Glossario

Una guida di riferimento ai principali concetti, protocolli e tecnologie di cybersecurity legati alla gestione delle password, agli accessi privilegiati e alla postura di sicurezza delle aziende.

Sicurezza degli accessi

La sicurezza degli accessi è l’insieme delle misure tecniche e organizzative che proteggono l’accesso alle risorse di un sistema informativo. Comprende l’autenticazione forte, il controllo degli accessi basato sui ruoli (RBAC), il principio del privilegio minimo, la registrazione delle sessioni e la gestione degli accessi privilegiati (PAM). Una buona sicurezza degli accessi protegge da accessi non autorizzati, compromissione degli account e movimento laterale all’interno della rete.

AES-256

AES-256 (Advanced Encryption Standard, 256 bit) è un algoritmo di cifratura simmetrica usato in tutto il mondo per proteggere dati classificati e sensibili. Con la tecnologia di calcolo attuale è considerato inviolabile. AES-256 è lo standard di cifratura adottato da governi, istituti finanziari e organizzazioni attente alla sicurezza per cifrare i dati a riposo e in transito. Heimlane Vault usa AES-256-CBC con HMAC-SHA256 per cifrare l’intero contenuto della cassaforte lato client, prima che raggiunga il server.

Argon2id

Argon2id è una moderna funzione di derivazione della chiave (KDF) progettata per resistere agli attacchi a forza bruta richiedendo molta memoria e molto tempo di calcolo. Ha vinto la Password Hashing Competition nel 2015 ed è raccomandata da OWASP per l’hashing delle password. A differenza di algoritmi più vecchi come PBKDF2, Argon2id resiste agli attacchi basati su GPU e ASIC grazie alla sua struttura memory-hard. Heimlane Vault supporta Argon2id come KDF raccomandata per derivare le chiavi principali dalle password degli utenti.

Audit trail

Un audit trail è il registro cronologico di chi ha fatto cosa, quando e da dove, conservato in una forma utilizzabile come prova. Negli accessi privilegiati è composto da eventi strutturati (autenticazione, sessione aperta, destinazione raggiunta, credenziale usata, file trasferito, sessione chiusa) e non da video, il che lo rende ricercabile, esportabile verso un SIEM e utilizzabile per la reportistica di conformità. Il suo valore dipende dall’integrità: i log devono essere scritti in un luogo in cui la persona registrata non possa modificarli e conservati abbastanza a lungo da coprire il tempo di rilevamento di un incidente reale, che si misura in mesi. La registrazione della sessione mostra cosa è successo a schermo; l’audit trail è ciò che si interroga.

Bastion

Un bastion (detto anche bastion host o jump server) è un punto di ingresso rinforzato che funge da unico gateway controllato per amministratori e fornitori terzi che accedono ai server e alle applicazioni di un’organizzazione. Tutte le connessioni privilegiate passano dal bastion, che autentica gli utenti, applica le policy di accesso, registra le sessioni e fornisce un audit trail completo. In Francia “bastion” è molto usato come sinonimo di soluzioni PAM (Privileged Access Management). Heimlane Realm funziona come bastion e offre accesso dal browser a destinazioni RDP, SSH e VNC, con registrazione completa delle sessioni e iniezione delle credenziali. Approfondisci: che cos’è un bastion host, a cosa serve e come distribuirlo.

Monitoraggio delle violazioni

Il monitoraggio delle violazioni verifica se un indirizzo email, un dominio o una password compaiono in data breach e dump di credenziali noti, che circolano pubblicamente o sui mercati criminali. Funziona confrontando i tuoi identificatori con raccolte aggregate di violazioni come Have I Been Pwned, in genere con la k-anonymity, così che il servizio non conosca mai la password completa che stai controllando. Un riscontro non significa che la tua cassaforte sia stata compromessa: significa che una credenziale che usi da qualche parte è pubblica e va cambiata. Heimlane Vault include controlli manuali delle violazioni nel piano gratuito e controlli automatici e in blocco nei piani a pagamento, così le credenziali esposte emergono prima che qualcuno si decida a usarle.

Account break-glass

Un account break-glass, detto anche account amministrativo di emergenza, è un account con privilegi elevatissimi tenuto in riserva per il giorno in cui i normali percorsi di accesso falliscono: l’identity provider è fuori servizio, l’MFA non è disponibile o la stessa soluzione PAM è irraggiungibile. Esiste proprio perché centralizzare gli accessi crea un single point of failure. La buona pratica è averne pochissimi, custodire le credenziali offline o in una cassaforte separata, vietarne l’uso ordinario, generare un alert a ogni autenticazione e documentare una procedura per usarli e poi ruotarli. Una procedura break-glass mai provata non è una procedura.

CLOUD Act

Il CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) è una legge federale degli Stati Uniti che consente alle autorità statunitensi di obbligare i fornitori di servizi con sede negli USA a consegnare i dati sotto il loro controllo, indipendentemente dal paese in cui sono archiviati. Il data center europeo di un’azienda statunitense non è quindi al riparo, e nemmeno la filiale europea di una capogruppo americana. È il fondamento giuridico della maggior parte delle preoccupazioni sulla sovranità digitale in Europa, e il motivo per cui “ospitato nell’UE” da solo non è una risposta sufficiente: conta chi controlla l’operatore e se i dati sono cifrati in modo tale che l’operatore non sia in grado di produrre alcun testo in chiaro.

