Alla promessa di una maggiore produttività si affiancano però tutta una serie di rischi associati alla sicurezza. Che fare? Anzitutto, pianificare una strategia che tenga conto della centralità della profilazione degli utenti, non sottovaluti l’impatto del fenomeno BYOD, comprenda adeguati strumenti di monitoraggio e misurazione e sia in linea con la normativa vigente. E poi, dotarsi delle migliori tecnologie di sicurezza presenti sul mercato.Il mobile trasforma la realtà. Lo sportello bancario è un’app. E la finanza corre sul digitale. Altro che posta elettronica e Office dal telefonino. Cambiamenti reali e potenziali sono la cifra di questa metamorfosi. Secondo l’Accenture Mobility Survey 2013, il 73% dei decisori in azienda ritiene che il mobile avrà un impatto ancora più forte di quello che ebbe il web solo un decennio fa[1]. A partire dal volume di investimenti che già oggi – almeno nelle intenzioni dei CIO – hanno rapidamente raggiunto la top three delle priorità, piazzandosi dietro solo alla business intelligence e agli analytics, come conferma la ricerca realizzata alla fine del 2013 dalla School of Management del Politecnico di Milano su un campione di circa 200 aziende di medie e grandi dimensioni[2].

Allestire un ambiente che consenta al proprio personale di connettersi alle risorse aziendali e lavorare da casa oppure in viaggio, attrae collaboratori di qualità, aumenta la produttività e la soddisfazione sul lavoro. Tutti fattori critici di successo che producono benefici e risparmi quantificabili[3]. Un cambio di paradigma.

Non a costo zero però. E che richiede un’attenta valutazione di fattori importanti quali la privacy degli utenti e la sicurezza dei dati, aspetti entrambi critici per lo sviluppo del mobile, sul cui terreno si consuma un confronto anche duro tra i fautori del cambiamento e i loro oppositori. Il solco è delineato, ma molto rimane ancora da fare.

I RISCHI CONNESSI AL MOBILE

Di certo per una significativa fascia di utenti, l’accesso da mobile a dati e applicazioni è parte integrante della loro esperienza di lavoratori e clienti. Secondo il Cisco Mobility Survey 2013[4], circa la metà delle organizzazioni interpellate dichiara di consentire ai propri collaboratori l’utilizzo di smartphone e tablet personali sulla rete aziendale. Perciò riuscire a creare e mantenere per loro una strategia di gestione dei device diventa un fattore critico per il successo nel business. A partire dall’analisi di una serie di rischi associati. Ne sanno qualcosa i CIO che devono cercare di dominare l’ampiezza della superficie d’attacco sul mobile: canali di comunicazione, vulnerabilità del dato e dei dispositivi, ecc. E rispondere alla domanda di capacità della rete che cresce sia in termini di numero di dispositivi connessi sia di banda.

Quello di fornire all’hardware, l’accesso sicuro alla rete aziendale in realtà non è né un problema nuovo né risolto. Secondo quanto riporta lo studio Cisco Connected World Technology Report[5], ben sette intervistati su dieci ammettono di aver infranto una o più policy di sicurezza aziendali e di continuare a farlo; per tre intervistati su cinque, quello della sicurezza poi non è un loro problema, nel senso che non si sentono responsabili della protezione dei device né dei dati aziendali. Aspetto quello della sicurezza di dati e dispositivi in cima invece alle preoccupazioni dei manager IT europei, e da loro stessi indicata quale prima priorità da risolvere in relazione al processo d’integrazione del mobile all’interno dell’infrastruttura IT (IDC Mobility Survey 2013)[6].

I rischi per la sicurezza partono dai dispositivi.È notizia di questi giorni l’arrivo dello smartphone con lo spyware preinstallato[7]. Non stupisce più di tanto allora, l’ennesima rilevazione della crescita del numero di attacchi mirati agli utenti mobile, in genere meno smaliziati rispetto agli omologhi utilizzatori di pc. Secondo uno studio Ponemon, solo nell’ultimo anno il 68% dei dispositivi mobili è stato colpito da malware, in continua mutazione[8]. Lo spam per esempio assomiglia sempre più ai messaggi provenienti da applicazioni mobile come WhatsApp, Viber e Google Hangouts. Lo rileva un report pubblicato da Kaspersky relativo al primo trimestre del 2014 che evidenzia la crescita del phishing, trainato dalla diffusione dei dispositivi Apple[9]. Note dolenti arrivano anche dalle app. Secondo lo studio “Securing Applications in the Wild with Application Hardening and Run-Time Protection,”[10] redatto da Arxan Technologies, partner IBM, il 78% delle 100 applicazioni iOS e Android più diffuse risulta essere manomesso e l’86% del malware su mobile in circolazione è veicolato da applicazioni legittime spacchettizzate, virate e reintrodotte sui market ufficiali. I dati su furti e perdite poi rimangono scandalosamente alti[11]. Se questo è il frame, non serve la sfera di cristallo per vaticinare un roseo futuro al mobile come vettore di trasmissione di infezioni. Per fortuna aumenta anche laconsapevolezza degli utenti che adottano comportamenti più allineati alla pericolosità delle minacce.La crescita del traffico crittografato su Internet (Snowden docet) così come la crescita della domanda di maggiore sicurezza di app e smartphone, lo dimostrano plasticamente. Riflettere su questi dati in rapporto alla propria azienda aiuta a comprendere meglio il livello di rischio che si corre. Un tassello importante nell’elaborazione di una strategia mobile.

ALLA RICERCA DI UNA STRATEGIA

In un contesto in cui la forza lavoro ha sempre più campo libero nell’adozione di device propri, il confine tra dati di proprietà dell’utente e aziendali rischia di diventare introvabile. A farne le spese la chiarezza sulle competenze e le responsabilità degli attori. All’azienda deve essere consentito l’accesso ai dispositivi e alle info residenti sul device personale del proprio collaboratore? Le policy di sicurezza si applicano anche a questi dispositivi? Le domande potrebbero moltiplicarsi.

Decidere di non decidere oppure lasciarsi travolgere dagli eventi può costare caro. Secondo una ricerca congiunta IBM/Ponemon Institute, i costi derivanti dalla perdita di dati sono aumentati di oltre il 15% rispetto all’anno precedente attestandosi su una media di 3,5 milioni di dollari per azienda[12]. L’organizzazione può davvero permettersi questa mancanza di sicurezza?[13]. Altrettanto deleteria è l’ingiustificata permissività, capace di gettare nello sconforto l’intero reparto IT per il quale avere il quadro di ciò che avviene sulla rete è centrale. E centrali sono gli investimenti e le tecnologie.

Ma qui i numeri raccontano un’altra storia. Come rileva IDC, le dimensioni del mercato dei software di sicurezza per il mobile è ristretto in relazione ad altri segmenti. Ma in crescita. IDC stima in 890 milioni di dollari di fatturato il valore del mercato nel 2012, in aumento di oltre il 30% rispetto al 2011 (+30.6% anno su anno). Prevedendo altresì che la crescita possa continuare almeno per altri due anni, con un tasso medio (compound annual growth rate – CAGR) del 22.3%, raggiungendo la quota di 2.4 miliardi di dollari nel 2017. Per quanto riguarda l’Italia, la domanda di soluzioni di security strutturate, anche se più contenuta rispetto al resto d’Europa, è comunque in forte evoluzione rispetto all’anno precedente. «Oltre il 50 % delle aziende medio grandi del nostro campione stanno adottando programmi di BYOD o BYOC formali. L’obiettivo delle aziende italiane è quello di cominciare ad avere strumenti per tenere sotto controllo oltre al parco dei device anche i contenuti aziendali in circolazione: distribuzione e gestione delle applicazioni sono le priorità del momento» – ci dice Daniela Rao, research director di IDC Italia.

PROTEGGERE I DEVICE O I DATI?

La realizzazione di un ambiente produttivo e allo stesso tempo sicuro non s’improvvisa. Occorrono investimenti all’altezza e consapevolezza degli obiettivi commisurati alla volontà di integrazione e gestione dei device mobile. E un’analisi veritiera della propria postura. Tipicamente, un accesso limitato e controllato è la modalità scelta da quelle organizzazioni il cui business richiede uno stretto controllo delle informazioni. Parliamo di enti e istituzioni governative, strutture sanitarie e molte altre realtà, i cui soli dispositivi ammessi sono quelli forniti dall’organizzazione stessa. Poche le regole e particolarmente restrittive; device blindati, app controllate, BYOD manco a parlarne. All’estremo opposto, una policy mobile pensata per consentire l’accesso ad alcuni servizi di base e a un numero esteso di utenti. Parliamo di strutture scolastiche, università, biblioteche, tra le prime ad adottare policy ad hoc per governare il fenomeno BYOD e permettere a studenti, professori, personale di supporto, di accedere alla rete e alle risorse nel modo più agevole possibile. La stragrande maggioranza delle risorse in queste organizzazioni è pensata perché possa essere utilizzata, non impedita. Tracciato il perimetro, al suo interno le possibilità assumono ampie sfumature.

