Il perimetro della sicurezza si è ormai spostato sull'identità, da cui parte due terzi degli attacchi; la governance delle identità non riguarda più solo le persone, ma sempre più anche gli agenti AI, spesso attivi in azienda senza che nessuno se ne accorga. Per mettere in sicurezza le identità occorre la capacità di velocizzare l'accesso ai dispositivi condivisi, ed è esattamente il core business di Imprivata. SecurityOpenLab ha approfondito il tema con Gilberto Bonutti, Regional Sales Manager & Head of Italy.

Imprivata è un'azienda “specializzata in Identity Access Management, sicurezza e gestione delle identità, nata 24 anni fa, anche se ancora poco conosciuta in Italia. Ha esordito nel mondo on-premise, e quest’esperienza accumulata si è rivelata utile nella gestione delle integrazioni dei sistemi moderni con quelli legacy, che sono ancora molto diffusi in Italia” spiega Bonutti. Il settore in cui il vendor ha costruito la propria base clienti è la sanità statunitense, dove oggi oltre il 90% delle strutture utilizza le soluzioni Imprivata.

Negli ultimi dieci anni Imprivata ha acquisito otto aziende per costruire una piattaforma flessibile che integrasse le nuove soluzioni acquisite, a rafforzamento di quelle proprietarie in essere e in via di sviluppo. Imprivata ha ampliato la propria influenza geografica con l’arrivo in Europa e l’apertura a mercati diversi da quello sanitario in cui ha esordito. In particolare, il vendor sta lavorando per inserirsi “in ambito enterprise, manifatturiero e nel retail, che sono settori in cui sono ancora diffusi i sistemi legacy e in cui la gestione degli accessi condivisi, tramite account di servizio, resta un problema aperto” sottolinea Bonutti. Proprio su questo fronte, il manager cita la normativa NIS2 come un elemento che sta favorendo l'adozione delle soluzioni di identity security, anche in ambiti come il retail dove "spesso ci sono accessi condivisi ed è difficile identificare chi fa cosa".

Gilberto Bonutti, Regional Sales Manager & Head of Italy

L’identità al centro

Il filo conduttore dell’intervista è la centralità dell'identità, umana e non, come nuovo perimetro della sicurezza. Sul fronte umano, la consapevolezza in Italia e più in generale nel Sud Europa resta bassa: non sono rari i casi di aziende che preferiscono accantonare un budget per eventuali sanzioni, piuttosto che fermare l’operatività per adeguare la gestione degli accessi, anche in un contesto di NIS2 che circoscrive le responsabilità.

Sul fronte delle identità non umane, il tema si complica ulteriormente con la diffusione degli agenti AI. Bonutti cita il caso, molto discusso nelle scorse settimane, dell'attacco a Hugging Face avvenuto durante un test interno di OpenAI: episodi come questo mostrano bene quanto la questione delle identità agentiche sia ormai un problema concreto, perché molte aziende hanno oggi centinaia di agenti AI attivi all'interno della propria infrastruttura senza “un inventario concreto di dove sono già utilizzati gli agenti AI, chi ne è proprietario, quali possono accedere a dati sensibili o agire in autonomia”.

Per gestire questa complessità, Bonutti propone infatti un approccio strutturato: "l'approccio corretto consiste nel registrare gli agenti, dargli delle identità per poterli riconoscere e rintracciare, e soprattutto dare loro delle policy che stabiliscono a quali applicazioni, quali dati e quali funzioni possono avere accesso, definendo anche quali sono i workflow approvati, sempre rimanendo sotto una supervisione umana". Bonutti prosegue sottolineando la necessità "che ogni agente abbia almeno un responsabile che decida quali sono i limiti, che cosa deve fare e per quanto tempo. Questo responsabile deve essere una persona umana" aggiunge, spiegando che ogni attività deve confluire in un registro utile sia per studiare e ottimizzare il comportamento degli agenti sia per intervenire, fino ad arrivare alla sospensione nei casi più gravi.

"Il tema principale è un monitoraggio continuo, perché non si può pensare di controllare a campione. Abbiamo una macchina che lavora 24 ore su 24 e ci deve essere un monitoraggio continuo, idealmente affidato a un'intelligenza artificiale esterna che segnali se l'agente sta facendo qualcosa fuori dal workflow previsto" conclude Bonutti, ricordando che tecnicamente serve la collaborazione di più team, perché non basta l'IT da solo: servono anche la governance e la strategia di business, secondo una logica di security by design che richiama quanto già previsto dal GDPR a suo tempo.