Iniezione delle credenziali

L’iniezione delle credenziali è il processo che inserisce automaticamente le credenziali memorizzate (nome utente, password) in una sessione di accesso senza rivelarle all’utente. L’utente si collega a un sistema di destinazione tramite una soluzione PAM, che recupera le credenziali dalla cassaforte di password e le inietta in modo trasparente. Questo elimina le password condivise, impedisce il furto di credenziali tramite keylogger e crea un audit trail completo di chi ha acceduto a cosa, quando e con quale account. Heimlane Realm recupera le credenziali da Vault e le inietta nelle sessioni RDP, SSH, VNC e web.

Credential stuffing

Il credential stuffing è la riproduzione automatizzata di coppie di nome utente e password rubate a un servizio contro molti altri, scommettendo sul riutilizzo delle password. Non è un tentativo a indovinare: le credenziali sono già valide da qualche parte, ed è per questo che basta una percentuale di successo di una frazione di punto per rendere l’attacco redditizio su larga scala, e che il traffico è difficile da distinguere dai normali accessi falliti. Le contromisure sono una password unica per ogni servizio, che in pratica significa un password manager, abbinata a MFA e monitoraggio delle violazioni, così che una credenziale compromessa venga cambiata prima che qualcuno la provi altrove.

CSPN

La CSPN (Certification de Sécurité de Premier Niveau) è una certificazione di sicurezza francese rilasciata dall’ANSSI. Attesta che un prodotto soddisfa un insieme definito di requisiti di sicurezza, verificati da un laboratorio di valutazione accreditato. La CSPN è più leggera e rapida da ottenere rispetto a una certificazione Common Criteria (CC) ed è ampiamente riconosciuta negli appalti pubblici francesi e nei settori regolamentati.

Assicurazione cyber

L’assicurazione cyber è un contratto assicurativo che copre le perdite finanziarie e le responsabilità derivanti da un incidente di cybersecurity (ransomware, furto di dati, interruzione dell’attività). Gli assicuratori richiedono sempre più spesso controlli di sicurezza verificabili, come gestione degli accessi privilegiati, registrazione delle sessioni, autenticazione forte e policy sulle password, prima di concedere la copertura o ridurre i premi.

Cyber Resilience Act (CRA)

Il Cyber Resilience Act è un regolamento dell’UE, in vigore dal dicembre 2024, che stabilisce requisiti di cybersecurity per i prodotti con elementi digitali immessi sul mercato europeo: hardware, software e le relative soluzioni di elaborazione dati remota. Richiede configurazione sicura per impostazione predefinita, gestione delle vulnerabilità con divulgazione coordinata e aggiornamenti di sicurezza per tutto un periodo di supporto definito, attestati dalla marcatura CE. I suoi principali obblighi si applicano da dicembre 2027, con gli obblighi di notifica di vulnerabilità e incidenti da settembre 2026. Se la NIS2 disciplina come le organizzazioni devono operare, il CRA disciplina cosa i fornitori possono vendere.

Sovranità digitale

La sovranità digitale è la capacità di un’organizzazione o di una nazione di controllare la propria infrastruttura digitale, i propri dati e le proprie scelte tecnologiche senza dipendere da fornitori o giurisdizioni straniere. In cybersecurity, sovranità digitale significa ospitare i dati nell’UE, usare soluzioni sviluppate in Europa e garantire che nessun governo straniero possa imporre l’accesso ai dati dei clienti tramite leggi extraterritoriali come il CLOUD Act statunitense.

DORA

DORA (Digital Operational Resilience Act) è un regolamento dell’UE applicabile dal 17 gennaio 2025 che armonizza i requisiti di resilienza operativa nel settore finanziario: banche, assicurazioni, imprese di investimento, istituti di pagamento, prestatori di servizi per le cripto-attività e i loro fornitori ICT critici. Copre la gestione del rischio ICT, la notifica degli incidenti, i test di resilienza e in particolare il rischio verso terzi: le entità finanziarie devono tenere un registro dei propri fornitori ICT e imporre loro requisiti contrattuali di sicurezza. Le sue aspettative sul controllo degli accessi si sovrappongono in larga misura alla NIS2 e a ciò che la gestione degli accessi privilegiati già offre: autenticazione forte, privilegio minimo e registri verificabili dell’attività amministrativa.

Accesso di emergenza (eredità digitale)

L’accesso di emergenza consente a un utente di designare un contatto fidato che può richiedere l’accesso alla sua cassaforte in caso di decesso, incapacità o perdita delle credenziali. La richiesta apre un periodo di attesa durante il quale il titolare può rifiutarla; se il termine scade senza rifiuto, l’accesso viene concesso. Se fatto bene, il meccanismo è crittografico e non amministrativo: la chiave della cassaforte viene incapsulata in anticipo con la chiave del contatto fidato, così il fornitore resta incapace di aprire la cassaforte e lo zero-knowledge è preservato. Risponde alla domanda più difficile nella progettazione zero-knowledge: cosa succede quando l’unica persona in grado di decifrare i dati non c’è più. Heimlane Vault offre l’accesso di emergenza tramite un contatto fidato designato e un periodo di attesa.

Crittografia end-to-end

La crittografia end-to-end (E2EE) significa che i dati sono cifrati sul dispositivo del mittente e possono essere decifrati solo sul dispositivo del destinatario. Nessun intermediario, fornitore del servizio compreso, può accedere al contenuto in chiaro. È il fondamento delle architetture zero-knowledge, in cui il fornitore non ha mai accesso ai dati dei clienti, nemmeno se i suoi server vengono compromessi.