Riflettere sulle proprie necessità di mobilità aiuta a elaborare la strategia a partire dall’architettura IT più adatta a supportare gli obiettivi. A patto però di partire con il piede giusto. Per i pc, la scelta è stata quella di proteggere l’endpoint, i dati e la rete. La ricetta antivirus, firewall e un ulteriore strato di sicurezza sul device ha prodotto però risultati discutibili. Tuttavia, lo stesso approccio – almeno inizialmente – è stato trasferito di peso per gestire la sicurezza dei dispositivi mobili, partendo da presupposti condivisi: impedire alle persone di fare le cose più rischiose; scansioniare periodicamente il device, mettere in apposite blacklist le app cattive; e ancora, insistere sulla robustezza delle password o del PIN code, lasciando magari che sia lo stesso ad abilitare la crittografia del dato sul device. La cosa non ha funzionato granché. Anche per il rifiuto da parte dell’utenza di mettere in pratica queste misure, con tutto il corollario di rivisitazioni fantasiose della sicurezza da parte dell’utilizzatore. Semplificando parecchio, il manicheo dilemma – meglio un approccio concentrato sulla difesa del device o un’architettura per la mobility, integrata con quella esistente e incentrata sulla protezione del dato e delle applicazioni – non ha retto alla prova costume con la realtà.

Serve forse un radicale ripensamento. Partendodalla constatazione che il device non è sicuro, così come non lo sono i dati al suo interno. E che una qualche forma di isolamento dalla rete, qualora ciò si rendesse necessario, è il minimo sindacale per parlare di governance del processo. E l’IT necessita sempre di tutta la visibilità possibile sul traffico mobile in transito sulla rete aziendale per intercettare e bloccare qualsiasi forma di attacco. Intendiamoci, non è contro questa o quella soluzione che qui si vuole puntare il dito. È la situazione a essere ancora piuttosto fluida. Per alcune realtà, è più importante fare qualcosa, qualsiasi cosa, pur di non rimanere al palo. E il modello che mette al centro una soluzione MDM sembra essere per alcuni ancora l’approccio migliore, il più familiare. Latore talvolta di un ingannevole senso di sicurezza.

Prendiamo le applicazioni. Ci sono aziende che ne utilizzano centinaia, sviluppate in proprio negli anni oppure di terze parti. Quando si presenta la necessità di portare sul mobile una parte di queste app, le stelle polari da cui partire sono organizzazione, sicurezza e controllo; con quel livello di granularità necessario per effettuare tutte quelle attività costitutive del lavoro dell’IT, indipendentemente dall’approccio adottato dall’organizzazione. Tra queste attività ci sono il deployment, la sicurezza, gli analytics, la sincronizzazione dei dati, lo storage, la version control, la possibilità di fare il debug da remoto di un problema sul device, oppure il wipe – la cancellazione dei dati, qualora ciò si renda necessario per esempio in seguito a un furto o a uno smarrimento dello stesso o semplicemente perché un collaboratore se ne va. Il secondo elemento costitutivo di un approccio efficace alla sicurezza del dato è l’integrazione di meccanismi di crittografia forte. Ora la corretta gestione delle chiavi crittografiche inizia smarcandosi dal device: utilizzarne il PIN code come chiave di crittografia significa rischiare di mandare tutto a gambe all’aria nel momento stesso in cui qualcuno riesce a manomettere il dispositivo o a guadagnare l’accesso root. Le chiavi di crittografia sulla piattaforma iOS per esempio sono generate utilizzando il pin code del device e per qualunque malintenzionato un PIN numerico di quattro cifre spacciato da barriera di protezione produce un effetto risibile. Un pin robusto – più lungo e che combina caratteri diversi (minuscole, maiuscoli, numeri e caratteri speciali) – tiene a distanza i malintenzionati, e qualche volta purtroppo anche qualche utente. Dopo l’autenticazione, il sistema di sicurezza deve generare chiavi di crittografia valide solo per ogni singola sessione. L’assunto su cui si regge tutta l’architettura è la solidità del modello di autenticazione. Il terzo elemento da considerare è la presenza di un sistema di autenticazione e accesso – idealmente lo stesso utilizzato per accedere alla rete aziendale – affidabile (IAM). La promessa delle soluzioni IAM è di garantire un accesso sicuro ad applicazioni e risorse da qualsiasi luogo e dispositivo. Più in dettaglio, con il termine Identity and access management, si definiscono una serie di funzionalità che riguardano la compliance alla normativa, la governance dei sistemi IT, le richieste di accesso e di provisioning, la gestione delle password, dell’SSO (single sign-on) e degli accessi al web, erogabili on-premise o in modalità cloud as a service (IDaaS). Ora questi sistemi piuttosto diffusi nelle realtà medio grandi sono quasi degli oggetti misteriosi in tutte le altre. Ci si domanda quali fattorifrenino le aziende dal migrare verso le soluzioni IAM (e IDaaS)? Molti. Budget, mancanza di uomini e cultura. E verso le soluzioni IAM in modalita IDaaS anche i timori per la perdita di controllo sui dati, la compliance e la privacy dei dati. Su quest’ultimo aspetto però si apre un mondo. Nel senso che la sensibilità al problema varia enormemente da un paese all’altro. Meno sensibili le aziende USA e molto di più attente invece le aziende europee o asiatiche. Ma si tratta anche di un problema culturale.

Uno dei i vantaggi della migrazione da un servizio IAM tradizionale a uno su cloud è la rapidità di implementazione e utilizzo del servizio. Trattandosi però di un passaggio impegnativo per l’organizzazione che decide di fare il grande salto, serve una preparazione adeguata anche dal punto di vista tecnico. Per esempio, l’IAM distribuito come servizio richiede una configurazione ad hoc, diversa da quella richiesta da soluzioni customizzate dove la mappatura della tecnologia avviene direttamente su processi di business esistenti. Da una prospettiva di business, una delle sfide maggiori è quella di essere pronti a fare degli investimenti nella gestione dei processi, governando al meglio i cambiamenti che ciò comporta. Detto questo, riuscire a portare i processi correlati alla gestione degli accessi e delle identità sul cloud introduce maggiore flessibilità nell’organizzazione, in termini di definizione di chi lavora per l’azienda, con quali responsabilità, da quanto tempo… E consente di utilizzare le policy esistenti o crearne di nuove, estendendole ben oltre i confini fisici dell’azienda, creando ambienti virtuali che possono essere spenti rapidamente quando non servono più. In questo senso, una delle opportunità più interessanti che l’IDaaS introduce è quella di permettere la realizzazione di molteplici ambienti personalizzabili a seconda delle esigenze e riferibili a uno specifico gruppo di utenti, settando accessi e privilegi, organizzando specifici flussi di lavoro e controlli. Un nuovo paradigma che delinea un’organizzazione senza più alcun confine fisico che può virtualmente estendersi senza limiti.

CONCLUSIONI

La pervasività e la pressione di fenomeni come il BYOD nei confronti all’organizzazione non vanno sottovalutati. Così come non vanno sottovalutate le esigenze dell’azienda. Ci sono realtà che avendo minori vincoli in relazione alla mobility ne incoraggiano l’utilizzo. In altre invece, la stragrande maggioranza dei dati deve essere protetta al massimo grado. Perciò è importante procedere a seconda delle proprie esigenze e in sicurezza. Si tratta di un processo che non si esaurisce nella mera scelta di campo tra protezione del device o del dato. Si tratta semmai di stabilire il giusto equilibrio. Se si mette in campo la miglior sicurezza possibile, chiudendo tutte le finestre verso l’esterno, diventa molto difficile riuscire a utilizzare il device. D’altra parte, affrancarne troppo l’utilizzo da un set di regole precise comporta il rischio di fallire l’obiettivo di ottenere tutta la sicurezza necessaria che serve. È una questione di equilibrio, un giusto mix di entrambe le tensioni. Fatto di scelte a volte anche difficili. Sapendo che il trade-off tra usability e sicurezza assomiglia a una coperta sempre troppo corta. In ogni strategia di sicurezza poi come ben sa l’IT, l’efficacia della tecnologia si misura dall’utilizzo che ne fanno le persone. L’education è il fattore che determina il successo o il fallimento di un progetto. Per questo, gli utenti vanno continuamente pungolati, sia che si tratti di denunciare il furto o lo smarrimento del device sia che si tratti di metterli in condizione di scegliere l’applicazione giusta per le loro esigenze. Il personale va coinvolto, incoraggiato a partecipare alla corretta gestione della sicurezza, aumentando in loro il senso di consapevolezza con aggiornamenti continui sulle migliori best practice di sicurezza da adottare. Il futuro è mobile.

