst | Researcher | Trainer del Ministero dell’Interno

Il Ministero dell’Interno è una delle realtà più articolate della Pubblica Amministrazione. Il dicastero ha competenze che spaziano dalla sicurezza all’immigrazione, dalla cittadinanza alla protezione civile, dall’ANPR alle elezioni. L’operatività si svolge attraverso una struttura distribuita ed eterogenea. Una complessità che si riflette inevitabilmente anche sul piano IT: sistemi legacy sviluppati in epoche diverse, dipartimenti con esigenze autonome e migliaia di utenti istituzionali rendono la governance delle identità digitali una sfida strategica prima ancora che tecnologica. Negli ultimi anni, è stato avviato un processo di evoluzione dell’Identity e Access Management (IAM), passando da una gestione frammentata a un modello centralizzato. Fino a pochi anni fa, la situazione era caratterizzata da una notevole dispersione, con decine di sistemi informativi che gestivano separatamente l’autenticazione, utilizzando credenziali distinte e una gestione manuale delle utenze. Questa situazione ha reso difficile la tracciabilità, la sicurezza e l’uniformità. Oggi, la maturità è aumentata significativamente. Circa il 60-70% delle identità è stato consolidato attraverso un sistema IAM centralizzato, in grado di orchestrare autenticazione, autorizzazione e monitoraggio.

Tuttavia, la priorità non è solo la protezione del perimetro da minacce esterne, ma anche la prevenzione del rischio insider. In un contesto in cui gli operatori accedono a informazioni riservate e sensibili, diventa fondamentale implementare un sistema di controllo delle anomalie comportamentali. Per questo motivo sono stati sviluppati sistemi automatizzati di alerting: utenze dormienti, accessi anomali, interrogazioni eccessive o utilizzi inconsueti generano segnalazioni immediate. Il modello Zero Trust, oltre a conformarsi alle normative vigenti, ha rivoluzionato la gestione dei permessi, sostituendo il precedente sistema basato su regole fisse con un paradigma più flessibile e sicuro. In precedenza, l’accesso alla rete garantiva un’ampia libertà operativa, mentre oggi ogni accesso richiede una contestualizzazione e una motivazione dettagliata. L’utente può accedere esclusivamente alle informazioni necessarie e, in alcuni casi, è tenuto a indicare il procedimento amministrativo che giustifica la consultazione. Questa trasformazione ha portato a una riduzione significativa di abusi e rischi di accesso improprio.

Le principali sfide restano di natura culturale. L’eterogeneità del personale richiede una valutazione attenta delle misure di sicurezza adottate, che includono il principio del privilegio minimo, l’adozione di multifactor authentication, PIN dinamici e procedure avanzate di sicurezza. Il cambiamento è stato favorito dall’introduzione dello smart working, che ha contribuito a trasferire una maggiore consapevolezza cyber dall’ambiente domestico a quello lavorativo.

Recentemente, si è osservata una crescita dell’attenzione verso le identità non umane e l’utilizzo dell’intelligenza artificiale. API, account di servizio e sistemi automatizzati sono identità a tutti gli effetti, con un proprio ciclo di vita e rischi specifici. Il Ministero sta attualmente testando soluzioni avanzate di IA, tuttavia, si osserva una forte cautela: la responsabilità finale degli atti rimane personale e giuridicamente attribuita a chi firma; pertanto, la gestione dell’identità riveste un ruolo cruciale. Il prossimo passo vedrà il completamento della modernizzazione dei sistemi e l’accelerazione dell’integrazione tra piattaforme IAM, analytics e strumenti AI. Questo cambiamento richiederà anni e investimenti significativi, ma segna il passaggio da una sicurezza basata sul controllo perimetrale a un modello centrato sull’identità, sulla tracciabilità e sulla responsabilità.

