Governance degli accessi ai dati: controllate chi vede quali dati e dimostratelo
La governance degli accessi ai dati controlla quali identità possono accedere a quali dati, applica le decisioni e verifica che gli accessi restino corretti. Scoprite come funziona il ciclo.
Che cos’è la governance degli accessi ai dati?
Alla fine del 2025, alcuni aggressori hanno usato token OAuth rubati a un’app attendibile per leggere i dati dei clienti Salesforce per quasi un mese. Non hanno dovuto forzare alcun accesso. L’accesso esisteva già, era molto più ampio del necessario e nessuno lo aveva revocato. Ora FINRA chiede alle aziende di concedere alle app connesse solo gli accessi necessari.
La governance degli accessi ai dati serve a impedire che accessi simili esistano fin dall’inizio. È l’insieme di policy e controlli operativi che stabiliscono quali identità possono accedere a quali dati, applicano tali decisioni e verificano che restino corrette nel tempo.
I vostri dati risiedono in sistemi on-premise, archivi di oggetti nel cloud e piattaforme SaaS. Persone e macchine accumulano privilegi che raramente vengono revocati. Per impostazione predefinita, gli accessi tendono a diventare eccessivi. Contenere questa deriva è il compito della governance degli accessi ai dati, che per questo è centrale nel vostro programma di sicurezza.
Il rapporto tra governance degli accessi ai dati e cybersecurity
La governance degli accessi ai dati unisce due ambiti che di solito operano separatamente: gestione delle identità e degli accessi (IAM) e sicurezza dei dati. IAM verifica l’identità di una persona e controlla le credenziali in suo possesso. La governance degli accessi ai dati risponde alla domanda che IAM lascia aperta: questa identità dovrebbe accedere a questi dati specifici e potete dimostrare che l’accesso è ancora giustificato? Lo fa attraverso classificazione dei dati, policy, convalida continua, ricertificazione e audit.
La verifica di ogni richiesta rende la governance degli accessi ai dati un fondamento dello zero trust, in cui ogni richiesta di accesso viene verificata indipendentemente dalla posizione nella rete o dalla fiducia accordata in precedenza, secondo la definizione di NIST SP 800-207. Gli elementi fondamentali descritti di seguito trasformano questo principio in una pratica quotidiana.
Come funziona la governance degli accessi ai dati
La governance degli accessi ai dati segue un ciclo continuo basato su alcuni elementi fondamentali. Ogni fase li mette in pratica e il ciclo si ripete quando cambiano i vostri dati, le identità e le esigenze aziendali.
1.Individuate e classificate i vostri dati
Non potete governare ciò che non riuscite a vedere o classificare. Inventariate i dati negli ambienti on-premise e cloud, incluse le piattaforme SaaS e gli archivi di oggetti nel cloud, poi applicate etichette di sensibilità persistenti, leggibili dalle macchine e coerenti con la vostra tassonomia normativa e aziendale. La classificazione dei dati viene prima di tutto, perché nessun controllo può applicare una policy a dati che non riesce a identificare.
2. Mappate le identità e i diritti di accesso attuali
Inventariate ogni identità, umana o non umana, che può accedere a ciascun insieme di dati classificati: account utente, service account, API key, token OAuth e agenti IA. Registrate a cosa può accedere attualmente ciascuna identità. Singularity™ Identity crea questo inventario e mantiene una visibilità aggiornata sugli account umani e non umani. Questa base diventa il vostro riferimento per l’applicazione delle policy e la ricertificazione.
3. Definite le policy di accesso
Definite regole applicabili automaticamente che specifichino quali ruoli, attributi o condizioni autorizzano un’identità ad accedere. Usate il controllo degli accessi basato sui ruoli (RBAC) per i diritti di accesso di base; il controllo degli accessi basato sugli attributi (ABAC) per perfezionarli in base a fattori come la sicurezza del dispositivo, la posizione o l’ora; e la separazione dei compiti per evitare che una singola identità detenga privilegi in conflitto.
4. Assegnate e applicate il privilegio minimo
Negate l’accesso per impostazione predefinita e concedete solo le autorizzazioni minime necessarie a ciascuna identità attraverso procedure formali di approvazione. Per i dati riservati e le operazioni amministrative, usate privilegi elevati a tempo o just-in-time che scadono automaticamente e registrate ogni sessione privilegiata. Anche la verifica che i diritti di accesso esistenti siano ancora giustificati rientra in questa fase.
