Che cos'è la governance dell'accesso ai dati?
Alla fine del 2025, gli attaccanti hanno utilizzato i token OAuth rubati di un'app attendibile per leggere i dati dei clienti Salesforce per quasi un mese. Nessuno ha dovuto violare i sistemi. L'accesso era già presente, molto più ampio di quanto l'app avesse bisogno, e nessuno lo ha revocato. FINRA ora dice alle aziende di concedere alle app connesse solo l'accesso di cui hanno bisogno.
La governance dell'accesso ai dati è il modo in cui si impedisce che un accesso di questo tipo esista fin dall'inizio. È l'insieme di policy e controlli operativi che stabiliscono quali identità possono raggiungere quali dati, applicano tali decisioni e dimostrano che restano corrette nel tempo.
I tuoi dati risiedono tra sistemi on-premises, archivi di oggetti nel cloud e piattaforme SaaS, e sia le persone sia le macchine accumulano privilegi che raramente vengono revocati. Per impostazione predefinita, l'accesso tende a derivare verso una sovraesposizione. Contenere questa deriva è il compito della governance, ed è per questo che la governance dell'accesso ai dati si trova al centro del tuo programma di sicurezza.
Come la governance dell'accesso ai dati si collega alla cybersecurity
La governance dell'accesso ai dati riunisce due aree che di solito operano separatamente: identity and access management (IAM) e sicurezza dei dati. IAM verifica chi è una persona e controlla le credenziali che possiede. La governance dell'accesso ai dati risponde alla domanda che IAM lascia aperta: questa identità dovrebbe raggiungere questi dati specifici, e puoi dimostrare che l'accesso è ancora giustificato? Lo fa aggiungendo classificazione dei dati, policy, validazione continua, ricertificazione e audit.
Questa giustificazione per singola richiesta è ciò che rende la governance dell'accesso ai dati una base per lo zero trust, in cui ogni richiesta di accesso viene verificata indipendentemente dalla posizione di rete o dalla fiducia precedente, come definito in NIST SP 800-207. I blocchi fondamentali riportati di seguito sono ciò che trasforma questo principio in pratica quotidiana.
Come funziona la governance dell'accesso ai dati
La governance dell'accesso ai dati funziona come un ciclo continuo costruito a partire da alcuni blocchi fondamentali. Ogni fase seguente ne mette uno al lavoro, e il ciclo si ripete man mano che cambiano i tuoi dati, le identità e i requisiti aziendali.
1.Scopri e classifica i tuoi dati
Non puoi governare ciò che non puoi vedere o etichettare. Esegui l'inventario dei dati negli ambienti on-premises e cloud, incluse le piattaforme SaaS e gli archivi di oggetti nel cloud, quindi applica etichette di sensibilità persistenti e leggibili dalle macchine allineate alla tua tassonomia normativa e aziendale. Data classification viene prima perché nessun controllo può applicare una policy ai dati che non è in grado di identificare.
2. Mappa le identità e i diritti correnti
Esegui l'inventario di ogni identità che può raggiungere ciascun set di dati classificato, umana e non umana: account utente, account di servizio, chiavi API, token OAuth e agenti AI. Registra a cosa può accedere attualmente ciascuna di esse. Singularity™ Identity crea questo inventario e mantiene visibilità in tempo reale sugli account umani e non umani. Questa baseline diventa il tuo punto di riferimento per l'applicazione delle policy e la ricertificazione.
3. Definisci la policy di accesso
Scrivi regole applicabili dalle macchine che specifichino quali ruoli, attributi o condizioni qualificano un'identità per l'accesso. Usa role-based access control (RBAC) per i diritti di base; attribute-based access control (ABAC) per perfezionarli con il contesto, come postura del dispositivo, posizione o ora del giorno; e separazione dei compiti per impedire che una singola identità detenga privilegi in conflitto.
4. Esegui il provisioning e applica il privilegio minimo
Per impostazione predefinita, nega l'accesso e concedi solo le autorizzazioni minime di cui ogni identità ha bisogno tramite workflow formali di approvazione. Per i dati privilegiati e le operazioni amministrative, usa elevazione temporanea o just-in-time che scade automaticamente e registra ogni sessione privilegiata. Anche certificare che i diritti esistenti siano ancora giustificati rientra in questa fase.