L'articolo Mobile device blindati: strategie e soluzioni proviene da Data Manager Online.

A prima vista, può sembrare un bene che le aziende italiane investano buona parte delle risorse per aggiornare i loro sistemi amministrativi e gestionali. In realtà, non si tratta di un indice attendibile per misurare il livello di digitalizzazione dell’impresa. Più indicativi altri parametri, come gli investimenti nei servizi cloud, per stimare la loro propensione all’innovazione. E la situazione – almeno a giudicare da quanto emerge dalla ricerca “The Adoption of Cloud-Based Services – Increasing confidence through effective security” commissionata da CA Technologies (www.ca.com/it/default.aspx) su scala europea – ci restituisce uno spaccato della realtà fatto di luci e ombre. In Italia, il paradosso è la diffusa convinzione che il cloud sia diventato il modello predominante per erogare i servizi informatici di base, mentre dallo studio emerge un’altra realtà fatta da quasi un terzo di aziende che evita l’adozione dei servizi cloud o nel migliore dei casi, li valuta volta per volta. «Una buona metà delle aziende intervistate si posiziona come chi questi servizi già li adotta per ottimizzare la capacità dei propri servizi on-premise oppure, caso per caso, a seconda delle esigenze. L’altra metà però non li utilizza e si definisce più scettica» – aggiusta il tiro Antonio Rizzi, senior director, practice services di CA Technologies.

L’Italia risulta spaccata sul crinale della sicurezza dei dati, e questa è la principale barriera all’adozione del cloud, stando ai risultati della survey. Una paura trasversale che accomuna scettici ed entusiasti. «Nello specifico le differenze tra queste due categorie spiccano nel momento in cui si analizza la loro propensione nei confronti dei sistemi di identity management. Gli entusiasti hanno un sistema di IAM – on premise o su cloud – e una certa familiarità con le tematiche di sicurezza associate, carenti invece in chi si posiziona nel quadrante degli scettici. La paura di esporsi a rischi di sicurezza, particolarmente sentita da chi non ha esperienza con queste tematiche, è il fattore che maggiormente frena l’adozione di servizi di business in cloud» – afferma Rizzi. Ogni settore poi esprime i suoi timori in modo diverso: «Gli intervistati appartenenti al mondo finance concentrano le loro preoccupazioni soprattutto sugli aspetti di compliance, sistemi di pagamento e normativa bancaria. Telco e aziende manifatturiere sono più attente alle misure a tutela del segreto industriale e la potenziale perdita di vantaggi competitivi. Nel pubblico invece, di solito si è più attenti alla privacy e alla tutela dei dati. Tutti i settori presi in esame dalla ricerca – però – considerano la sicurezza l’aspetto più importante da considerare quando si parla di cloud».

Secondo quanto emerge dallo studio CA, la radicata resistenza al cloud in Italia sembrerebbe confermata dalla mancanza di cultura nei confronti del mondo digitale e da una carenza di risorse umane in grado di avviare e guidare questa trasformazione nel 90% delle aziende italiane, le quali – inoltre – ritengono di non avere né le competenze né le risorse necessarie per operare con i servizi cloud (80%). «Nella survey – fa notare Rizzi – si chiede alle aziende un parere sulle modalità di adozione della sicurezza tramite tecnologia IAM, on premise piuttosto che in cloud». «Ebbene, dalle risposte emerge sia la percezione della complessità di implementare on premise queste soluzioni, specialmente per le PMI, sia la consapevolezza della maggiore convenienza in termini di costi e skill necessarie se adottate da cloud». Tutto questo – secondo Rizzi – conferma che l’adozione di sistemi di sicurezza IAM conferisce a chi è più dubbioso la dimestichezza necessaria per padroneggiare gli accessi ai dati. «Non è il cloud in sé a causare sfiducia, quanto la mancanza degli strumenti adatti per governare l’accesso alle info, il ciclo di vita delle identità degli utenti e il controllo su chi fa che cosa nella nuvola. Questa sensazione di maggiore fiducia può derivare proprio dai servizi IAM» – conclude Rizzi.

L'articolo CA Technologies, al cuore del cloud con le soluzioni di identity and access management proviene da Data Manager Online.

CA Technologies ha annunciato i risultati di una ricerca paneuropea indipendente secondo la quale la tecnologia cloud di Identity & Access Management (IAM) infonderebbe nelle organizzazioni italiane, prevenute verso il cloud computing, la fiducia necessaria ad adottare dei servizi cloud e a diventarne forti sostenitrici. Lo studio, realizzato per conto di CA Technologies dalla società di ricerca Quocirca, rivela in modo chiaro e puntuale che in tutte le realtà aziendali la principale barriera all’adozione del cloud computing è rappresentata dalla sicurezza dei dati, con l’ulteriore aggravante che il 90% delle aziende italiane prevenute verso il cloud non ritiene di avere le competenze o le risorse (80%) necessarie per operare i servizi cloud in totale sicurezza. Un modello IAMaaS (“IAM as-a-service”) on-demand potrebbe servire ad abbattere tali barriere in quanto contribuirebbe a eliminare le perplessità sulla sicurezza delle aziende ‘cloud-scettiche’ e ad abbattere i costi di gestione. Circa il 73% delle aziende italiane inclini all’adozione del cloud reputa che molti servizi di security, compreso il Single Sign On (SSO) e la gestione federativa delle identità e degli accessi, andrebbero erogati tramite un modello IAMaaS o ibrido.

L’indagine, intitolata “The Adoption of Cloud-Based Services – Increasing confidence through effective security”, è stata condotta su 337 dirigenti aziendali e manager informatici di società medio – grandi operanti in svariati settori nei seguenti Paesi: Italia, Belgio, Francia, Germania, Spagna, Portogallo, Israele, Paesi Bassi, Scandinavia e Regno Unito.

“Questo studio evidenzia in che modo la tecnologia IAM potrebbe aiutare anche le aziende italiane più diffidenti a superare i timori sulla sicurezza e sull’allocazione delle risorse dedicate alla messa in sicurezza dei servizi cloud accelerando così l’adozione del modello cloud,” afferma Antonio Rizzi, Senior Director Practice Services Security Solutions di CA Technologies. “Lo IAMaaS on-demand in particolare potrebbe aiutare le realtà italiane a guadagnare efficienza, incrementare la produttività della forza lavoro e migliorare la customer satisfaction; allo stesso tempo ne proteggerebbe le risorse digitali (siano esse on-premise o su cloud), riducendo i rischi, abbattendo i costi amministrativi e migliorando l’agilità dell’IT grazie alla flessibilità di deployment in ambienti on-premise e cloud”.

In Italia è largamente diffusa la convinzione che il cloud stia ormai diventando il modello predominante per erogare i servizi informatici di base, come attesta il 72% dei soggetti italiani intervistati, che ha dichiarato di utilizzarli ovunque possibile o come complemento alle risorse IT interne, contro una media europea del 57%. Eppure il 28% delle aziende italiane, ancora arroccate su posizioni di scetticismo, evita i servizi cloud-based, li blocca tout court o al massimo li valuta caso per caso.

Gli ostacoli più grandi all’adozione dei servizi cloud da parte delle imprese italiane diffidenti nei confronti del cloud ruotano attorno alla sicurezza delle informazioni: le potenziali minacce al possesso dei dati rappresentano una grossa fonte di preoccupazione (annoverata fra le ‘Top 3’ dal 70% degli intervistati), seguite da preoccupazioni sulla riservatezza (50%) e sulla conformità alle normative sulla tutela dei dati (30%). In altre parole, qualora venissero aiutate a implementare i servizi cloud con la dovuta sicurezza, molte di queste società potrebbero superare gli ostacoli percepiti e sfruttare le potenzialità positive del cloud computing.