Pieralessandro Ludovico, IT Service Integration Manager di Saipem

Saipem è uno dei principali gruppi industriali italiani attivi nell’ingegneria e nella costruzione di grandi progetti nei settori dell’energia e delle infrastrutture, sia offshore che onshore. Con una presenza globale, migliaia di dipendenti distribuiti tra sedi operative, cantieri e mezzi navali di costruzione e di perforazione, l’azienda gestisce un ecosistema IT estremamente articolato, dove la sicurezza delle identità digitali è un elemento strategico sia per la continuità operativa sia per la protezione dei dati industriali e dei clienti. Negli ultimi diciotto mesi abbiamo compiuto un’accelerazione significativa sul fronte dell’Identity and Access Management (IAM), avviando un percorso di strutturazione e automazione dei processi di gestione delle utenze. Un’evoluzione relativamente recente, ma che ha segnato un cambio di paradigma importante. Fino a poco tempo fa, infatti, non esisteva un processo centralizzato di gestione delle identità: molte attività venivano gestite attraverso strumenti sviluppati “in casa”, efficaci sul piano operativo ma limitati in termini di governance e scalabilità. La svolta è arrivata con l’introduzione della piattaforma SailPoint, adottata per costruire un framework strutturato di Joiner, Mover, Leaver (JML) dedicato alla gestione del ciclo di vita delle utenze. Contestualmente, il gruppo aveva già implementato sistemi di multifactor authentication basati su tecnologie Microsoft, ma il vero salto di maturità è stato l’integrazione di identità, workflow e servizi aziendali all’interno di un modello unificato.

La complessità dell’ambiente Saipem deriva soprattutto dalla natura del suo business, che vede la popolazione aziendale distinta in “white collar”, composta dal personale office, e “blue collar”, con operatori di cantiere, personale navale e workforce distribuita in contesti remoti o poco connessi. È proprio quest’ultima componente a rappresentare una delle sfide più delicate per la gestione delle identità digitali. Sulle navi o nei cantieri offshore esistono sistemi che lavorano in modalità disconnessa o con aggiornamenti limitati. In alcuni casi le postazioni sono condivise tra operatori che si alternano rapidamente. Questo scenario sta portando alla luce la necessità di formalizzare processi rigorosi di accesso e provisioning, trasformando pratiche informali in procedure strutturate e controllabili. Un altro elemento centrale riguarda la gestione degli utenti esterni. In Saipem gran parte dell’IT è, infatti, esternalizzato: fornitori e partner tecnologici accedono a server, sistemi e dati sensibili dei clienti. Di conseguenza, il focus della security non riguarda solo gli utenti interni, ma soprattutto il controllo degli accessi privilegiati dei partner. L’obiettivo è garantire tracciabilità, segregazione dei privilegi e controllo continuo sugli account amministrativi.

La vera difficoltà nell’implementazione di SailPoint non è stata tanto installare la piattaforma, quanto integrarla con l’ecosistema esistente. Il dialogo tra sistemi MyHR interni, ServiceNow, CMDB e servizi applicativi ha richiesto mesi di lavoro, soprattutto nelle country estere con approcci differenti nella gestione delle utenze. Il risultato è che oggi l’identità digitale non coincide più con il semplice accesso al computer, ma rappresenta il punto di ingresso a un insieme articolato di servizi e applicazioni. Per arrivare a questo la mappatura dei servizi e delle dipendenze applicative è stata ovviamente una priorità strategica. Il prossimo passo sarà l’evoluzione verso modelli IAM più dinamici. Dopo una prima fase focalizzata su governance e integrazione, stiamo preparando la “fase 2” del progetto, con l’obiettivo di introdurre livelli più avanzati di automazione e gestione dinamica dei privilegi. Un percorso che punta a trasformare IAM da semplice strumento operativo a piattaforma centrale per la sicurezza, la compliance e la governance digitale del gruppo.