5. Convalida l'accesso in modo continuo
Verifica l'autorizzazione in ogni fase del ciclo di vita dell'accesso, anche molto tempo dopo la prima concessione dell'accesso. NIST SP 800-207 descrive questo processo come un ciclo costante di accesso, valutazione delle minacce, adattamento e rivalutazione della fiducia.
Monitora pattern anomali come volumi di dati insoliti o accessi da posizioni inattese, soprattutto quando sono associati a escalation dei privilegi, e applica controlli più rigorosi agli account privilegiati e di servizio. Il modello di maturità CISA richiede la verifica continua di ogni utente, dispositivo, applicazione e transazione durante tutta la sessione.
6. Riesamina, ricertifica e sottoponi ad audit
Esegui revisioni degli accessi con una cadenza definita, esaminando i diritti a livello individuale per individuare le autorizzazioni che i ruoli accumulano nel tempo. Esegui il deprovisioning dell'accesso entro poche ore da un'uscita, un cambio di ruolo o la dismissione di un workload; e mantieni una traccia di audit completa e centralizzata di ogni concessione, modifica e decisione di ricertificazione. Questi risultati di audit alimentano nuovamente la scoperta e la classificazione. Il ciclo si chiude, poi ricomincia.
Cosa offre una solida governance dell'accesso ai dati
Se esegui questo ciclo di vita in modo coerente, i risultati sono misurabili nella postura di sicurezza, nei risultati degli audit e nel lavoro quotidiano del tuo team.
- Privilegio minimo applicato e raggio d'impatto più ridotto. Ogni identità detiene solo l'accesso di cui ha bisogno, quindi un account compromesso può raggiungere solo un set di dati limitato. Applicare il principio del privilegio minimo è ciò che mantiene contenuta questa esposizione.
- Audit più rapidi e più puliti. Una traccia completa delle decisioni di accesso, delle modifiche ai diritti e dei record di ricertificazione fornisce agli auditor le prove di cui hanno bisogno senza ricostruzioni manuali.
- Riduzione del rischio interno e dell'esposizione accidentale. Un provisioning strutturato e una ricertificazione regolare eliminano gli accessi obsoleti ed eccessivi prima che si trasformino in un incidente.
- Transizioni di ruolo più fluide. Processi formali di ingresso, trasferimento e uscita impediscono che i privilegi si accumulino durante i trasferimenti e rimuovono prontamente gli accessi dopo le uscite.
- Una base per lo zero trust. L'autorizzazione per singola richiesta, la validazione continua e l'applicazione del deny-by-default traducono i principi dello zero trust nella pratica quotidiana.
Questi risultati presuppongono che il programma funzioni nel modo in cui è stato progettato. Nella pratica, una manciata di condizioni ricorrenti impedisce che ciò accada.
Dove i programmi di governance dell'accesso ai dati si interrompono
Anche team capaci e ben dotati di risorse possono avere difficoltà a sostenere la governance dell'accesso ai dati. Quando si verificano errori, di solito risalgono a una manciata di condizioni strutturali e scelte evitabili.
Proliferazione degli accessi e over-provisioning
I diritti si accumulano attraverso cambi di ruolo, concessioni di progetto e accessi di emergenza che non vengono mai revocati, e gli account orfani possono persistere per mesi o anni. Concedere un accesso ampio "per evitare di bloccare il lavoro" peggiora la situazione, poiché questi privilegi permanenti restano indefinitamente. Gli account amministrativi e di servizio con diritti estesi diventano i diritti a più alto rischio in assoluto.
Visibilità limitata tra strumenti e dati
Shadow data si diffondono tra account cloud e strumenti di collaborazione senza mai entrare in un programma di classificazione. Le identità macchina come account di servizio, chiavi API e agenti AI formano ora una popolazione ampia e poco governata che i programmi di identità progettati per utenti umani non sono mai stati pensati per tracciare.
Privileged access management, identity governance, cloud posture e SIEM tools detengono ciascuno solo una vista parziale dei diritti, quindi nessun singolo sistema mostra il quadro completo.
Errori di processo e di ownership
I team trattano l'autorizzazione come una concessione una tantum e non la riesaminano mai quando cambiano i ruoli e la sensibilità dei dati, anche se NIST SP 800-53 richiede la revisione degli account con una frequenza definita dall'organizzazione (controllo AC-2).