FIDO2 / WebAuthn

FIDO2 è uno standard di autenticazione aperto della FIDO Alliance e WebAuthn è l’API del browser che lo implementa. Invece di un segreto condiviso, l’autenticatore (una chiave hardware come una YubiKey, oppure un autenticatore di piattaforma come Windows Hello o Touch ID) custodisce una chiave privata e firma una sfida inviata dal sito. La firma è legata all’origine del sito, quindi un dominio contraffatto non ottiene nulla di riutilizzabile. È ciò che rende FIDO2 resistente al phishing per costruzione, a differenza dei codici TOTP o SMS, che un utente può essere convinto a inoltrare a un attaccante in tempo reale. Heimlane Vault supporta le chiavi di sicurezza hardware FIDO2 / WebAuthn come secondo fattore nei piani a pagamento.

Principio dei quattro occhi

Il principio dei quattro occhi richiede due persone per un’azione sensibile: una la esegue, l’altra la approva. Applicato agli accessi privilegiati, significa che una sessione su un sistema critico non può iniziare finché una seconda persona autorizzata non convalida la richiesta e, nelle varianti più rigorose, un supervisore segue la sessione in diretta e può terminarla. È il controllo standard ovunque un singolo amministratore altrimenti avrebbe un potere incontrollato su sistemi di produzione o dati finanziari, ed è per questo che compare nelle normative bancarie e industriali. È noto anche come doppio controllo o doppia autorizzazione.

GDPR

Il Regolamento generale sulla protezione dei dati (GDPR) è il regolamento dell’Unione europea che disciplina la raccolta, il trattamento e la conservazione dei dati personali. Richiede alle organizzazioni di adottare misure tecniche e organizzative adeguate per proteggere i dati personali, tra cui cifratura, controlli di accesso e la capacità di dimostrare la conformità. Il GDPR si applica a qualsiasi organizzazione che tratti dati di residenti nell’UE, ovunque abbia sede.

HSM

Un HSM (hardware security module) è un dispositivo a prova di manomissione che genera e custodisce chiavi crittografiche ed esegue operazioni con esse senza che la chiave lasci mai l’hardware in una forma utilizzabile. Le applicazioni chiedono all’HSM di firmare o decifrare, anziché prendere in prestito la chiave. Gli HSM sono certificati secondo standard come FIPS 140-3 e Common Criteria e sono obbligatori nell’elaborazione dei pagamenti, nelle autorità di certificazione e nella firma elettronica qualificata. I cloud provider li offrono come servizio gestito, di solito come servizio di gestione delle chiavi basato su HSM. Proteggono le chiavi che proteggono tutto il resto, ed è per questo che si trovano alla radice della maggior parte delle gerarchie di chiavi serie.

Identity provider (IdP)

Un identity provider è il sistema che autentica gli utenti e attesta la loro identità alle applicazioni, le quali si fidano di lui invece di custodire password proprie. Microsoft Entra ID, Okta, Google Workspace e Keycloak sono esempi comuni. Le applicazioni si integrano tramite SAML 2.0 o OpenID Connect, e la stessa integrazione di solito trasporta l’appartenenza ai gruppi, che poi guida l’autorizzazione. Centralizzare l’autenticazione rende possibili SSO, una policy MFA coerente e un offboarding immediato; concentra però anche il rischio, perché chi controlla l’identity provider controlla tutto ciò che sta a valle. Per questo gli account amministrativi dell’identity provider stesso sono la prima cosa che un programma di accessi privilegiati dovrebbe coprire.

ISO 27001

ISO/IEC 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS). Invece di prescrivere un elenco fisso di controlli, richiede all’organizzazione di individuare i propri rischi, selezionare controlli proporzionati dall’Allegato A e dimostrare che l’intero sistema viene misurato e migliorato nel tempo. La certificazione è rilasciata da un ente accreditato dopo un audit, dura tre anni e prevede audit di sorveglianza annuali. È la certificazione richiesta più di frequente negli appalti enterprise e nei questionari per i fornitori. Diversi controlli dell’Allegato A, in particolare diritti di accesso privilegiati, informazioni segrete di autenticazione e registrazione e monitoraggio, corrispondono direttamente a ciò che offrono una cassaforte di password e una soluzione PAM.

Accesso just-in-time (JIT)

L’accesso just-in-time concede un privilegio solo quando serve, per il tempo necessario, e lo revoca automaticamente in seguito, al posto di account che detengono diritti amministrativi in modo permanente. Si fa una richiesta, che viene approvata o concessa automaticamente in base a una policy, il diritto viene creato, il lavoro viene svolto e il diritto scade. Lo scopo è ridurre la finestra in cui un account compromesso ha valore: il privilegio permanente è ciò che un attaccante eredita, e i diritti amministrativi restano inutilizzati per la stragrande maggioranza del tempo. È il principio del privilegio minimo applicato al tempo oltre che all’ambito.