Dalla teoria ai fatti

Nella soluzione di gestione delle identità degli agenti AI di Imprivata, questo approccio si traduce in passaggi operativi molto concreti. "Dopo che gli agenti sono registrati, bisogna assegnare loro un owner. Nel dettaglio una schermata permette di registrare l'agente, poi si fa il discovery, si inseriscono le credenziali e si definiscono le policy su dove può agire l’agente, se solo in lettura o anche con azioni specifiche, e in quali applicativi e con quali limiti" racconta Bonutti. A questo si affianca una componente di detection and response, costruita a partire dall’expertese di un'azienda acquisita l'anno scorso, che permette di "vedere in tempo reale cosa fa quell'agente, dove lo fa e se rientra negli schemi preconfigurati, compilando un registro di attività" spiega Bonutti. Il sistema può bloccare, fermare o revocare l'accesso in caso di comportamento anomalo, oppure limitarsi a inviare un alert al responsabile umano dell'agente.

Per quanto riguarda il fronte umano, l'identity security di Imprivata punta soprattutto sulla velocità e sulla semplicità di accesso al dispositivo, più che alla singola applicazione. "La nostra peculiarità è l'accesso passwordless al dispositivo, integrandoci anche con soluzioni di nostri competitor lato applicazioni” spiega Bonutti. "Nelle realtà in cui il badge è molto utilizzato come la sanità, il nostro agente si mette in comunicazione con un hardware esterno che legge i badge, tramite NFC per esempio. Ove il badge sia assente si possono attivare il fingerprint oppure il face recognition" racconta. Nella stragrande maggioranza dei casi, il collegamento avviene tramite Active Directory, dove il badge ha un ID unico che riconosce la persona, quindi in questo processo non viene trattato alcun dato sensibile", aggiunge Bonutti. Una volta letto il badge, la piattaforma recupera le credenziali dell'utente, lo autentica sulla macchina senza che debba digitare login e password, e gestisce in automatico anche l'accesso agli applicativi usati in quel contesto professionale, che siano cartelle cliniche, gestionali o altri sistemi critici. È una gestione end-to-end dell'identità, dal dispositivo fino al singolo applicativo. E se in azienda è già presente una soluzione IAM di terze parti, la nostra piattaforma è in grado di dialogare comunque con essa: recuperiamo le credenziali e attiviamo automaticamente la connessione all'applicativo, senza che l'utente debba fare nulla" conclude. Sui sistemi legacy, l'azienda è particolarmente ferrata perché è in grado di automatizzare l’accesso senza doverli sostituire o modificare preservando così gli investimenti già fatti dalle aziende.

L'impatto di questa semplificazione si vede concretamente sul campo. Un caso d'uso citato da Bonutti riguarda un ospedale di New York con 600 posti letto, che desiderava automatizzare un processo manuale per individuare la sottrazione di farmaci destinati ai pazienti. Dopo una valutazione che ha coinvolto diversi team, tra cui farmacia, compliance e personale clinico, “l'ospedale ha adottato Imprivata Drug Diversion Intelligence, una piattaforma che prende i dati dalle cartelle cliniche elettroniche e dalle risorse umane e correla gli accessi degli utenti, le attività relative ai farmaci e il contesto operativo, per individuare le discrepanze e i comportamenti anomali" spiega Bonutti, che definisce questo "un caso di intelligenza artificiale utilizzata per fini di accesso", distinto dall'identità agentica vera e propria.

Sul fronte dell'evoluzione della piattaforma, Bonutti conferma che gran parte degli sviluppi futuri riguarda la parte di intelligenza artificiale, anche nell'utilizzo interno per lo sviluppo di nuove soluzioni. Tra le priorità c'è l'integrazione delle soluzioni dell’ultima azienda acquisita, che si occupa di ITDR, oltre all'ampliamento del supporto ad Android e Mac e agli accessi da mobile, "sia come accesso al device sia come accesso applicativo", con funzioni come la multifactor authentication e un meccanismo che chiude la sessione se ci si allontana a lungo dal terminale.

Crescono anche in Italia le richieste di soluzioni biometriche. "In Italia normalmente il Garante, soprattutto nel settore pubblico, non ne autorizza l’uso, ma recentemente, se il beneficio è maggiore del rischio, dà il nullaosta" racconta Bonutti, citando il caso della necessità di usare l’autenticazione facciale per le sale operatorie, dove il chirurgo entra indossando già guanti e maschera, quindi non può maneggiare il badge. Rendere questo tipo di autenticazione disponibile on-premise "è un'altra delle evoluzioni su cui stiamo lavorando, oltre alla parte agentica" aggiunge Bonutti.