Andrea Solaroli, Regional VP Sales, Country Manager, Identity Security & SaaS EMEA di SailPoint, e Angelo Colesanto, Identity Strategist EMEA di SailPoint

Oggi l’identità non è più una semplice linea di difesa, ma il vero nucleo operativo delle aziende. In ecosistemi frammentati – tra cloud ibridi, forza lavoro distribuita e l’esplosione delle identità non umane (machine identity) – fermarsi alla sola autenticazione o a elementi basilari di provisioning è un rischio inaccettabile. In questo scenario di estrema complessità interviene SailPoint, pioniere e leader globale nell’Identity Security, non si limita a governare gli accessi, ma li trasforma in un vantaggio strategico, garantendo che ogni identità operi in totale sicurezza e agilità.

Tale approccio parte da un presupposto semplice: autenticare un utente non significa autorizzarlo a fare qualsiasi cosa. L’identità non coincide con la password, ma con l’insieme di privilegi, autorizzazioni, ruoli e responsabilità che definiscono ciò che una persona (o un sistema) può fare all’interno dell’organizzazione. Per spiegare il concetto, utilizziamo spesso la metafora della casa: entrare non significa poter accedere a tutte le stanze. Da qui nasce il concetto di Identity Governance, ovvero la capacità di sapere sempre “chi può fare cosa, quando e perché”. Una visione che supera il modello statico tradizionale e introduce logiche di controllo dinamico e contestuale.

Se fino a pochi anni fa le policy di accesso erano costruite su regole fisse e ruoli permanenti, oggi le organizzazioni devono adattarsi a scenari molto più fluidi: utenti interni ed esterni, smart working, fornitori, account macchina, API e persino agenti AI autonomi. Per questo Sailpoint parla di “real-time governance”: una governance delle identità in tempo reale, capace di assegnare e revocare permessi dinamicamente in funzione del contesto operativo. L’obiettivo è applicare concretamente il principio del least privilege, secondo cui ogni utente deve possedere solo i privilegi indispensabili per svolgere il proprio compito e solo per il tempo necessario. È un cambio di paradigma importante. Nel modello tradizionale, molti privilegi rimangono attivi in modo persistente anche quando non servono più, aumentando il rischio di abusi. Il nuovo approccio punta invece verso modelli “zero standing privilege”, nei quali i privilegi elevati vengono concessi temporaneamente, su richiesta e con scadenza automatica. Questo riduce la superficie di attacco e limita l’esposizione in caso di furto credenziali o compromissione degli account.

Un altro pilastro dell’offerta SailPoint è, poi, la gestione completa del ciclo di vita di ogni tipologia di identità attraverso il modello JML (Joiner, Mover, Leaver) che automatizza la creazione, modifica e revoca delle utenze in base ai cambiamenti organizzativi. Un dipendente che cambia ruolo, un consulente che termina un contratto o un collaboratore che necessita di accessi temporanei, una identità non umana necessaria a un nuovo servizio, o un accesso eccezionale necessario ad un agente per svolgere temporaneamente un compito, diventano eventi governati automaticamente, riducendo errori manuali e privilegi residui.

La piattaforma integra, inoltre, capacità di discovery automatica e monitoraggio continuo delle identità non umane: service account, API key, bot e agenti AI. Secondo SailPoint, nei prossimi anni il rapporto tra identità umane e non umane potrebbe arrivare uno a mille, rendendo impossibile una gestione manuale. La discovery diventa quindi fondamentale per individuare shadow AI e credenziali dimenticate che continuano a rappresentare un rischio latente. Ma la tecnologia da sola non basta. Serve una collaborazione continua tra processi organizzativi, IT e board aziendale. La governance delle identità deve diventare un abilitatore del business, uno strumento per accelerare la trasformazione digitale in modo controllato e conforme alle normative. In questo scenario, Identity Governance e Zero Trust non possono rappresentare progetti separati, ma componenti di una stessa strategia: perché nel mondo digitale di oggi sapere chi entra è importante, ma sapere cosa sta facendo lo è ancora di più.