Sempre secondo i risultati emersi dallo studio, le aziende italiane favorevoli al cloud riconoscono la necessità di attuare un numero sufficiente di controlli di sicurezza per erogare servizi cloud sicuri: la possibilità di collegare tramite policy identità e fruizione dei contenuti, filtrare i contenuti in ingresso/uscita e le funzionalità IAM figurano ai primi posti della lista dei desiderata – aspetti invece sostanzialmente sottovalutati dalle aziende scettiche rispetto al cloud. In effetti, l’81% dei soggetti italiani propensi al cloud dispone già di un sistema IAM, contro il 60% di quelli contrari. Analizzando ancora più a fondo si scopre che il 62% delle organizzazioni italiane favorevoli al cloud computing adotta un modello IAMaaS o un componente on-demand abbinato a uno IAM on-premise (implementazione ibrida), contro il 50% delle aziende contrarie al cloud. Il modello IAMaaS – afferma lo studio – è cruciale per l’erogazione dei servizi cloud: l’81% delle imprese italiane favorevoli al cloud ritiene che il sistema IAM sia importante per il provisioning/de-provisioning dell’accesso alle applicazioni SaaS e ad altre risorse on-demand, rispetto al 50% di quelle non favorevoli.

Questa indagine offre notizie confortanti ai service provider: l’unico ostacolo a un’adozione diffusa dei servizi cloud da parte delle aziende italiane sfavorevoli al cloud sembrerebbe essere la mancanza di professionalità e il numero delle risorse da dedicare alla protezione della propria “nuvola”. Introducendo una soluzione IAMaaS on-demand come CA CloudMinder, i service provider potrebbero garantire anche alle aziende più scettiche un accesso sicuro alle applicazioni on-premise e cloud. Con un’unica mossa, i service provider eliminerebbero i due principali vincoli a un’adozione generalizzata dei servizi cloud da parte delle imprese italiane sfavorevoli al cloud: la security e la disponibilità delle risorse. I soggetti meno favorevoli avrebbero inoltre la flessibilità di poter migrare ‘a consumo’ (“pay-as-you-go”) verso le applicazioni cloud secondo i loro tempi, incentivando così l’adozione di ulteriori servizi cloud.

“La conclusione di questa ricerca è che cloud genera cloud,” ha dichiarato Bob Tarzey, Analyst e Director di Quocirca. “Le aziende che hanno una percezione negativa dei servizi cloud non sono di per sé contrarie a questo modello, ma sono piuttosto frenate da preoccupazioni relative alla mancanza degli skill e delle risorse necessarie per mettere in sicurezza tali servizi. Una piattaforma IAMaaS basata su cloud potrebbe consentire a questi soggetti una gestione rapida ed efficiente delle identità, offrendo l’accesso sia a servizi SaaS che ad applicazioni on-premise. Con un po’ d’aiuto e incoraggiamento, le aziende oggi sfavorevoli al cloud potrebbero essere le prime ad adottarlo domani”.

L'articolo Le tecnologie cloud IAM potrebbero convertire le aziende più scettiche in sostenitrici dei servizi cloud proviene da Data Manager Online.

“Crediamo che alcuni trend in corso quali le tecnologie cloud, mobile e social continueranno a influire pesantemente anche nel 2014 sull’orientamento e fabbisogno di soluzioni per la gestione delle identità e degli accessi, però prevediamo anche l’emergere di altre esigenze da parte del business aziendale e l’emergere di nuove tecnologie abilitanti che entreranno in rotta di collisione con alcune delle scelte operate da molte organizzazioni in materia di sicurezza e gestione delle identità e degli accessi,” ha dichiarato Mike Denning, Senior Vice President e General Manager della divisione Security di CA Technologies.

L’Identity and Access Management nel 2014 – Cosa succederà:

Si profila un’impresa aperta, definita dal software

L’impresa sta trasformandosi in una piattaforma su cui gli sviluppatori avranno la possibilità di condurre sperimentazioni e introdurre innovazioni. Tutti i livelli dello stack IT (dati, applicazioni, infrastrutture, reti) tenderanno a essere sempre più predisposti per i servizi e definiti dal software tramite API. Questa tendenza si estenderà al di là del data center arrivando fino ai partner e ai servizi cloud proprio per la necessità, avvertita dalle imprese, di aprirsi verso l’esterno. È in arrivo un’ondata di innovazioni innescata dall’accesso, ottenuto dagli sviluppatori interni ed esterni, ai principali componenti dell’organizzazione. Questo complesso di fattori favorirà la sperimentazione e l’innovazione; in contemporanea verranno costruiti nuovi mashup per sfruttare tutta la gamma di risorse definite dal software. I reparti IT tradizionali dovranno evolversi per tutelare l’accesso a queste nuove risorse che fungeranno da elementi base per uno sviluppo ancora più agile.

Gli elementi hardware presenti nei dispositivi mobili svolgeranno un ruolo sempre più importante nel contesto dello IAM

Gli utenti continueranno ad adottare nuovi dispositivi mobili secondo cicli sempre più brevi (12-24 mesi), rendendo ampiamente e rapidamente disponibili sofisticate tecnologie hardware per la sicurezza (quali ARM TrustZone). I produttori dei device svilupperanno, a loro volta, appositi sistemi di sicurezza, quali Samsung Knox, da aggiungere a queste tecnologie che consentiranno loro di affrontare con successo le problematiche legate al fenomeno BYOD (Bring Your Own Device), offrendo metodi sicuri per separare dati e applicazioni aziendali e personali. Oltre a servirsene per rendere più sicuri i dispositivi, gli utenti potranno anche utilizzarli come mezzo di identificazione per accedere ad altri sistemi e svolgere funzioni avanzate quali i pagamenti sicuri. Finalmente il telefonino inizierà ad affermarsi come mezzo principale (e sicuro) per l’autenticazione e la verifica dell’identità degli utenti.

La mancanza di una verifica scalabile delle identità continuerà a interferire con le implementazioni B2C/G2C su larga scala

Le esperienze online degli utenti acquisite nel corso della recente implementazione della riforma sanitaria nota sotto il nome di Obamacare hanno evidenziato alcuni dei problemi logistici incontrati quando si cerca di ottenere una validazione accurata e scalabile delle identità online. Nel momento in cui una massa imponente di utenti aderirà ai servizi online, crescerà sensibilmente la richiesta di servizi di identity proofing, e le aziende continueranno a registrare forti problemi nella verifica delle identità. Mentre le fonti dei dati da utilizzare per l’identity proofing continueranno ad aumentare contestualmente alla digitalizzazione e alla divulgazione di nuovi documenti pubblici e privati, nel 2014 la richiesta continua di verifica delle identità costringerà gli attori del settore a una maggiore collaborazione reciproca per mettere a punto funzioni scalabili di identity proofing in grado di soddisfare tali esigenze.

Il CMO fungerà da volano per le iniziative di Identity Management ad ampio raggio

Per realizzare un marketing di successo è essenziale comprendere le esigenze dei clienti al fine di offrire loro un’esperienza soddisfacente dal punto di vista dell’iscrizione e dell’adesione ai servizi. Le imprese che consentiranno ai propri interlocutori di eseguire il login tramite identità registrate sui siti social e che manterranno una presenza istituzionale sui social network avranno modo di raccogliere dati preziosi sui propri clienti quali le identità degli utenti, gli schemi d’interazione sociale e le tendenze di browsing e acquisto. I Chief Marketing Officer (CMO) insisteranno per ottenere funzionalità che facilitino all’azienda l’interazione, la creazione di rapporti più solidi e la fidelizzazione dei clienti. Le infrastrutture di Identity Management a supporto di tali iniziative di marketing registreranno una domanda crescente contestualmente al riconoscimento del ruolo di volano interpretato dal “business enablement” nel contesto dello IAM.

L’autenticazione basata sull’analisi del rischio si estenderà al di là del settore finanziario

Pur essendo forte la voglia dell’impresa di ‘mobilizzare’ clienti e dipendenti, la presenza di procedure di sicurezza eccessivamente macchinose si scontrerà con la resistenza o addirittura con il netto rifiuto degli utenti/consumer abituati a un accesso istantaneo. L’esigenza di un’autenticazione più forte e di una user experience più positiva porterà alla diffusione di un’autenticazione basata sull’analisi del rischio (o ‘risk-based authentication’) nella quale si raccolgono e analizzano dati contestuali su utenti, dispositivi, applicazioni, luoghi e altri potenziali fattori di rischio per stabilire un livello di rischio corrispondente all’identità di quell’utente. Il settore dei servizi finanziari è stato fra i primi ad adottare un’autenticazione tarata sui rischi in ragione del valore elevato di molte delle transazioni operate dai clienti attivi in quel comparto. Questa tecnologia è ora destinata a diffondersi anche in altri settori a seguito dell’esigenza di una maggiore sicurezza ma anche di una maggiore comodità d’uso.