KDF (funzione di derivazione della chiave)

Una funzione di derivazione della chiave trasforma una password umana in una chiave crittografica di lunghezza fissa. Poiché le password sono brevi e indovinabili, una KDF è volutamente lenta e dispendiosa di risorse: applica un gran numero di iterazioni e, nei progetti moderni, un requisito di memoria considerevole, così che ogni tentativo costi all’attaccante tempo e hardware reali. È ciò che si frappone tra una cassaforte cifrata rubata e il suo contenuto. Argon2id e PBKDF2 sono le due KDF più usate per le casseforti di password, con scrypt e bcrypt che si incontrano comunque. Scegliere una KDF significa anche sceglierne i parametri: numero di iterazioni, costo in memoria e parallelismo. Heimlane Vault deriva la chiave principale lato client usando Argon2id (raccomandata) o PBKDF2.

Movimento laterale

Il movimento laterale è ciò che fa un attaccante dopo la compromissione iniziale: spostarsi dalla prima macchina o dal primo account verso quelli di maggior valore, fino a raggiungere l’amministratore di dominio, l’hypervisor o i backup. Le tecniche si basano su ciò che è già a portata di mano, come password di amministratore locale riutilizzate, credenziali in cache, account di servizio con privilegi eccessivi e percorsi di rete senza restrizioni tra workstation e server. La maggior parte dei danni in un incidente ransomware avviene in questa fase e non al punto di ingresso. Privilegio minimo, credenziali uniche su ogni macchina, segmentazione della rete e instradamento di tutti gli accessi amministrativi attraverso un bastion sono ciò che spezza la catena.

Privilegio minimo

Il principio del privilegio minimo stabilisce che utenti, account e processi debbano avere solo i permessi minimi necessari per svolgere i propri compiti. Applicarlo riduce la superficie di attacco, limitando ciò a cui un account compromesso può accedere. Nel contesto PAM, privilegio minimo significa concedere agli amministratori l’accesso solo ai server e alle applicazioni specifici di cui hanno bisogno, per il tempo che serve, senza permessi permanenti.

Password principale

La password principale è l’unica password che sblocca una cassaforte di password. In un progetto zero-knowledge non lascia mai il dispositivo dell’utente: viene passata localmente a una funzione di derivazione della chiave, che produce la chiave con cui si cifra e decifra il contenuto della cassaforte, mentre il fornitore conserva solo testo cifrato. La conseguenza è assoluta, ed è proprio il punto: nessuno, nemmeno il fornitore, può reimpostare la password principale o recuperare la cassaforte senza di essa. Per questo deve essere una passphrase lunga e unica, mai riutilizzata altrove, protetta da un secondo fattore e sostenuta da un accordo di accesso di emergenza anziché da una copia lasciata in un browser.

MFA / 2FA

L’autenticazione a più fattori (MFA) e l’autenticazione a due fattori (2FA) richiedono agli utenti di dimostrare la propria identità con due o più fattori indipendenti: qualcosa che sanno (password), qualcosa che hanno (telefono, chiave di sicurezza) o qualcosa che sono (biometria). L’MFA riduce in modo significativo il rischio di compromissione dell’account da credenziali rubate. OWASP e ANSSI raccomandano entrambi l’MFA per qualsiasi accesso privilegiato o sensibile.

MFA fatigue

La MFA fatigue, detta anche push bombing, è un attacco in cui un avversario che già possiede una password valida genera richieste di autenticazione a ripetizione finché l’utente legittimo ne approva una per irritazione, confusione o perché sono le tre di notte. Sconfigge l’MFA semplice basata su notifiche push proprio perché approvare richiede solo un tocco. Le contromisure sono il number matching, che obbliga l’utente a leggere un codice dalla schermata in cui sta effettivamente accedendo, il rate limiting sulle richieste e, meglio ancora, autenticatori resistenti al phishing per costruzione, come le chiavi hardware FIDO2.

MSP / MSSP

Un Managed Service Provider (MSP) è un’azienda che gestisce da remoto l’infrastruttura IT di un cliente, tipicamente server, reti, endpoint e sicurezza. Un Managed Security Service Provider (MSSP) è specializzato nelle operazioni di sicurezza. MSP e MSSP hanno bisogno di strumenti multi-tenant per progettazione, che consentano di gestire più clienti da un’unica piattaforma mantenendo un rigoroso isolamento dei dati tra i tenant.

Agenzie nazionali di cybersecurity

Le agenzie nazionali di cybersecurity sono enti governativi che pubblicano standard di sicurezza, emettono avvisi, certificano prodotti e coordinano la risposta agli incidenti a livello nazionale o regionale. Le loro indicazioni plasmano i requisiti degli appalti, i quadri normativi e le aspettative di base su cosa significhi “buona sicurezza” nella loro giurisdizione. Le principali agenzie che incontrerai sul campo:

• ACN (Agenzia per la Cybersicurezza Nazionale, Italia) è l’autorità nazionale italiana per la cybersicurezza, istituita nel 2021. Coordina la risposta agli incidenti tramite il CSIRT Italia e gestisce il Perimetro di Sicurezza Nazionale Cibernetica per le infrastrutture critiche nazionali.
• ACSC (Australian Cyber Security Centre, Australia) pubblica l’Essential Eight, uno dei pochi framework governativi che ordina esplicitamente i controlli di sicurezza per priorità e livello di maturità. Ampiamente citato a livello internazionale come punto di partenza per l’hardening.
• ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information, Francia) è l’agenzia nazionale francese per la cybersicurezza. Pubblica il Référentiel Général de Sécurité e gli schemi di certificazione CSPN e SecNumCloud ed è il riferimento essenziale per gli appalti del settore pubblico francese e per le aziende soggette alla normativa francese ed europea.
• BSI (Bundesamt für Sicherheit in der Informationstechnik, Germania) emette il framework IT-Grundschutz e certifica i prodotti secondo lo schema nazionale tedesco.
• CCN-CERT (Centro Criptológico Nacional, Spagna) è il centro crittologico nazionale spagnolo. Pubblica l’ENS (Esquema Nacional de Seguridad), il quadro di sicurezza obbligatorio per il settore pubblico spagnolo.
• CISA (Cybersecurity and Infrastructure Security Agency, Stati Uniti) è il riferimento operativo federale statunitense per la difesa cyber e la protezione delle infrastrutture critiche. Il suo catalogo Known Exploited Vulnerabilities (KEV) è un riferimento autorevole.
• ENISA (Agenzia dell’Unione europea per la cibersicurezza) è l’organismo a livello UE che supporta gli Stati membri su politiche, sviluppo delle capacità e attuazione di direttive come la NIS2.
• NCSC (National Cyber Security Centre, Regno Unito) è l’autorità britannica su minacce cyber e buone pratiche. Il suo schema Cyber Essentials è una certificazione di base molto diffusa.
• NIST (National Institute of Standards and Technology, Stati Uniti) pubblica la serie SP 800 e il NIST Cybersecurity Framework (CSF), gli standard di sicurezza più referenziati a livello globale nel settore.

Queste agenzie spesso convergono sui principi fondamentali (privilegio minimo, difesa in profondità, audit trail, MFA), quindi seguirne anche una sola tende a soddisfare la maggior parte delle altre. La progettazione dei prodotti Heimlane fa riferimento alle indicazioni di più agenzie e non a una sola giurisdizione.

NIS2

La NIS2 (Network and Information Security Directive 2) è la direttiva dell’Unione europea che estende gli obblighi di cybersecurity a una gamma più ampia di organizzazioni, comprese le imprese di medie dimensioni nei settori essenziali e importanti. La NIS2 richiede misure come controllo degli accessi, notifica degli incidenti, gestione del rischio, sicurezza della catena di fornitura e responsabilità a livello dirigenziale. L’articolo 21 tratta specificamente il controllo degli accessi e la gestione degli accessi privilegiati come misure di sicurezza richieste.

PAM

PAM (Privileged Access Management) è la disciplina che controlla, monitora e verifica l’accesso ai sistemi critici da parte di utenti con permessi elevati (amministratori, fornitori terzi, account di servizio). Una soluzione PAM include in genere un bastion o gateway, una cassaforte di password, la registrazione delle sessioni, policy di accesso e iniezione delle credenziali. Il PAM affronta il rischio che gli account privilegiati, se compromessi, diano agli attaccanti accesso diretto ai sistemi più sensibili di un’organizzazione.

Passkey

Una passkey è una credenziale FIDO2 che sostituisce del tutto la password, invece di aggiungerle un secondo fattore. La chiave privata risiede nell’hardware sicuro del dispositivo o in un portachiavi sincronizzato, e l’utente la sblocca con un dato biometrico o un PIN del dispositivo, quindi accedere non implica alcun segreto condiviso da rubare, sottoporre a phishing o riutilizzare. Le passkey sono resistenti al phishing per costruzione, perché la credenziale è legata all’origine del sito e il browser rifiuta di usarla altrove. L’adozione resta disomogenea: le passkey sono eccellenti dove esistono, ma la maggior parte del software aziendale si aspetta ancora una password, quindi cassaforte e passkey conviveranno per anni senza che l’una sostituisca l’altra.

Rotazione delle password

La rotazione delle password è la pratica di cambiare le credenziali secondo una pianificazione o dopo un evento scatenante: un amministratore che se ne va, la fine del contratto di un fornitore, un sospetto di compromissione. La rotazione periodica generalizzata delle password degli utenti è caduta in disuso, e sia NIST sia ANSSI ora sconsigliano di imporla senza motivo, perché spinge le persone verso variazioni prevedibili della stessa password. Gli account privilegiati e condivisi sono un altro discorso: quelle credenziali sono note a più persone, raramente legate a un solo individuo, e ruotarle dopo l’uso o alla partenza di qualcuno è l’unico modo affidabile per revocare l’accesso. L’iniezione delle credenziali lo rende praticabile, perché gli utenti non vedono mai la password e non subiscono disagi quando cambia.

Password spraying

Il password spraying prova un piccolo numero di password molto comuni su un gran numero di account, anziché molte password su un solo account. Poiché ogni account vede solo uno o due tentativi falliti, le soglie di blocco non vengono mai raggiunte e i tentativi si confondono nel rumore di fondo. È una mossa d’apertura standard contro gli endpoint di autenticazione esposti: gateway RDP, portali VPN, webmail e servizi di directory. Rilevarlo richiede una correlazione tra account e non contatori per singolo account, e la correzione strutturale è l’MFA abbinata al rifiuto di password deboli e già compromesse nel momento in cui vengono scelte.

Cassaforte di password

Una cassaforte di password è un archivio digitale cifrato che custodisce password, credenziali, note, carte di pagamento e altri dati sensibili. Una cassaforte di password aziendale aggiunge funzioni come condivisione di team, controlli di accesso, casseforti condivise e audit trail. A differenza delle soluzioni consumer, una cassaforte aziendale si integra con gli strumenti di gestione degli accessi privilegiati per iniettare le credenziali nelle sessioni remote senza esporre le password agli utenti.

