La complessità delle reti aziendali moderne
Le reti aziendali moderne sono ambienti altamente complessi che si basano su centinaia di applicazioni e servizi infrastrutturali. Questi sistemi devono interagire in modo sicuro ed efficiente senza una supervisione umana costante, ed è qui che entrano in gioco le identità non umane (NHI). Negli ultimi anni, le NHI — che includono segreti delle applicazioni, chiavi API, account di servizio e token OAuth — sono esplose grazie a una gamma sempre più ampia di app e servizi che devono collaborare e identificarsi al volo. In alcune aziende, le NHI superano le identità umane con un rapporto di 50 a 1.
I rischi e le sfide delle NHI
Tuttavia, le NHI introducono rischi unici e sfide di gestione che tengono i leader della sicurezza in allerta. Secondo un recente rapporto di Enterprise Strategy Group, il 46% delle organizzazioni ha subito compromissioni di account o credenziali NHI nell’ultimo anno, e un altro 26% sospetta di averle subite. Non sorprende che le NHI — e le difficoltà che presentano in termini di supervisione, riduzione del rischio e governance — siano state un argomento ricorrente al CISO Forum di Okta. Qui esploreremo la loro ascesa, i rischi e come i CISO e i leader della sicurezza le gestiscono oggi.
L’ascesa spettacolare delle NHI
L’aumento delle NHI può essere ricondotto all’uso crescente di servizi cloud, intelligenza artificiale e automazione, e flussi di lavoro digitali. È una tendenza destinata a continuare, poiché sempre più compiti vengono automatizzati e gli esseri umani diventano meno parte dell’equazione. Le NHI consentono alle app di autenticarsi tra loro, sia all’interno di un dominio specifico che con applicazioni di terze parti come i servizi cloud. Questi segreti, chiavi e token sono sensibili quanto le credenziali utilizzate dagli esseri umani e, in alcuni casi, anche di più, poiché possono fornire agli avversari un accesso potente a specifiche applicazioni e servizi se vengono divulgati.
La risposta dei CISO
I CISO stanno prendendo nota. Infatti, oltre l’80% delle organizzazioni prevede di aumentare la spesa per la sicurezza delle identità non umane. Secondo Mark Sutton, CISO di Bain Capital, “Le identità non umane sono diventate un focus per i team in base alla maturità dei loro programmi di gestione delle identità e degli accessi. Sta rapidamente diventando il prossimo grande problema perché le persone hanno in qualche modo risolto le identità degli utenti. La progressione naturale è quindi iniziare a guardare agli account di servizio e alle identità non umane macchina-a-macchina, comprese le API”.
La protezione delle NHI
In sintesi, una volta che le organizzazioni stabiliscono protocolli solidi per la sicurezza delle identità umane, il passo logico successivo è affrontare le NHI. “Questo, e le identità non umane fanno parte del panorama delle minacce, ed è lì che gli attaccanti si stanno dirigendo”. Come qualsiasi altro set di credenziali, le NHI sono sensibili e devono essere protette. Ma mentre gli esseri umani possono impiegare misure di sicurezza robuste come l’autenticazione a più fattori o la biometria per proteggere le credenziali sensibili, le NHI spesso si affidano a misure meno sicure per l’autenticazione, rendendole bersagli facili per gli attaccanti.
Fonte: The Hackers News