L'articolo Le 5 tendenze che caratterizzeranno la gestione delle identità e degli accessi nel 2014 proviene da Data Manager Online.

CA Technologies ha annunciato il prossimo rilascio di una serie di nuove funzionalità nell’ambito della sua offerta di soluzioni per la gestione degli accessi e delle identità (IAM) che permetteranno di migliorare la sicurezza e il livello di soddisfazione dell’utente finale aiutando nel contempo a proteggere mobilità e utilizzo del cloud computing nell’impresa.

Le nuove versioni di CA AuthMinder e CA RiskMinder comprendono funzionalità in grado di migliorare la verifica dell’identità e affinare le valutazioni dei rischi per l’utilizzo in mobilità riducendo al tempo stesso il rischio di frodi nelle transazioni. CA DataMinder estende la protezione dei dati e il controllo a svariati contesti di utilizzo di mobile devices e cloud computing.

Inoltre, una nuova versione di CA ControlMinder offre una migliore scalabilità e una maggiore integrazione con CA Session Recording per una gestione semplificata delle regole di sicurezza e degli utenti. L’ultima versione di CA SiteMinder potenzia anche le funzioni di single sign-on (SSO) e social networking.

“Il panorama IT continua a evolversi rapidamente e le organizzazioni si affidano sempre di più a dispositivi mobile e tecnologie cloud per svolgere le attività quotidiane,” ha affermato Mike Denning, Senior Vice President e General Manager della business unit Security di CA Technologies. “Oggi annunciamo numerosi aggiornamenti dell’offerta IAM atti a fornire alle organizzazioni il controllo, la protezione e la flessibilità necessari per salvaguardare il perimetro aziendale in continua espansione con un impatto minimo sugli utenti finali”.

CA Advanced Authentication fornisce metodi di autenticazione forte multifattore, basati sul rischio, per aiutare le aziende a proteggere le identità, evitare le violazioni della sicurezza e prevenire le frodi. Le funzionalità della nuova release di CA Advanced Authentication comprendono:

CA AuthMinder

– Firma sicura delle transazioni. Riduce il rischio delle frodi nelle transazioni online utilizzando il dispositivo mobile per la verifica dei dettagli (quali l’importo della transazione o il beneficiario) nell’ambito di un processo di autenticazione out–of–band.

– Blocco delle credenziali. Le credenziali software di CA ArcotID ora si associano automaticamente al dispositivo per cui vengono rilasciate. Questo impedisce di riutilizzare credenziali rubate da un altro dispositivo.

– Persistenza delle credenziali migliorata. Le credenziali di CA ArcotID possono ora essere memorizzate in un formato locale persistente per prevenirne la cancellazione accidentale. Questo formato migliora la sicurezza e il livello di soddisfazione dell’utente finale riducendo il carico amministrativo per l’IT.

CA RiskMinder

– Rilevamento di dispositivi mobile. Migliora la sicurezza integrando informazioni supplementari sul dispositivo nelle valutazioni dei rischi e abilitando le policy di sicurezza che consentono l’accesso in base al dispositivo o al sistema operativo del dispositivo.

– Supporto multi-account e multi-canale. Provvede all’applicazione coerente di policy di sicurezza sui vari canali facilitando il compito dell’amministratore e garantendo un migliore livello di soddisfazione dell’utente finale. Consente di aggregare molteplici account in un’unica identità.

– Potenziamento del motore di creazione di regole. Semplifica la creazione e la modifica di regole da un’unica interfaccia, migliorando le valutazioni dei rischi e il rilevamento delle frodi.

L’annuncio riguarda anche novità migliorative in termini di protezione dei dati che favoriscono la mobilità e potenziano la tutela dei dati “in the cloud” con una focalizzazione particolare sui più diffusi agenti endpoint.

Le migliorie introdotte in CA DataMinder includono:

– Supporto delle funzioni di protezione dei dati per servizi cloud e in mobilità. Supporta una collaborazione sicura sui file grazie all’uso di intelligenti funzioni di sicurezza data-centriche per vendor di soluzioni di sincronizzazione e condivisione sicura dei file quali Dropbox, SkyDrive, Box e Google Drive.

– Protezione dei dati in mobilità. Supporta la collaborazione tramite e-mail sicura e compliant con l’integrazione della classificazione dei messaggi con Voltage SecureMail e altre tecnologie di crittografia. Ora le organizzazioni possono ispezionare i messaggi crittografati in base alle policy aziendali per una migliore compliance.

– Nuovo agente di rete client. Consente l’intercettazione del traffico web qualunque sia il browser installato, garantendo una migliore protezione contro la fuga di dati.

Gli aggiornamenti delle principali soluzioni di gestione degli accessi di CA Technologies includono:

CA SiteMinder

– Supporto dei social media. Agevola l’accesso tramite OAuth di utenti Facebook e Google ad applicazioni protette con CA SiteMinder, consentendo alle organizzazioni di raggiungere un pubblico più vasto e i potenziali clienti dei loro prodotti e servizi.

– Supporto di applicazioni “in the cloud“. Comprende la Federation Cloud Runbook Library di CA SiteMinder, una risorsa centralizzata che raccoglie best practice e istruzioni dettagliate su come configurare la funzione di federazione delle identità di CA SiteMinder con varie applicazioni cloud di classe enterprise.

– SSO più flessibile. Le nuove interfacce per servizi web di CA SiteMinder permettono a un numero maggiore di applicazioni (dalle applicazioni Web standard a dispositivi come i distributori automatici o altre apparecchiature non IT) di inviare semplici chiamate RESTful FUL a CA SiteMinder per la gestione degli accessi. CA SiteMinder offre di conseguenza opzioni di implementazione complete e flessibili per un SSO basato su gateway, standard di federazione aperti, API di servizi Web, agenti applicativi o metodi agentless. Da questo deriva una maggiore flessibilità e un time-to-deployment più rapido per applicazioni di importanza nevralgica per il business con una contemporanea riduzione del costo del possesso di una soluzione scalabile rivolta all’impresa.

CA ControlMinder

– Più ampia integrazione con CA Session Recording. La funzionalità di ricerca avanzata di CA Session Recording è ora disponibile direttamente dal server di gestione CA ControlMinder. Questo consente agli amministratori di cercare azioni specifiche di utenti privilegiati e configurare le regole di accesso da un’unica console, linearizzando e accelerando l’interazione dell’utente finale.

– Nuove API RESTful a supporto dell’integrazione con workflow di terze parti. CA ControlMinder offre ora API REST esposte per enumerazione di account condivisi, richieste di password e approvazioni del management per consentire l’integrazione con strumenti di workflow di terze parti.

– Integrazione con soluzioni di autenticazione. CA ControlMinder ora si integra direttamente con CA AuthMinder, NTLM e sistemi smartcard per l’autenticazione nella console di CA ControlMinder al fine di proteggere ulteriormente l’accesso alle funzioni amministrative e migliorare la sicurezza globale in relazione ad attività sensibili che richiedono privilegi di alto livello. 

L'articolo CA Technologies aggiorna l’offerta IAM con nuove release proviene da Data Manager Online.

CA Technologies ha divulgato i risultati di uno studio paneuropeo condotto dalla società di ricerca Quocirca, secondo il quale la domanda di sistemi di sicurezza evoluti per la gestione delle identità e degli accessi (Identity & Access Management – IAM) da parte delle aziende italiane supererebbe quella riscontrata nella maggior parte degli altri Paesi europei presi in considerazione dall’indagine. Circa il 76 per cento delle imprese italiane utilizzerebbe al momento dei sistemi IAM per autenticare e riconoscere gli utenti, contro una media europea del 70 per cento. Solamente la Penisola iberica e la Germania presenterebbero una domanda più elevata di quella italiana, mentre la percentuale rilevata in Italia sarebbe superiore a quella del Regno Unito, della Francia e dei Paesi scandinavi. Le imprese italiane starebbero anche adottando con sempre maggiore frequenza il modello IAM as a service (IAMaaS), come attesta quel 28 per cento (+6% rispetto alla media europea) rappresentato da utilizzatori di esclusivi servizi on-demand. Un altro dato interessante è che il 31 per cento (la percentuale più alta in tutta Europa) si affida a un modello ibrido costituito da un mix di on-premise e on-demand. Per contro, il 25 per cento delle aziende italiane non dispone di alcun sistema IAM, la cui mancanza rende difficile garantire lo stesso tenore di interazioni dirette fra l’azienda e gli utenti offerte dai concorrenti.