PBKDF2

PBKDF2 (Password-Based Key Derivation Function 2) è una funzione di derivazione della chiave che applica una funzione pseudocasuale (tipicamente HMAC-SHA256) a una password insieme a un salt, ripetuta per molte iterazioni, per produrre una chiave derivata. L’alto numero di iterazioni (600.000 è l’attuale raccomandazione OWASP) rende costosi in termini computazionali gli attacchi a forza bruta. PBKDF2 è ampiamente supportata su tutte le piattaforme e resta la KDF predefinita per i client compatibili con Bitwarden.

Phishing / adversary-in-the-middle

Il phishing consiste nell’usare un messaggio convincente e una pagina falsa per ottenere le credenziali di un utente. L’adversary-in-the-middle (AiTM) ne è la forma moderna: invece di raccogliere una password da usare più tardi, la pagina falsa inoltra la sessione al servizio reale in tempo reale, passa la sfida MFA alla vittima e cattura il cookie di sessione risultante. L’account diventa così accessibile senza la password e senza il secondo fattore. I codici TOTP e le notifiche push non resistono a questo attacco; le credenziali legate all’origine come FIDO2 e passkey sì, perché il browser rifiuta di firmare per un dominio che non è quello autentico. Aiuta anche un password manager, perché non compila automaticamente su un dominio che non corrisponde.

PKI

La PKI (public key infrastructure) è l’insieme di autorità di certificazione, processi di registrazione, meccanismi di revoca e policy che associano una chiave pubblica a un’identità. Sta alla base dei certificati TLS dei siti web, dei certificati client per l’autenticazione di macchine e utenti, della firma del codice, della posta S/MIME e delle autorità di certificazione SSH. La parte difficile non è la crittografia ma il ciclo di vita: emettere i certificati alle parti giuste, rinnovarli prima della scadenza e revocarli tempestivamente quando una chiave è compromessa o una persona se ne va. I certificati scaduti restano una delle cause più affidabili di disservizi autoinflitti.

Account privilegiati

Gli account privilegiati sono gli account con diritti elevati su un sistema informativo: amministratori di sistema, amministratori di database, account di servizio, account root. Questi account sono bersagli primari per gli attaccanti, perché comprometterne uno dà accesso diretto alle risorse più sensibili di un’organizzazione. La gestione degli accessi privilegiati (PAM) mira a controllare, monitorare e verificare l’uso di questi account per ridurre la superficie di attacco.

Ransomware

Il ransomware è un malware che cifra i dati di un’organizzazione e chiede un pagamento per la chiave di decifratura, oggi quasi sempre combinato con una precedente esfiltrazione, così che l’attaccante possa estorcere una seconda volta minacciando la pubblicazione. Gli incidenti moderni sono operazioni condotte a mano sulla tastiera, non un virus che si diffonde da solo: un operatore ottiene l’accesso, spesso con una credenziale rubata o un servizio RDP esposto, aumenta i privilegi, si muove lateralmente, distrugge i backup e solo alla fine fa detonare il payload. Per questo igiene delle credenziali, controllo degli accessi privilegiati e backup offline determinano l’esito molto più del rilevamento che avviene in fondo alla catena.

RBAC

Il Role-Based Access Control (RBAC) è un metodo di controllo degli accessi in cui i permessi sono assegnati a ruoli e non ai singoli utenti. Gli utenti vengono poi assegnati ai ruoli in base alla loro funzione. L’RBAC semplifica la gestione degli accessi, riduce il carico amministrativo e rende più facile applicare il privilegio minimo in tutta l’organizzazione. Quando un dipendente cambia ruolo, i suoi accessi cambiano con l’assegnazione del ruolo, senza bisogno di aggiornare i permessi uno per uno.

RDP / SSH / VNC

Sono i tre protocolli usati per l’amministrazione remota. RDP (Remote Desktop Protocol, Microsoft) offre accesso grafico a un desktop o server Windows. SSH (Secure Shell) offre una sessione a riga di comando cifrata su Linux, Unix e apparati di rete, e trasporta anche trasferimenti di file e tunnel. VNC (Virtual Network Computing) condivide un desktop grafico tra piattaforme diverse ed è comune su workstation Linux, hypervisor e appliance. Tutti e tre sono bersagli primari: esporre RDP o SSH direttamente su internet attira tentativi a forza bruta nel giro di poche ore, ed è per questo che vanno dietro a un bastion che autentica l’utente, inietta le credenziali e registra la sessione. Heimlane Realm fa da proxy a tutti e tre nel browser su HTML5, senza software client e senza VPN.

Codici di recupero

I codici di recupero sono codici monouso emessi quando si attiva l’autenticazione a due fattori, da usare se si perde il secondo fattore: un telefono rubato, un’app di autenticazione cancellata, una chiave hardware smarrita. Ogni codice funziona una sola volta. Vanno stampati o conservati in un luogo separato dal dispositivo e dalla cassaforte che proteggono, perché tenerli dentro l’account che sbloccano ne vanifica lo scopo. I codici di recupero sono un backup solo del secondo fattore: non recuperano una password principale e non possono decifrare una cassaforte zero-knowledge. Heimlane Vault mostra una sola volta una serie di codici di recupero, quando attivi la 2FA.