Le revisioni vengono approvate automaticamente a livello di ruolo senza esaminare i diritti effettivi che ciascun ruolo conferisce, l'accesso permane per settimane dopo l'uscita di una persona e alcune organizzazioni acquistano strumenti di governance prima di aver classificato i dati che tali strumenti dovrebbero proteggere. Quando nessuna singola funzione possiede il programma tra sicurezza, IT e business, l'intento della policy e l'esecuzione quotidiana si separano.
Niente di tutto questo è irrisolvibile. Ogni elemento di quell'elenco è una scelta progettuale che puoi invertire: assegna un owner, classifica prima di acquistare strumenti e riesamina i diritti invece dei ruoli.
Come la governance dell'accesso ai dati supporta la conformità normativa
Sei framework ampiamente adottati richiedono controlli specifici di governance dell'accesso ai dati. Settori diversi, giurisdizioni diverse, le stesse tre richieste: provisioning secondo il principio del need-to-know, revisione periodica o continua degli accessi e prove verificabili.
| Framework | Requisito di governance degli accessi |
| GDPR (Articoli 5, 25) | I dati personali devono essere limitati a quanto necessario; per impostazione predefinita, i dati non devono essere resi accessibili a un numero indefinito di persone senza intervento. |
| HIPAA (Standard del minimo necessario) | Le entità coperte devono identificare le classi di persone che necessitano di accesso, le categorie di PHI di cui hanno bisogno e le condizioni appropriate a tale accesso. |
| PCI DSS (Requisito 7) | L'accesso ai dati dei titolari di carta è limitato agli individui il cui lavoro lo richiede; il sistema di controllo degli accessi deve negare tutto salvo quanto specificamente consentito. |
| SOX (Sezione 404) | I controlli generali IT richiedono accesso basato sui ruoli per i sistemi finanziari, segregazione dei compiti, revisioni periodiche degli accessi e valutazione annuale della direzione. |
| ISO 27001 (Allegato A 5.15-5.18) | Procedure formali di provisioning, revisione periodica dei diritti di accesso e rimozione o adeguamento dell'accesso in caso di cambio di ruolo o uscita. |
| NIST 800-53 (Famiglia AC) | Policy documentate (AC-1), cicli di vita degli account gestiti (AC-2), autorizzazioni applicate incluse RBAC e ABAC (AC-3) e monitoraggio continuo (CA-7). |
Con la proliferazione degli agenti AI e delle identità non umane, l'attenzione normativa alla governance degli accessi si sta espandendo oltre gli utenti umani. SentinelOne rafforza questi controlli nei workflow di identità, dati e indagine.
Ridurre il rischio di identità in tutta l'organizzazione
Rilevate e rispondete agli attacchi in tempo reale con soluzioni olistiche per Active Directory ed Entra ID.
Richiedi una demoMigliora la governance dell'accesso ai dati con SentinelOne
La governance decide chi dovrebbe raggiungere i tuoi dati. L'applicazione decide chi lo fa davvero. SentinelOne supporta le tue policy di accesso, i modelli di controllo e i programmi di classificazione con identity threat defense, validazione continua degli accessi, visibilità sui dati e indagine integrate nella Singularity Platform.
- Chi può accedere (identità). Singularity Identity ti mostra ogni endpoint e identità da un singolo agente leggero. Applica accesso condizionale basato su policy con blocco della sessione e riautenticazione MFA in Active Directory, Microsoft Entra ID, Okta, Ping, SecureAuth e Duo. Quando si verificano furto di credenziali o escalation dei privilegi, rileva l'attività e blocca il movimento laterale prima che si diffonda.
- Cosa raggiungono (dati). Singularity Cloud Security individua dati sensibili negli archivi di oggetti nel cloud, inclusi Amazon S3, Azure Blob Storage e Google Cloud Storage. Il tuo programma di governance ottiene visibilità sugli archivi che contengono dati regolamentati.
- Come indaghi. Purple AI interroga dati normalizzati tra fonti native e di terze parti in linguaggio naturale, senza un nuovo schema di query da imparare. IDC found che i clienti di Purple AI hanno registrato un'identificazione delle minacce più rapida del 63% e una riduzione del 55% del tempo medio di risposta. Per una conservazione e un'analisi più ampie, Singularity Data Lake esegue un SIEM cloud-native su un data lake su scala petabyte, con ingestione in tempo reale da qualsiasi fonte tramite normalizzazione Open Cybersecurity Schema Framework (OCSF).