La nuova indagine, intitolata “Digital Identities and the Open Business”, è stata condotta per conto di CA Technologies dalla società di ricerca Quocirca su 337 manager informatici di società medio – grandi che operano in svariati settori nei seguenti Paesi: Italia, Benelux, Francia, Germania, Penisola iberica, Israele, Paesi scandinavi e Regno Unito.

“Questo studio sottolinea la crescente rilevanza in Italia di un modello IAM avanzato, che facilita interazioni dirette fra azienda e utenti”, ha dichiarato Paul Ferron, Director EMEA of Security Solutions di CA Technologies. “Riuscire ad autenticare e riconoscere gli utenti è sempre più importante perché le imprese tendono a comunicare e operare on-line, ad adottare servizi cloud e a servirsi di social media per identificare i propri interlocutori. Con il passar del tempo, la capacità di gestire le identità digitali stimolerà la crescita dei ricavi e incrementerà la produttività. È chiaro che la gestione delle identità e degli accessi non è più una mera questione di sicurezza informatica, ma sta diventando a tutti gli effetti un acceleratore di crescita per le imprese italiane”.

Perché la domanda di soluzioni di Identity and Access Management all’avanguardia è così forte in Italia?

La ricerca commissionata da CA Technologies ha rilevato che in Europa la domanda di sistemi IAM evoluti è pressoché triplicata dal 2009 al 2013, passando, come media aziendale, dal 25 al 70 per cento. Pur non indicando la configurazione specifica della crescita della domanda in Italia, lo studio delinea chiaramente una serie di motivi alla base della crescente popolarità dello IAM evoluto fra le aziende italiane, che si tratti di soluzioni on-premise, IAMaaS o ibride.

L’indagine commissionata da CA Technologies ha rivelato che, per quanto riguarda il 72 per cento delle imprese italiane, le principali motivazioni per aprire le applicazioni aziendali agli utenti esterni sono legate alla possibilità di interagire direttamente con i clienti. I sistemi IAM all’avanguardia permettono infatti agli utenti di accedere agevolmente alle risorse di cui necessitano, con il risultato che le imprese possono trattare direttamente con un ampio raggio di interlocutori. Circa il 75 per cento dei manager italiani intervistati ha indicato come “molto” o “piuttosto” importante il ruolo dello IAM per consentire la gestione e l’applicazione delle policy d’accesso, mentre il 72 per cento sostiene che lo IAM è “molto” o “piuttosto” importante per l’accesso a SaaS e ad altre risorse cloud. L’86 per cento degli intervistati ha inoltre sottolineato come “vero” o “abbastanza vero” il bisogno di un chiaro riconoscimento dell‘identità digitale di un cliente prima dell’avvio di qualsiasi transazione commerciale. Le soluzioni IAM evolute consentono infatti di controllare tramite un’unica identità gli accessi ad applicazioni basate su cloud e on premise.

Il 72 per cento delle imprese italiane che riconoscono l’utilità del modello IAMaaS la giustifica in base ad attributi diversi. Secondo questa ricerca, il 69 per cento è convinto che un servizio basato su cloud abbatta i costi d’esercizio, il 46 per cento pensa che faciliti l’integrazione di utenti esterni e il 38 per cento ritiene che lo IAMaaS semplifichi la creazione di nuovi processi di business.

Il modello ibrido, adottato dal 31 per cento delle aziende italiane, rappresenta un’alternativa molto apprezzata — con la percentuale più alta fra tutti i Paesi europei, ben 10% al di sopra della media europea. Tale modello, che combina la modalità on premise con quella on demand, offre alle imprese la flessibilità necessaria per continuare a utilizzare i sistemi IAM e le directory già esistenti, integrando inoltre le tipiche funzionalità evolute di un sistema IAMaaS. A ciò va aggiunto il fatto che i sistemi IAMaaS sono già integrati con numerose applicazioni cloud quali Google Apps, Office 365 e WebEx. Evitando la lentezza e il costo del lavoro di configurazione, i soggetti aziendali potranno aggiungere in modo rapido e agevole lo IAMaaS alle implementazioni IAM on-premise già esistenti.

I vantaggi informatici dello IAM

Lo studio evidenzia tuttavia un certo scollamento fra il business e l’IT in merito alla valutazione del valore offerto dai sistemi di gestione delle identità e degli accessi. Sebbene questi ultimi offrano numerosi vantaggi potenziali per il business (come la maggiore capacità di attirare nuovi clienti, l’incremento del giro d’affari con i clienti esistenti e lo snellimento dei processi aziendali), in Italia le organizzazioni IT sembrano ‘pubblicizzare’ poco tali benefici a favore del business. I soggetti intervistati nel corso di questa indagine si sono focalizzati principalmente sui vantaggi informatici dello IAM: l’87% considera “vera” o “abbastanza vera” la necessità di un sistema IAM efficace per conseguire gli obiettivi di sicurezza informatica quali il provisioning e de-provisioning rapido di tutte le tipologie di utenti. Per contro, il 39% ha indicato come “verissima” o “abbastanza vera” l’affermazione secondo cui “il management dell’azienda non mostra interesse per i nostri sistemi IAM”. Appare quindi chiara l’opportunità che la funzione IT si concentri maggiormente sul valore dello IAM dal punto di vista del business per salvaguardare gli investimenti futuri dei progetti IAM.

“Per le aziende italiane il problema non è tanto chiedersi se esista o meno la necessità di adottare sistemi IAM, quanto invece per quanto tempo sia possibile farne senza”, ha dichiarato Bob Tarzey, Analyst e Director di Quocirca. “Questo studio europeo ha dimostrato che lo IAM — sotto forma di implementazione on premise, ‘in the cloud’ o ibrida — permette un utilizzo federativo di fonti identitarie diverse, offrendo un giusto compromesso fra l’apertura delle applicazioni verso utenti mobili ed esterni, e una protezione sufficiente per applicazioni e dati”.

L'articolo La domanda di sistemi di Identity & Access Management più forte in Italia che nel resto d’Europa proviene da Data Manager Online.

Quando si prende in considerazione la tematica dell’identità digitale, bisogna valutare bene due aspetti: la necessità di proteggerla da eventuali furti, in particolare con la grande esposizione che ne viene fatta su internet, e la necessità di sistemi di riconoscimento e autenticazione, per consentire l’accesso autorizzato a informazioni protette.

CA Technologies, che opera anche in questo ambito, fornisce tutte le soluzioni in grado di riconoscere l’identità dell’utente e di gestire l’autorizzazione per l’accesso alle informazioni contenute nei più complessi ambienti IT.

IDENTITY ACCESS MANAGEMENT

Lo studio “Digital Identities and the Open Business”, condotto per conto di CA Technologies dalla società europea di ricerca Quocirca su 337 dirigenti aziendali e manager IT di società medie e grandi operanti in svariati settori merceologici, evidenzia inoltre il ruolo vitale dell’Identity Access Management (IAM) per la crescita e l’innovazione delle imprese.

«L’identità digitale costituisce il nuovo perimetro dell’azienda – afferma Luca Rossetti, senior customer success architect di CA Trchnologies per l’Italia – e questo studio prova in maniera decisiva che la gestione delle identità e degli accessi non è più una semplice questione di sicurezza, ma un acceleratore di crescita anche per le imprese italiane. Ora che un numero crescente di transazioni aziendali si svolge on-line e i social media entrano a far parte della nostra quotidianità, le organizzazioni aziendali prive di un’efficace strategia di Identity and Access Management rischiano di cedere terreno alla concorrenza».

Dato che l’identità digitale assume un valore sempre più strategico, sia per le imprese sia per gli enti della pubblica amministrazione, conseguentemente cresce la richiesta di soluzioni per gestirla in modo efficiente e a vantaggio del business.

