E-time | the software company
INDICE
- Account orfani: cosa sono e perché rappresentano un rischio?
- Come si creano gli account orfani nei sistemi aziendali?
- Qual è la differenza tra account orfani, inattivi e disabilitati?
- Quali rischi comportano gli account orfani per la cybersecurity?
- Come identificare e prevenire gli account orfani con i sistemi IAM?
- Come IAM e IGA automatizzano provisioning e deprovisioning?
Account orfani: cosa sono e perché rappresentano un rischio?
Gli account orfani sono account che continuano a essere presenti e, in alcuni casi, attivi all’interno di directory, applicazioni e sistemi aziendali anche quando la persona a cui erano associati non lavora più per l’organizzazione o non ricopre più il ruolo che ne giustificava l’accesso. Il problema nasce quindi dalla mancanza di un proprietario effettivamente responsabile dell’account, che può continuare a disporre dei permessi precedentemente assegnati.
Queste identità rappresentano un rischio per la sicurezza perché combinano assenza di controllo, permessi potenzialmente non più necessari e scarsa visibilità sulle attività. Un account non correttamente disattivato può infatti diventare un punto di accesso alle risorse aziendali e ai dati sensibili, aumentando il rischio di utilizzi impropri da parte di ex dipendenti o soggetti esterni.
Come si creano gli account orfani nei sistemi aziendali?
Gli account orfani sono spesso il risultato di una gestione non coordinata del ciclo di vita degli utenti. Uno dei casi più comuni si verifica quando l’uscita di un dipendente non viene comunicata tempestivamente ai team IT o quando la disattivazione degli account deve essere effettuata manualmente su numerosi sistemi e applicazioni.
Il problema può manifestarsi anche in occasione di cambi di ruolo, riorganizzazioni aziendali o trasferimenti interni, quando i vecchi permessi non vengono rimossi e si accumulano nel tempo. Altri casi riguardano collaboratori, consulenti e fornitori ai quali vengono assegnati account temporanei che non vengono revocati alla scadenza del rapporto. Anche migrazioni di sistemi, fusioni e acquisizioni possono contribuire alla permanenza di account non più associati a utenti attivi, soprattutto quando le diverse infrastrutture non vengono correttamente allineate.
Qual è la differenza tra account orfani, inattivi e disabilitati?
Sebbene possano sembrare situazioni simili, account orfani, inattivi e disabilitati descrivono condizioni differenti:
- Account orfano: è ancora presente e potenzialmente attivo in un sistema, ma non è più associato a una persona o a un responsabile che abbia un ruolo attuale nell’organizzazione.
- Account inattivo: appartiene a un utente identificabile, ma non viene utilizzato da un periodo prolungato. L’utente, tuttavia, può essere ancora parte dell’organizzazione.
- Account disabilitato: è stato esplicitamente sospeso o disattivato e non dovrebbe quindi consentire l’accesso. Se la disabilitazione non viene completata correttamente, però, possono rimanere processi o autorizzazioni attive, dando origine al cosiddetto account zombie.
Distinguere queste situazioni è importante per stabilire quale intervento adottare e valutare correttamente il livello di rischio associato a ciascun account.
Quali rischi comportano gli account orfani per la cybersecurity?
La presenza di account orfani può aumentare significativamente la superficie di attacco di un’organizzazione. Account ancora dotati di credenziali e autorizzazioni possono infatti essere sfruttati per ottenere accessi non autorizzati e raggiungere dati o sistemi aziendali, con possibili conseguenze economiche, operative e reputazionali.
Il rischio riguarda anche la conformità normativa, poiché una gestione non adeguata degli accessi può creare criticità rispetto a requisiti previsti da normative e standard come GDPR, SOX e HIPAA. A questo si aggiungono le difficoltà durante gli audit, la necessità di dedicare risorse al controllo di account non più necessari e il rischio di insider threat, soprattutto quando le credenziali appartengono a ex dipendenti o collaboratori.
Gli account orfani possono inoltre essere sfruttati dagli attaccanti come punti di ingresso poco visibili. Tecniche come credential stuffing e password guessing, oppure l’utilizzo di credenziali già compromesse.
Come identificare e prevenire gli account orfani con i sistemi IAM?
I sistemi IAM e IGA possono individuare gli account orfani attraverso processi automatizzati di riconciliazione, confrontando gli account presenti nelle directory e nelle applicazioni con i dati dell’azienda, come quelli provenienti dal sistema HR. Quando viene rilevato un account attivo associato a un’identità non più presente o attiva, il sistema può segnalarlo e avviare procedure di verifica, disabilitazione o rimozione.
La prevenzione si basa invece sull’automazione del ciclo di vita delle identità (Joiner-Mover-Leaver), collegando i processi HR all’infrastruttura IT affinché ogni variazione relativa a un dipendente si rifletta tempestivamente sui suoi accessi.
Provisioning e deprovisioning, insieme a RBAC, principio del least privilege e gestione degli account temporanei, permettono di mantenere aggiornati gli accessi. Funzionalità come SSO e MFA contribuiscono inoltre a rafforzare la sicurezza e a ridurre il rischio legato alle credenziali inutilizzate.
Come IAM e IGA automatizzano provisioning e deprovisioning?
I sistemi IAM e IGA automatizzano la gestione del ciclo di vita delle identità, riducendo gli interventi manuali e il rischio di account orfani. Attraverso l’integrazione con sistemi HR, directory e applicazioni, possono attivare flussi di lavoro automatici per la creazione, modifica e revoca degli accessi, assegnando agli utenti i permessi necessari in base al ruolo e rimuovendoli quando non sono più autorizzati.
Yookey, basata su Keycloak, si integra nativamente con YooPoint, la soluzione IGA di E-time, per supportare la gestione del ciclo di vita delle identità e degli accessi. Questa integrazione permette di coordinare i processi di provisioning e deprovisioning, contribuendo a garantire che gli accessi vengano assegnati e revocati in modo coerente e tempestivo.
