.jpg)
Il problema non è la tecnologia: è la psicologia dell'assunzione
Empatia, fiducia, cooperazione sono tratti chiaramente umani, fondamenta di ogni organizzazione e del lavoro in team. Purtroppo, sono anche i tratti che un attacco di social engineering sfrutta. C'è un bias cognitivo preciso dietro la maggior parte delle violazioni identity-based: si chiama optimism bias ed è stato teorizzato dallo psicologo Neil Weinstein già nel 1984. È la tendenza a credere che gli eventi negativi capitino sempre "agli altri". Applicato alla cybersecurity, diventa: "un attacco non capiterà alla nostra azienda" oppure "se capitasse, non sarebbe così grave".
Questo bias, unito alla naturale fiducia empatica verso i colleghi, è il motivo per cui le classiche truffe "troppo belle per essere vere", dal noto e ora scherzato “Nigerian prince scam” ai moderni attacchi di business e-mail compromise, continuano a funzionare, nonostante tutti sappiano, in teoria, di doverne diffidare.
Il problema è che questa psicologia dell'assunzione non resta un fatto individuale. Si traduce anche in scelte IT concrete e pericolose: privilegi assegnati e mai più rivisti, account amministrativi lasciati attivi "per comodità", accessi che restano aperti ben oltre la reale necessità operativa. Sono i cosiddetti standing privileges: permessi statici, non più legati a un reale bisogno, che ampliano silenziosamente la superficie d'attacco di un'organizzazione.
A questo si aggiunge il privilege sprawl: la proliferazione incontrollata di account privilegiati generata da cambi di ruolo, acquisizioni e migrazioni cloud. Secondo l'Identity Defined Security Alliance, l'identità privilegiata compromessa è dietro il 33% delle violazioni e il 69% degli incidenti parte da un attacco di phishing, quasi sempre costruito su una manipolazione psicologica.
Zero Trust e Least Privilege: la soluzione giusta per proteggere le identità
Se il comportamento umano non può essere drasticamente modificato, si può però limitare l’impatto delle conseguenze. È qui che entra in gioco il Principio del Privilegio Minimo (PoLP), teorizzato già negli anni '70 al MIT da Saltzer e Schroeder e oggi pilastro di ogni strategia Zero Trust: ogni utente, sistema o identità dovrebbe operare esclusivamente con i permessi minimi indispensabili per svolgere il proprio compito.
Applicato in modo automatizzato, questo principio prende forma attraverso il JiT (Just in Time) Privilege Elevation: i privilegi elevati vengono concessi solo per il tempo strettamente necessario a completare un'attività, per poi essere automaticamente revocati.
Nessun account resta "aperto" più del dovuto.
A supporto di questo approccio operano due protocolli complementari:
- RBAC (Role-Based Access Control): assegna i privilegi in base al ruolo, aggiornandoli automaticamente ogni volta che una persona cambia posizione in azienda.
- ABAC (Attribute-Based Access Control): aggiunge granularità, modulando l'accesso in base ad attributi dinamici come location o reparto.
La logica è sempre la stessa: mai fidarsi di un privilegio solo perché è stato concesso in passato. Va verificato, monitorato e revocato quando non serve più.
Perché ora: identity-first security e pressione normativa
Gartner osserva che sempre più organizzazioni stanno spostando il focus dalla sicurezza di rete tradizionale a un approccio identity-first, dove la gestione delle identità (IAM) diventa centrale tanto quanto firewall ed endpoint protection. Una risposta diretta al fatto che gli attacchi non sfondano più le difese perimetrali, ma entrano dalla porta principale usando credenziali legittime.
Questo cambio di prospettiva si intreccia con il quadro normativo europeo: la NIS2 e i requisiti di gestione del rischio informatico spingono le aziende, soprattutto quelle di grandi dimensioni e operanti nei settori critici, a dimostrare un controllo effettivo e documentabile sugli accessi privilegiati.
Un sistema di identity governance solido non è più solo una best practice tecnica: è, sempre più, un requisito di compliance.
Identità e privilegi: due casi concreti da non sottovalutare
Nel gennaio 2024, il gruppo di hacker russi Midnight Blizzard è riuscito a ottenere accesso ad alcuni sistemi Microsoft. L'incidente ha evidenziato come account e ambienti legacy possano rappresentare un rischio significativo se non adeguatamente monitorati e revisionati con continuità nel tempo.
È lo stesso schema descritto in un caso ipotetico ma estremamente realistico descritto da One Identity nel suo documento: un'organizzazione da 10.000 dipendenti, 30 directory e 30.000 account. L’organizzazione era convinta che "non sarebbe successo a lei" e perciò non aveva mai implementato una gestione automatizzata dei privilegi. Ma, anche nelle organizzazioni più strutturate, è sufficiente una sola credenziale con privilegi non governati può rappresentare un varco per una compromissione.
È proprio per questo che l’identity governance è oggi un elemento integrante per una moderna strategia di cybersecurity.
Se vuoi scoprire come va a finire, approfondire nel dettaglio come la psicologia comportamentale possa influenzare le decisioni di sicurezza in azienda e conoscere le contromisure da adottare, scarica il whitepaper completo "The Psychology of Identity Security" di One Identity!