«I risultati della ricerca – prosegue Rossetti – ci dicono che dal 2009 a oggi la domanda di sistemi di Identity and Access Management da parte delle aziende europee è aumentata dal 25% al 70%, sotto la spinta di tre principali fattori: la necessità di consentire a un numero sempre maggiore di utenti esterni, siano essi dipendenti, partner, fornitori o clienti, di accedere alle applicazioni aziendali, il crescente utilizzo di servizi in cloud e il ruolo strategico che i social media stanno sempre più assumendo all’interno delle organizzazioni».

BRING YOUR OWN IDENTITY

Un utente che naviga su internet usa differenti identità digitale per interagire con diverse entità, siano essi sistemi aziendali, banche online, pubblica amministrazione oppure social network, declinandone ogni volta le caratteristiche necessarie e mantenendone l’univocità.

«I nuovi meccanismi di federazione delle identità portano a una semplificazione dei processi di registrazione, – spiega Antonio Rizzi, senior director per la Practice Services Sicurezza di CA Technologies EMEA – e permettono quella che viene definita “Bring Your Own Identity”, consentendo il miglioramento della user experience su transazioni a basso rischio».

L’utilizzo di provider di identità, con avanzati meccanismi di autenticazione, costituisce un potente strumento di marketing, che da l’opportunità di estendere il bacino clienti e di migliorare la percezione del servizio offerto.

«CA Technologies propone in questo ambito tutte le soluzioni necessarie per la gestione delle identità con CA IdentityMinder, per un’autenticazione forte con CA AuthMinder, – conclude Rizzi – ma anche con CA RiskMinder per l’innalzamento del livello di sicurezza delle transazioni che lo richiedono. Inoltre proponiamo la gestione della federazione degli accessi con CA Siteminder, accanto alla soluzione SaaS offerta tramite CA CloudMinder».

L'articolo CA Technologies gestisce le identità digitali proviene da Data Manager Online.

La gestione delle identità e degli accessi non si risolve acquistando una tecnologia ad hoc. Una buona strategia però può guidarci nel difficile compito di scegliere quella che meglio si adatta alle nostre esigenze

Ridotta all’osso, l’idea sottostante ai sistemi di identity and access management (IAM) è di rispondere alla concreta esigenza di alleggerire il compito di chi deve stabilire chi e in che modo accede a cosa, all’interno dell’organizzazione, tenendone al contempo traccia. È vero – però – che mettere in pista un’infrastruttura IAM matura e automatizzata in un contesto organizzativo evoluto rimane un compito impegnativo, soprattutto per il numero di variabili potenzialmente molto elevato anche in ambienti circoscritti. Ciò determina l’oggettiva difficoltà di mettere in produzione un’infrastruttura IAM che tenga conto di almeno tre fattori: il numero di risorse (applicativi, cartelle, web-application…) cui gli utenti devono accedere, destinati di regola a crescere nel tempo; la moltiplicazione dei decisori in merito a chi può accedere a cosa e con quali privilegi e la varietà di modelli di sicurezza sottostanti a ogni processo.

ANALISI PRELIMINARE

Per farsi un’idea dei processi di provisioning in essere, occorre rispondere essenzialmente a due domande: dove avvengono l’accesso e l’identificazione degli utenti e in che modo, con quali livelli di accesso, utilizzano le applicazioni. Prendiamo un ambiente eterogeneo sia dal punto di vista delle tipologie di utenti/privilegi, sia degli applicativi, come una struttura sanitaria. In questo contesto la complessità delle attività di provisioning è molto sopra la media. Avremo a che fare con personale medico, paramedico, volontari e consulenti esterni; ognuno di loro sarà oggetto di un processo di provisioning differente. Ebbene, sapere con precisione – da dove e in che modo avvengono l’accesso e l’identificazione degli utenti – consente sia di aggiornare il piano strategico esistente, sia di individuare le tecnologie più adatte in un certo ambito.

VALIDAZIONE E CONTROLLO DEGLI ACCESSI

Ogni organizzazione dovrebbe dotarsi di procedure efficaci di validazione degli accessi, sia a livello macro – facendo sì che solo chi ne ha diritto acceda a certe risorse – sia a livello di singolo utente, tenendo traccia di ogni sua attività. Non solo è importante comprendere quello che sta avvenendo all’interno del proprio perimetro, ma occorre anche riuscire a vedere come idealmente i processi dovrebbero aver luogo. La normativa esistente potrebbe richiedere sia il tracing, sia il mantenimento di informazioni relative al controllo degli accessi. In questo senso, lo svolgimento periodico di audit interni e la redazione di documenti di verifica (compliance) rappresentano fonti privilegiate per ricostruire i processi correnti. Perciò l’azienda deve essere in grado di acquisire una conoscenza approfondita dei processi di validazione degli utenti presenti in azienda. E’ fatta una revisione periodica dei diritti di accesso? Da chi è eseguita? Dai manager di area o dallo staff interno che svolge l’audit? Come avviene il processo di revisione? I livelli di permesso accordati ai singoli utenti, così come ai gruppi, sono verificati periodicamente? Oltre ad avere il quadro preciso del modo in cui gli utenti accedono alle risorse condivise, l’azienda dovrebbe monitorare anche il funzionamento delle misure di controllo adottate. Dovrebbe cioè essere in grado di recensire tutte le applicazioni presenti in azienda e i sistemi utilizzati per accedervi. Qui la complessità è accentuata dal fatto che esistono modalità diverse di accesso alla stessa risorsa. Per esempio, un utente potrebbe accedere a un file attraverso una cartella di rete condivisa, un CMS o altro ancora. Per svolgere questa analisi preliminare è necessario impegnare mezzi cospicui. Spesso tuttavia le informazioni che servono sono già disponibili in azienda. L’obiettivo – comunque – non è quello di redigere un documento preciso al 100%, quanto piuttosto di arrivare a comprendere quali sono i margini di miglioramento, soprattutto in prospettiva di futuri investimenti in tecnologia.

DEFINIZIONE DEGLI OBIETTIVI

Prima di procedere con l’acquisizione di un sistema di IAM e a prescindere dalle caratteristiche del prodotto finale, occorre definire con chiarezza gli obiettivi che si vogliono raggiungere. Molte aziende, infatti, si aspettano che il prodotto scelto si adatti alla loro organizzazione e ne soddisfi le esigenze senza particolari intoppi. In realtà, perché questo avvenga, è necessario un lavoro preparatorio di analisi del contesto e di identificazione di obiettivi realistici. Perciò, in primo luogo, è necessario evidenziare in che misura l’adozione di un sistema IAM può contribuire al raggiungimento delle priorità di business. Per esempio, «attraendo nuovi clienti e fidelizzandoli attraverso una migliore user experience dei propri servizi – osserva Orlando Arena, regional sales manager di SafeNet in Italia (www.safenet-inc.com) – oppure, aumentando l’efficienza operativa, grazie alla facilità di attivazione di collaborazioni con nuovi business partner, rispettando al contempo le esigenze di sicurezza e compliance». Identificare sin dalle battute iniziali obiettivi raggiungibili può essere la chiave di volta per un progetto di successo. «Capita spesso che un’azienda ponga degli obiettivi che, sebbene fattibili da un punto di vista tecnologico, non possano essere applicati ai loro processi di gestione» – spiega Fabrizio Patriarca, security systems client technical professional di IBM Italia (www.ibm.com/it). Non solo. «A fronte di queste criticità – continua Patriarca – i progetti possono naufragare e, paradossalmente, può succedere che non vengano raggiunti neanche quelli meno ambiziosi, come il provisioning automatizzato delle identità sui sistemi aziendali». Secondo Giovanni Bobbio, senior manager security di Exprivia (www.exprivia.it) qualsiasi soluzione IAM deve essere in grado di soddisfare al meglio due requisiti fondamentali, talvolta in conflitto fra loro: la coerenza con il background organizzativo dell’azienda e la possibilità di arrivare a soluzioni realistiche, che non comportino eccessive inefficienze e macchinosità nella realizzazione. «E’ importante – osserva Bobbio – che nella fase di analisi del contesto si mantenga sempre il massimo rispetto di quello che si trova sul campo, senza pretendere di stravolgere l’organizzazione e senza perdere mai di vista le effettive capacità dello strumento a disposizione». Per Angelo Colesanto, presales system engineer di RSA (www.italy.rsa.com) l’ambito organizzativo è quello in cui un progetto IAM produce gli effetti più evidenti: «Talvolta i clienti approfittano di questa opportunità per rivedere o riorganizzare del tutto, strutture e processi solo parzialmente legati all’ambito reale del progetto». E ciò in qualche circostanza finisce per allungare i tempi dando una percezione negativa sull’esito finale. «A causa della rigidità di alcuni prodotti – osserva Colesanto – talvolta si è costretti a numerose revisioni in corso d’opera, con ripercussioni sui tempi di realizzazione e sui risultati finali». Come abbiamo detto, ogni progetto dovrebbe essere preceduto da una definizione chiara dei requisiti e delle soluzioni che meglio rispecchiano le esigenze delle aziende che le adottano. «Tuttavia ciò non sempre è sufficiente, poiché – osserva Colesanto – è difficile prevedere cosa potrà accadere in fase di messa in opera, sia perché i cicli di vita sono particolarmente lunghi, sia perché gli aspetti organizzativi sono fortemente in evoluzione. Per questo, un progetto IAM non può lasciarsi sorprendere da questi eventi, ma deve essere adattivo».