RSA-2048

RSA-2048 è un algoritmo di cifratura asimmetrica che usa una coppia di chiavi (pubblica e privata) per cifrare e decifrare i dati. La lunghezza di chiave di 2048 bit è considerata sicura per l’uso attuale ed è raccomandata da NIST e ANSSI. Nella gestione delle password, RSA viene tipicamente usato per condividere dati cifrati tra utenti: il mittente cifra con la chiave pubblica del destinatario e solo la chiave privata del destinatario può decifrare. Heimlane Vault usa RSA-2048 per la condivisione zero-knowledge nei team all’interno delle organizzazioni.

SCIM

SCIM (System for Cross-domain Identity Management) è il protocollo REST standard per il provisioning degli account utente tra sistemi. Se l’SSO risponde alla domanda “questa persona può accedere”, SCIM risponde a “questa persona ha un account?”: l’identity provider invia a ogni applicazione collegata creazioni di account, aggiornamenti di attributi, modifiche ai gruppi e soprattutto disattivazioni. Senza di esso, l’offboarding dipende dal fatto che qualcuno si ricordi di ogni strumento a cui aveva accesso un dipendente in uscita. È un’aspettativa di routine negli appalti enterprise e un vero controllo di sicurezza, dato che gli account dormienti di ex dipendenti sono una causa ricorrente nei report sulle violazioni.

SecNumCloud

SecNumCloud è la qualificazione rilasciata dall’ANSSI ai fornitori di servizi cloud. Va oltre i controlli tecnici: impone requisiti sulla struttura giuridica del fornitore, che deve essere immune dalle leggi extraterritoriali non europee come il CLOUD Act, e sull’ubicazione dei dati, dell’amministrazione e del supporto. È il riferimento per gli appalti cloud del settore pubblico francese secondo la dottrina del “cloud de confiance” e, sempre più, per gli operatori di importanza vitale e i settori regolamentati. La qualificazione è impegnativa e posseduta da pochi fornitori, il che la rende un vero elemento di differenziazione e non una casella da spuntare.

Account di servizio

Un account di servizio è un’identità non umana usata da un’applicazione, uno script, un’attività pianificata o un componente dell’infrastruttura per autenticarsi presso un altro sistema. Gli account di servizio di solito superano di diverse volte gli account umani, hanno permessi ampi e portano password impostate al momento del deployment e mai cambiate, spesso perché nessuno è sicuro di cosa smetterebbe di funzionare. Raramente rientrano nei processi joiner-mover-leaver e quasi mai sono protetti da MFA, il che li rende una via preferita per il movimento laterale. Portarli in una cassaforte, dare a ciascuno un’identità distinta, limitare ciò che può fare e ruotarne il segreto è di solito il progetto di accessi privilegiati di maggior valore da cui un’organizzazione può partire.

Isolamento della sessione

L’isolamento della sessione significa che la workstation dell’amministratore non dialoga mai direttamente con il sistema di destinazione: la connessione è stabilita da un componente intermedio e verso l’utente viaggiano solo pixel e battute di tastiera. Un portatile compromesso quindi non può raggiungere la rete del server, il malware non può seguire il tunnel e la credenziale non è mai presente sull’endpoint. L’isolamento offre inoltre al punto di controllo un luogo in cui applicare le regole su appunti e trasferimento di file e in cui registrare la sessione. Un bastion basato su browser isola per costruzione, perché il client è una pagina web e non un percorso di rete. Heimlane Realm esegue il rendering delle sessioni RDP, SSH e VNC nel browser su HTML5, quindi non serve alcuna via diretta dalla workstation alla destinazione.

Registrazione della sessione

La registrazione della sessione è l’acquisizione e la conservazione di tutto ciò che accade durante una sessione di accesso privilegiato (RDP, SSH, VNC o web). Le registrazioni possono includere video dello schermo, log dei tasti premuti, cronologia dei comandi e metadati come timestamp e identità dell’utente. Offrono una traccia verificabile per la conformità, le indagini forensi e il monitoraggio in tempo reale delle azioni amministrative. Heimlane Realm registra tutte le sessioni privilegiate con rilevamento degli eventi basato su OCR, per audit trail ricercabili.

Shadow IT

Lo shadow IT è qualsiasi software, servizio o dispositivo usato per lavoro all’insaputa o senza l’approvazione della funzione IT: un account personale di condivisione file, un abbonamento SaaS di reparto pagato con carta, un assistente AI a cui sono stati affidati dati aziendali. Cresce perché gli strumenti autorizzati sono più lenti o mancano, non per malizia. La conseguenza per la sicurezza è che credenziali e dati finiscono in sistemi che nessuno monitora, che l’offboarding non può revocare e che nessun piano di risposta agli incidenti copre. Fornire strumenti davvero più semplici dell’alternativa ombra, e una cassaforte in cui le credenziali restano visibili all’organizzazione, risolve più problemi di quanto farà mai un divieto.

SIEM

Un sistema SIEM (security information and event management) raccoglie i log da tutto un sistema informativo, li normalizza, correla gli eventi tra le fonti e genera alert su schemi che nessuna fonte da sola rivelerebbe. È lo strumento in cui vive un team di sicurezza e di solito il sistema di riferimento per la conservazione dei log e le indagini sugli incidenti. Alimentarlo con gli eventi degli accessi privilegiati, cioè chi ha aperto quale sessione, su quale destinazione e con quale account, rende l’attività amministrativa visibile accanto a tutto il resto, in genere tramite syslog, un’API o un’esportazione in formato CEF. Splunk, Elastic, Microsoft Sentinel e Wazuh sono esempi comuni.