5. Convalidate gli accessi continuamente
Verificate le autorizzazioni in ogni fase del ciclo di vita dell’accesso, anche molto tempo dopo la concessione iniziale. NIST SP 800-207 descrive questo processo come un ciclo costante di accesso, valutazione delle minacce, adattamento e rivalutazione della fiducia.
Monitorate comportamenti anomali, come volumi di dati insoliti o accessi da posizioni inattese, soprattutto se associati a un’escalation dei privilegi, e applicate controlli più rigorosi agli account privilegiati e ai service account. Il modello di maturità della CISA richiede la verifica continua di ogni utente, dispositivo, applicazione e transazione per tutta la durata della sessione.
6. Esaminate, ricertificate ed effettuate audit
Esaminate gli accessi a intervalli definiti, verificando i diritti di ogni identità per individuare le autorizzazioni che i ruoli accumulano nel tempo. Revocate gli accessi entro poche ore dall’uscita di una persona, da un cambio di ruolo o dalla dismissione di un workload; e mantenete un registro di audit completo e centralizzato di ogni concessione, modifica e decisione di ricertificazione. I risultati degli audit alimentano nuovamente le attività di individuazione e classificazione. Il ciclo si chiude, poi ricomincia.
I risultati di una solida governance degli accessi ai dati
Applicate questo ciclo con costanza e otterrete risultati misurabili nella postura di sicurezza, negli audit e nel lavoro quotidiano del vostro team.
- Privilegio minimo applicato e impatto delle compromissioni ridotto. Ogni identità dispone solo degli accessi necessari, quindi un account compromesso può raggiungere soltanto un insieme limitato di dati. L’applicazione del principio del privilegio minimo contiene questa esposizione.
- Audit più rapidi e ordinati. Un registro completo delle decisioni di accesso, delle modifiche ai diritti e delle ricertificazioni offre agli auditor le prove necessarie senza doverle ricostruire manualmente.
- Meno rischi interni ed esposizioni accidentali. L’assegnazione strutturata degli accessi e la ricertificazione periodica eliminano gli accessi obsoleti ed eccessivi prima che causino un incidente.
- Passaggi di ruolo più fluidi. Procedure formali per ingressi, cambi di ruolo e uscite impediscono l’accumulo di privilegi durante i trasferimenti e revocano tempestivamente gli accessi dopo le uscite.
- Le fondamenta per zero trust. L'autorizzazione per ogni richiesta, la convalida continua e il diniego per impostazione predefinita rendono zero trust una pratica quotidiana.
Questi risultati presuppongono che il programma funzioni come previsto. Nella pratica, alcune condizioni ricorrenti lo impediscono.
Dove si inceppano i programmi di governance dell'accesso ai dati
Anche i team competenti e dotati di risorse adeguate possono faticare a mantenere la governance dell'accesso ai dati. Quando si verificano fallimenti, di solito dipendono da poche condizioni strutturali e scelte evitabili.
Proliferazione degli accessi e privilegi eccessivi
Le autorizzazioni si accumulano con i cambi di ruolo, gli accessi concessi per i progetti e gli accessi di emergenza mai revocati. Gli account orfani possono persistere per mesi o anni. Concedere accessi ampi "per non bloccare il lavoro" peggiora la situazione: quei privilegi permanenti restano attivi a tempo indeterminato. Gli account amministrativi e di servizio con ampi privilegi sono le autorizzazioni più rischiose.
Visibilità limitata su strumenti e dati
I dati nascosti si diffondono tra account cloud e strumenti di collaborazione senza mai essere inclusi in un programma di classificazione. Le identità macchina, come account di servizio, API key e agenti IA, costituiscono ormai una popolazione ampia e poco governata che i programmi di gestione delle identità progettati per gli utenti umani non sono mai stati pensati per monitorare.
Gli strumenti di gestione degli accessi privilegiati, governance delle identità, valutazione della postura cloud e SIEM offrono ciascuno solo una visione parziale delle autorizzazioni. Nessun sistema mostra quindi il quadro completo.
Fallimenti nei processi e nell'attribuzione delle responsabilità
I team trattano l'autorizzazione come una concessione una tantum e non la riesaminano quando cambiano i ruoli o la sensibilità dei dati, sebbene NIST SP 800-53 richieda di riesaminare gli account con una frequenza definita dall'organizzazione (controllo AC-2).
Le revisioni vengono approvate automaticamente a livello di ruolo senza esaminare le autorizzazioni effettive che ciascun ruolo conferisce. Gli accessi restano attivi per settimane dopo l'uscita di una persona e alcune organizzazioni acquistano strumenti di governance prima di classificare i dati da proteggere. Se nessuna funzione è responsabile del programma tra sicurezza, IT e attività aziendali, le politiche e la loro applicazione quotidiana divergono.