INTEGRARE LA TECNOLOGIA IAM

Una volta acquisita una solida conoscenza dei meccanismi di attribuzione e validazione delle identità digitali e delineati gli obiettivi del progetto, siamo pronti per formulare una strategia articolata almeno su due piani. Il primo è quello delle policy e delle procedure che individuano le tipologie di accesso più appropriato al proprio contesto organizzativo: qui si stabiliscono le misure per limitare i rischi di sicurezza a un livello accettabile; ed è qui che si formalizza come utilizzare in modo ottimale le risorse. Inutile dire che non esiste una soluzione buona per tutte le stagioni. Ogni azienda ha le sue caratteristiche, una sua cultura, e si muove in un contesto in continua evoluzione. Il secondo piano è quello dove, invece, sono individuate le soluzioni tecniche che meglio supportano le policy formulate. Qui le regole stabilite in precedenza e che definiscono la strategia complessiva, trovano esecuzione e realizzazione mediante la tecnologia, sia essa già presente in azienda o da acquisire.

DEFINIZIONE DI UN SISTEMA IAM

Quando si parla di gestione di sistemi di identità, alcuni subito pensano al single sign-on (SSO). Per altri invece è sinonimo di un sistema di federation delle credenziali di accesso su più sistemi eterogenei. Qualcuno potrebbe obiettare che alla fine si tratta di un meccanismo per centralizzare una serie di informazioni associate al singolo utente aziendale. Senza dubbio, tutti questi meccanismi sono connessi ai sistemi di gestione delle identità, ma nessuno di essi – da solo – esaurisce le molteplici sfaccettature del concetto. In estrema sintesi, una soluzione IAM consente di identificare gli utenti all’interno di un sistema informativo e di controllare il loro accesso alle risorse del sistema, associando a ogni identità specifici privilegi e diritti. Perciò un sistema IAM dovrebbe assicurare che i soggetti autorizzati dispongano di un accesso rapido e sicuro alle risorse necessarie per svolgere il loro lavoro e allo stesso tempo assicurare che i cattivi rimangano fuori dalla porta. Detto questo, ogni soluzione di identity e access management ha caratteristiche e punti di forza che la rendono più o meno adatta a soddisfare specifiche esigenze. Qui ci chiediamo quali motivazioni portano le PMI a valutare progetti in ambito IAM e quali soluzioni si adattano meglio alle loro esigenze. «La complessità delle aziende medio-piccole non è necessariamente inferiore a quella delle grandi aziende – osserva Fabrizio Patriarca (IBM Italia) – spesso, però, in questi contesti è necessario integrare più soluzioni proprietarie e al tempo stesso c’è la necessità di business di aprirsi, per ottenere maggiore efficienza e flessibilità. Per questi motivi, le soluzioni di web access management e di federazione possono abilitare le aziende a fare business attraverso canali alternativi». Maurizio Martinozzi, sales manager engineering di Trend Micro (www.trendmicro.it/) osserva invece come l’elevato livello di integrazione di una soluzione comporti maggiori rischi sia in termini di analisi iniziale, sia di gestione. «Detto questo però – quelle integrate sono le soluzioni che meglio si adattano alle esigenze delle aziende medio piccole, soprattutto in un momento economico delicato come questo. Le PMI devono, infatti, limitare il più possibile il ricorso all’outsourcing e ottimizzare le risorse umane e IT, già disponibili al proprio interno. Attraverso l’impiego di soluzioni integrate, quindi, è possibile ridurre i costi, semplificare la gestione delle informazioni e ottimizzare il servizio che è erogato». Anche per Angelo Colesanto (RSA) le motivazioni che portano le PMI a valutare progetti in ambito IAM non sono molto diverse da quelle delle grosse aziende. «L’unico limite delle piccole è forse nella capacità d’investimento: in un progetto IAM i costi d’implementazione sono solitamente più del doppio dei costi dei prodotti. Per risparmiare è quindi fondamentale dotarsi di tecnologie semplici e flessibili». Diverso, invece, il parere di Orlando Arena (SafeNet Italia), secondo cui per le PMI la complessità del contesto è limitata: «Qui possono non essere necessarie tutte le funzionalità di uno IAM. A prescindere da quale tecnologia possa essere più adatta, è opportuno valutare le possibilità offerte dai servizi cloud che possono coniugare facilità di implementazione, flessibilità, controllo dei costi e sicurezza. Giovanni Bobbio (Exprivia) rileva invece che non esiste una soluzione unica adattabile alle molte tipologie di PMI italiane: «Credo sia estremamente importante saper identificare le varie peculiarità di ogni azienda per meglio adattare l’offerta tecnologica». Per Maurizio Martinozzi (Trend Micro), nel momento in cui un’azienda sceglie di implementare queste tecnologie, «si deve valutare l’adozione di un approccio centralizzato alla gestione delle informazioni», trattandosi di una categoria di dati sensibili estremamente critica, dal momento che definisce in modo univoco l’identità degli utenti. «Inoltre, visto che non esiste ancora uno standard condiviso nella gestione delle informazioni, lo staff IT può trovarsi di fronte alla necessità di dover migrare le tecnologie legacy proprietarie verso sistemi più adeguati alle piattaforme in uso».

IN CONCLUSIONE

Costi a parte, l’eccessiva complessità – per progettare un modello che rappresenti il baricentro ideale fra disponibilità, sostenibilità e rispondenza ai requisiti – è stata uno dei maggiori ostacoli alla diffusione dei sistemi IAM. A essi, è demandato il non agevole compito di rendere sicuro ed efficace il modo di lavorare degli utenti senza introdurre complessità, automatizzando al contempo le procedure. In taluni contesti, occorre integrare più soluzioni proprietarie, cresciute in casa senza una reale pianificazione, né una strategia coerente. La buona notizia è che le architetture evolvono verso schemi più semplici, infrastrutture e applicazioni più omogenee e standardizzate. Questi processi richiesti innanzitutto dal business, pur lenti, continuano a rappresentare uno dei modi più efficaci per conseguire risparmi duraturi nella gestione del servizio IT. Nel prossimo futuro, le modalità di autenticazione esistenti (token, smart card, riconoscimento vocale…) saranno sempre di più integrate all’interno delle infrastrutture esistenti. Aumentando i metodi di identificazione si otterrà una notevole flessibilità di accesso alla risorsa, con benefici per tutta l’organizzazione. Allo stesso tempo, la necessità di business di aprirsi, adottando nuovi modelli – il cloud per esempio – consente già di ottenere maggiore efficienza e flessibilità.

Panda Security (www.pandasecurity.com/italy) – “the cloud security company” – ha sviluppato Panda Cloud Systems Management, la nuova piattaforma remota studiata per la gestione, il controllo e la manutenzione dell’intero comparto delle risorse IT. Panda Cloud Systems Management permette agli amministratori di rete di eseguire audit, monitorare e gestire i computer da remoto, riducendo così i costi e semplificando i processi. Panda Cloud Systems Management è lo strumento intuitivo e facile da utilizzare, che permette di monitorare nella cloud l’intera infrastruttura e consente il controllo del funzionamento dei pc, l’installazione delle applicazioni, fino al deployment delle stesse in modalità mobile da un’unica consolle.

«Questo nuovo servizio, disponibile attraverso una piattaforma, che si posiziona oltre i confini dei software antivirus, è l’ulteriore testimonianza dell’impegno che Panda Security rivolge ai propri partner e clienti, mettendo a disposizione una soluzione completa che riduce la complessità di gestione della sicurezza» – commenta Alessandro Peruzzo, amministratore unico di Panda Security Italia.

L'articolo Sicurezza – Dimostra chi sei! La gestione delle identità digitali proviene da Data Manager Online.