SOC 2

SOC 2 è un framework di audit statunitense definito dall’AICPA che riporta sui controlli di un’organizzazione di servizi rispetto a cinque criteri di fiducia: sicurezza, disponibilità, integrità dell’elaborazione, riservatezza e privacy. Un report di Tipo I valuta la progettazione dei controlli in un dato momento; un report di Tipo II ne verifica l’efficacia operativa su un periodo, di solito da sei a dodici mesi, ed è quello che i clienti vogliono davvero vedere. A differenza della ISO 27001 produce una relazione dell’auditor e non una certificazione, ed è il requisito consueto negli appalti nordamericani dove gli acquirenti europei chiedono la ISO 27001.

SSO

Il Single Sign-On (SSO) consente agli utenti di autenticarsi una sola volta e di accedere a più applicazioni senza reinserire le credenziali. L’SSO migliora l’esperienza utente e riduce la fatica da password, ma concentra anche il rischio: se il provider SSO viene compromesso, tutte le applicazioni collegate sono esposte. L’SSO è tipicamente implementato con protocolli come SAML 2.0 o OpenID Connect.

Attacco alla supply chain

Un attacco alla supply chain compromette un’organizzazione attraverso uno dei suoi fornitori anziché frontalmente: un produttore di software il cui meccanismo di aggiornamento viene sovvertito, una dipendenza open source di cui si prende il controllo o, nel caso più frequente per le aziende comuni, un fornitore di servizi il cui accesso remoto ai clienti viene abusato. Questa terza variante è il motivo per cui l’accesso dei terzi merita gli stessi controlli di quello dei dipendenti: account nominativi e non uno condiviso, accesso limitato ai sistemi interessati e alla finestra di intervento, credenziali che il fornitore non detiene mai davvero e una registrazione di ciò che è stato fatto. Heimlane Realm è stato progettato pensando all’accesso di fornitori e terze parti.

TLS 1.3

TLS 1.3 (Transport Layer Security, versione 1.3) è la versione più recente del protocollo che protegge le comunicazioni su internet. Rispetto a TLS 1.2 elimina le suite di cifratura obsolete, riduce l’handshake a un solo round trip (migliorando le prestazioni) e impone la Perfect Forward Secrecy (PFS), il che significa che anche se la chiave privata di un server venisse compromessa in futuro, le sessioni passate non potrebbero essere decifrate.

TOTP

TOTP (Time-based One-Time Password, definito nell’RFC 6238) è lo standard alla base dei codici a sei cifre a rotazione mostrati dalle app di autenticazione. Il servizio e l’app condividono una sola volta un seme segreto, di solito scansionando un codice QR, poi ciascuno deriva in modo indipendente lo stesso codice da quel seme e dall’ora corrente, normalmente in finestre di 30 secondi. Dopo di che non viene scambiato nulla, quindi il TOTP funziona offline e non dipende dagli SMS, vulnerabili al SIM swapping. Il TOTP ferma gli attacchi basati su password rubate o riutilizzate, ma non il phishing in tempo reale: un codice digitato in una falsa pagina di login può essere riutilizzato da un attaccante entro la sua finestra di validità, ed è per questo che le chiavi hardware FIDO2 / WebAuthn restano l’opzione più forte per gli account più sensibili. Heimlane Vault ha un autenticatore integrato che conserva il seme TOTP nell’elemento di login e genera il codice quando serve, e il nostro decoder gratuito per l’esportazione di Google Authenticator ti permette di spostare i semi esistenti da Google Authenticator alla cassaforte o a qualsiasi altro strumento.

Zero-knowledge

L’architettura zero-knowledge significa che il fornitore del servizio non ha alcuna possibilità di accedere ai dati dei clienti, leggerli o recuperarli. Tutta la cifratura e la decifratura avvengono sul dispositivo dell’utente (lato client) e il fornitore conserva solo testo cifrato. Anche se i server del fornitore vengono violati, l’attaccante ottiene solo dati cifrati che non possono essere decifrati senza la password principale dell’utente. Il fornitore non può reimpostare le password né recuperare le casseforti perché non possiede mai le chiavi di decifratura.

Zero trust

Zero trust è un modello di sicurezza basato sul principio “non fidarti mai, verifica sempre”. Invece di presumere che utenti o dispositivi all’interno del perimetro di rete siano affidabili, lo zero trust richiede la verifica continua di identità, stato del dispositivo e contesto per ogni richiesta di accesso. Le architetture zero trust combinano tipicamente autenticazione forte, micro-segmentazione, accesso con privilegio minimo e monitoraggio continuo. La ZTNA (Zero Trust Network Access) implementa questo modello per l’accesso remoto ad applicazioni e risorse.

ZTNA

La ZTNA (Zero Trust Network Access) sostituisce le VPN tradizionali offrendo un accesso a livello di applicazione basato su identità e contesto anziché un accesso a livello di rete. A differenza di una VPN, che dà un ampio accesso a un’intera rete, la ZTNA concede l’accesso solo alle specifiche applicazioni che l’utente è autorizzato a usare. La ZTNA fornisce il livello di connettività, mentre il PAM fornisce il livello di governance: chi ha acceduto a cosa, quando, con quali credenziali e cosa ha fatto durante la sessione.