Richiedi una demo di SentinelOne e scopri come queste capacità si mappano sul tuo programma di governance degli accessi.
Ottieni protezione dell’identità in tempo reale e visibilità end-to-end negli ambienti ibridi per rilevare esposizioni, bloccare l’abuso delle credenziali e ridurre il rischio legato all’identità.
Punti chiave
La governance dell'accesso ai dati controlla quali identità raggiungono quali dati, applica tali decisioni e produce le prove di cui auditor e leadership hanno bisogno. Poiché l'accesso si accumula nel tempo, il privilegio minimo regge solo se lo applichi in modo continuo lungo l'intero ciclo di vita, dalla scoperta e classificazione fino alla validazione, ricertificazione e audit.
Le identità macchina richiedono ora lo stesso rigore di quelle umane. Inizia classificando i dati a più alto rischio, nega per impostazione predefinita, convalida l'accesso in modo continuo e mantieni una traccia verificabile di ogni decisione. Se lo fai, “chi può raggiungere questi dati?” smette di essere un'indagine su vasta scala. Diventa una semplice verifica.
FAQ sulla Data Access Governance
La Data Access Governance è l'insieme di policy e controlli operativi che determinano quali identità possono raggiungere quali dati, applicano tali decisioni e dimostrano che rimangono corrette nel tempo. Combina classificazione dei dati, policy di accesso, convalida continua, ricertificazione e audit in un unico ciclo di vita.
L'obiettivo è il privilegio minimo applicato: ogni identità umana e non umana dispone solo dell'accesso richiesto dal proprio ruolo, con evidenze verificabili a supporto di ogni decisione.
Identity and access management (IAM) gestisce l'autenticazione e i meccanismi di concessione, gestione e revoca delle credenziali di accesso. La governance dell'accesso ai dati aggiunge classificazione dei dati, definizione delle policy, convalida continua, ricertificazione e audit.
IAM risponde a "questa identità può autenticarsi e quali autorizzazioni possiede?" mentre la governance dell'accesso ai dati risponde a "questa identità dovrebbe avere tali autorizzazioni, l'accesso è ancora giustificato e puoi dimostrarlo?"
La responsabilità della governance dell'accesso ai dati in genere si estende a tre funzioni. Il CISO o il team di sicurezza definisce le policy, imposta le soglie di rischio e gestisce il monitoraggio continuo. Le operazioni IT o IAM gestiscono provisioning, deprovisioning e strumenti.
I proprietari aziendali dei dati verificano che i diritti di accesso corrispondano agli attuali requisiti lavorativi durante la ricertificazione. Le organizzazioni spesso designano un responsabile della governance o un comitato direttivo per coordinare queste tre funzioni.
La frequenza delle revisioni degli accessi e della ricertificazione dovrebbe riflettere la sensibilità dei dati e il livello di privilegio. I dati regolamentati e gli account con privilegi elevati richiedono in genere revisioni più frequenti rispetto all'accesso standard degli utenti.
Combina revisioni basate sul calendario con una cadenza definita e ricertificazione guidata dagli eventi attivata da cambi di ruolo, trasferimenti e cessazioni. I sistemi altamente sensibili possono richiedere una convalida continua, poiché i controlli periodici puntuali non rilevano gli accessi che si discostano tra un ciclo e l'altro.
Quando si avvia un programma, iniziare classificando i dati che comportano il maggiore impatto normativo o aziendale: informazioni di identificazione personale, informazioni sanitarie protette, dati dei titolari di carta, registrazioni finanziarie soggette a SOX e proprietà intellettuale.
NIST IR 8496 raccomanda di definire cosa costituisce una risorsa di dati prima di classificarla, quindi di applicare etichette persistenti. Una volta governati i dati ad alta sensibilità, estendere la classificazione verso l’esterno.
La Data Access Governance deve coprire le identità non umane, gli account di servizio, le chiavi API, i token OAuth e gli agenti AI creano, spostano e accedono ai dati alla velocità delle macchine e spesso ricevono ampi privilegi permanenti durante il provisioning.
Il tuo programma di governance dovrebbe inventariare le identità non umane insieme a quelle umane, applicare gli stessi standard di privilegio minimo e ricertificazione e utilizzare credenziali a tempo ove possibile.