Tutti questi problemi possono essere risolti. Ogni elemento dell'elenco deriva da una scelta progettuale che potete cambiare: nominate un responsabile, classificate i dati prima di acquistare strumenti e riesaminate le autorizzazioni anziché i ruoli.
Come la governance dell'accesso ai dati sostiene la conformità normativa
Sei framework ampiamente adottati richiedono controlli specifici per la governance dell'accesso ai dati. Settori e giurisdizioni diversi, tre requisiti comuni: concessione degli accessi secondo il principio della necessità di sapere, revisione periodica o continua degli accessi e prove verificabili.
| Framework | Requisito di governance degli accessi |
| GDPR (articoli 5, 25) | I dati personali devono essere limitati a quanto necessario; per impostazione predefinita, non devono essere accessibili a un numero indefinito di persone senza un intervento. |
| HIPAA (standard del minimo necessario) | Le entità soggette alla normativa devono individuare le categorie di persone che necessitano dell'accesso, le categorie di informazioni sanitarie protette (PHI) necessarie e le condizioni appropriate per tale accesso. |
| PCI DSS (requisito 7) | L'accesso ai dati dei titolari di carta è limitato alle persone che ne hanno bisogno per il proprio lavoro; il sistema di controllo degli accessi deve negare ogni accesso non espressamente autorizzato. |
| SOX (sezione 404) | I controlli IT generali richiedono accessi basati sui ruoli ai sistemi finanziari, separazione dei compiti, revisioni periodiche degli accessi e una valutazione annuale da parte della direzione. |
| ISO 27001 (allegato A 5.15-5.18) | Procedure formali per la concessione degli accessi, revisione periodica dei diritti di accesso e revoca o modifica degli accessi in caso di cambio di ruolo o uscita dall'organizzazione. |
| NIST 800-53 (famiglia AC) | Politiche documentate (AC-1), gestione del ciclo di vita degli account (AC-2), applicazione delle autorizzazioni, inclusi RBAC e ABAC (AC-3), e monitoraggio continuo (CA-7). |
Con la proliferazione degli agenti IA e delle identità non umane, l'attenzione normativa alla governance degli accessi si estende oltre gli utenti umani. SentinelOne rafforza questi controlli nei flussi di lavoro relativi a identità, dati e indagini.
Ridurre il rischio di identità in tutta l'organizzazione
Rilevate e rispondete agli attacchi in tempo reale con soluzioni olistiche per Active Directory ed Entra ID.
Migliorate la governance dell'accesso ai dati con SentinelOne
La governance stabilisce chi dovrebbe accedere ai vostri dati. L'applicazione dei controlli determina chi vi accede davvero. SentinelOne sostiene le vostre politiche di accesso, i modelli di controllo e i programmi di classificazione con la difesa dalle minacce alle identità, la convalida continua degli accessi, la visibilità sui dati e le funzionalità di indagine integrate nella Singularity Platform.
- Chi può accedere (identità). Singularity Identity vi offre una visione di ogni endpoint e identità tramite un unico agente leggero. Applica l'accesso condizionale basato su policy, con blocco delle sessioni e nuova autenticazione MFA su Active Directory, Microsoft Entra ID, Okta, Ping, SecureAuth e Duo. In caso di furto di credenziali o escalation dei privilegi, rileva l'attività e blocca i movimenti laterali prima che si diffondano.
- A quali dati accedono (dati). Singularity Cloud Security individua i dati sensibili nello storage di oggetti cloud, tra cui Amazon S3, Azure Blob Storage e Google Cloud Storage. Il vostro programma di governance ottiene visibilità sugli archivi che custodiscono dati soggetti a normative.
- Come conducete le indagini. Purple AI interroga in linguaggio naturale i dati normalizzati provenienti da fonti native e di terze parti, senza richiedere l'apprendimento di un nuovo schema di query. IDC ha rilevato che i clienti di Purple AI hanno identificato le minacce il 63% più velocemente e ridotto del 55% il tempo medio di risposta. Per una conservazione e un'analisi più ampie, Singularity Data Lake esegue un SIEM cloud-native su un data lake in scala petabyte, acquisendo dati in tempo reale da qualsiasi fonte tramite la normalizzazione Open Cybersecurity Schema Framework (OCSF).
Richiedete una demo di SentinelOne e scoprite come queste funzionalità si integrano nel vostro programma di governance degli accessi.