Proprio la richiesta di soluzioni on-premise sta tornando protagonista dopo un periodo di forte spinta verso il cloud: "ormai il modello è ibrido, per facilità. Ai tempi della pandemia c'erano maggiori budget, si è iniziato a fidarsi del cloud e si è fatto uno shift left, però ci sono delle informazioni che non ha senso avere in cloud e che si possono ottimizzare molto meglio con soluzioni ibride". Il tema si riaggancia anche alla sovranità e alle certificazioni ACN, a cui Imprivata sta lavorando.

Guardando ai prossimi dodici, diciotto mesi, per Bonutti l'evoluzione dell'identity security passerà innanzitutto da un cambio di prospettiva sul concetto stesso di identità: "dobbiamo ampliare il concetto di identità, includendo anche quella non umana, predisponendo un controllo in tempo reale; le autorizzazioni dovranno seguire il principio del privilegio minimo, quindi essere sempre contestuali e temporanee" spiega. Proprio la temporaneità, aggiunge, resta un punto debole nella gestione delle identità umane, "perché si fa un progetto, si danno le credenziali, poi la persona cambia progetto o termina il contratto e le credenziali non vengono revocate per mancanza di tempo". Per gli agenti AI, sostiene Bonutti, "questo principio dev’essere assolutamente applicato". Non basterà però moltiplicare i controlli in modo indiscriminato: "il successo non sarà più misurato dal numero di agenti distribuiti, ma dall'efficacia nel governarli. Servirà una visibilità continua su chi accede e sulla coerenza del comportamento, per sapere sempre se un agente è autenticato e soprattutto se sta facendo quello per cui è stato programmato" conclude Bonutti. In definitiva, la sicurezza dell'identità sarà "la base che consentirà alle imprese di scalare", con un vantaggio competitivo che non deriverà "solo dall'automazione in sé, ma dalla capacità di coniugare velocità, autonomia e fiducia con la responsabilità".

Verticali e canale

Tornando ai settori di interesse per il mercato italiano, oltre alla sanità pubblica e privata e al manifatturiero, Bonutti cita il retail e altri settori critici, che vanno dalla GDO agli aeroporti, dove Imprivata può far valere il punto di forza che “non ha quasi nessuno: velocizzare non tanto l'accesso all'applicativo quanto l'accesso al device". Il valore di questo dettaglio è di facile comprensione: se una macchina è condivisa su tre turni e gli operatori si alternano tra pause e turni, si "generano una decina di accessi per turno, quindi trenta accessi su tre turni. Se per ciascuno si riesce a risparmiare anche solo un minuto (e di solito è di più) grazie a Imprivata, si risparmiano trenta minuti. Moltiplicato per mille persone è un saving rilevante, che il management anche non tecnico non ha difficoltà a vedere come ROI concreto".

A questo, aggiunge Bonutti, si somma spesso un beneficio di compliance, perché i dispositivi condivisi "molte volte non hanno un accesso a utente ma un service account che non è in linea con le linee guida di molte direttive". Un ultimo elemento distintivo riguarda l'ampiezza della piattaforma costruita da Imprivata: "abbiamo una piattaforma che attua enterprise management sulla postazione sia fisica che virtuale (VDI), e che si sta affacciando anche al mondo mobile, soprattutto in ambito logistica. Esistono appliance che caricano il telefono, e che quando un dipendente si accredita con il badge attivano il telefono/tablet con la batteria più carica, avviano in automatico il software con le credenziali di chi lo prende. Quando a fine turno l’addetto lo rimette in carica, tutti i dati vengono cancellati".

C'è poi un'area di privilege access management, con una soluzione nata con il focus di mettere in contatto nella maniera più sicura possibile l’azienda fornitrice e l’azienda che utilizza il servizio, "molto focalizzata sulla relazione tra vendor ed organizzazione servita, oppure tra cliente e partner responsabile della gestione operativa. Ad esempio consente di gestire gli accessi dei vendor senza dover condividere le password, tramite tunnel e sessioni registrate in cui le credenziali vengono cambiate automaticamente ogni tre mesi".

Sul fronte del canale, Bonutti conferma che in Italia Imprivata lavora esclusivamente tramite partner e che non approccia direttamente il cliente. L'obiettivo è costruire una rete di  cinque o sei partner, alcuni dei quali hanno già firmato accordi non ancora resi pubblici. Uno dei partner più strutturato sta facendo anche formazione sui servizi professionali.