Ottieni protezione dell’identità in tempo reale e visibilità end-to-end negli ambienti ibridi per rilevare esposizioni, bloccare l’abuso delle credenziali e ridurre il rischio legato all’identità.
Punti chiave
La governance dell'accesso ai dati controlla quali identità accedono a quali dati, applica tali decisioni e produce le evidenze necessarie ai revisori e alla dirigenza. Poiché gli accessi si accumulano nel tempo, il principio del privilegio minimo regge solo se lo applicate continuamente lungo l'intero ciclo di vita, dalla scoperta e classificazione alla convalida, ricertificazione e verifica.
Le identità macchina richiedono ora lo stesso rigore di quelle umane. Iniziate classificando i dati a più alto rischio, negate l'accesso per impostazione predefinita, convalidate gli accessi continuamente e conservate una traccia verificabile di ogni decisione. Così, la domanda “chi può accedere a questi dati?” non richiede più un'indagine approfondita. Basta una semplice ricerca.
Domande frequenti sulla governance dell'accesso ai dati
La governance dell'accesso ai dati è l'insieme di policy e controlli operativi che determinano quali identità possono accedere a quali dati, applicano tali decisioni e dimostrano che restano corrette nel tempo. Riunisce classificazione dei dati, policy di accesso, convalida continua, ricertificazione e verifica in un unico ciclo di vita.
L'obiettivo è applicare il principio del privilegio minimo: ogni identità, umana o non umana, dispone solo degli accessi necessari al proprio ruolo, con evidenze verificabili a sostegno di ogni decisione.
La gestione delle identità e degli accessi (IAM) gestisce l'autenticazione e i processi di concessione, gestione e revoca delle credenziali di accesso. La governance dell'accesso ai dati aggiunge classificazione dei dati, definizione delle policy, convalida continua, ricertificazione e verifica.
IAM risponde alla domanda "questa identità può autenticarsi e quali autorizzazioni possiede?", mentre la governance dell'accesso ai dati risponde a "questa identità dovrebbe avere tali autorizzazioni, l'accesso è ancora giustificato e potete dimostrarlo?"
La responsabilità della governance dell'accesso ai dati coinvolge generalmente tre funzioni. Il CISO o il team di sicurezza definisce le policy, stabilisce le soglie di rischio e conduce il monitoraggio continuo. Il team IT o IAM gestisce l'assegnazione e la revoca degli accessi e gli strumenti.
Durante la ricertificazione, i responsabili dei dati aziendali verificano che le autorizzazioni corrispondano alle esigenze attuali dei ruoli. Le organizzazioni spesso designano un responsabile della governance o un comitato direttivo per coordinare queste tre funzioni.
La frequenza delle revisioni degli accessi e della ricertificazione dovrebbe riflettere la sensibilità dei dati e il livello dei privilegi. I dati soggetti a normative e gli account con privilegi elevati richiedono di norma revisioni più frequenti rispetto agli accessi degli utenti standard.
Combinate revisioni periodiche a intervalli definiti con ricertificazioni attivate da cambiamenti di ruolo, trasferimenti e uscite dall'organizzazione. I sistemi altamente sensibili possono richiedere una convalida continua, perché i controlli periodici non rilevano le variazioni degli accessi tra un ciclo e l'altro.
All'avvio di un programma, iniziate classificando i dati con il maggiore impatto normativo o aziendale: dati personali identificabili, dati sanitari protetti, dati dei titolari di carte di pagamento, documenti finanziari soggetti alla normativa SOX e proprietà intellettuale.
NIST IR 8496 raccomanda di definire cosa costituisce una risorsa di dati prima di classificarla, per poi applicare etichette persistenti. Una volta governati i dati più sensibili, estendete la classificazione agli altri dati.
La governance dell'accesso ai dati deve includere le identità non umane, come service account, API key, token OAuth e agenti IA, che creano, spostano e consultano dati alla velocità delle macchine e spesso ricevono ampi privilegi permanenti durante l'assegnazione degli accessi.
Il vostro programma di governance dovrebbe censire le identità non umane insieme a quelle umane, applicare gli stessi standard di privilegio minimo e ricertificazione e usare credenziali a durata limitata ove possibile.
Scopri di più su Sicurezza delle identità
Pronto a rivoluzionare le tue operazioni di sicurezza?
Scopri come SentinelOne AI SIEM può trasformare il tuo SOC in una potenza autonoma. Contattaci oggi stesso per una demo personalizzata e scopri il futuro della sicurezza in azione.
