Le organizzazioni che operano in settori mission-critical come quelle sanitarie, sono sottoposte a una pressione crescente su due fronti che spesso sembrano inconciliabili: rafforzare la cybersecurity e, allo stesso tempo, non rallentare l’operatività quotidiana. I metodi di autenticazione tradizionali, però, continuano a generare attrito proprio dove la velocità e l’efficienza sono sempre più centrali. Un oncologo che deve autenticarsi più volte al giorno su dispositivi condivisi, oltre che tra un turno e l’altro, non percepisce la password come una misura di sicurezza, ma come un ostacolo tra sé e il paziente. Lo stesso vale per un tecnico in una utility energetica chiamato ad accedere in pochi istanti a un terminale condiviso per gestire un’anomalia in linea.
Il paradosso è che nonostante la consapevolezza sia ormai diffusa, l’adozione resta indietro. È sufficiente pensare che negli Stati Uniti l’85% dei responsabili IT in ambito sanitario considera l’autentificazione passwordless, ovvero senza password, “molto importante” o “mission-critical”, eppure solo il 7% lo ha realmente adottato in modo completo (*). Tra i due estremi si apre un divario che è insieme tecnologico, organizzativo e culturale.
Eliminare le password rappresenta un importante passo avanti nella riduzione dei rischi legati alle credenziali tradizionali, ma da solo non è sufficiente a garantire un accesso realmente sicuro. È proprio qui che molte strategie di evoluzione dell’Enterprise Access Management (EAM) si fermano a metà del percorso. L’autentificazione passwordless è infatti il punto di partenza di un approccio più ampio, basato sulla verifica continua dell’identità e del contesto di accesso.
Perché l’autentificazione passwordless da sola non basta
Eliminare la password non elimina la necessità di sapere con certezza chi sta effettivamente accedendo a un sistema e una soluzione di autenticazione più comoda non è automaticamente più sicura, se non è accompagnata da una solida “Identity Assurance” che confermi con certezza e affidabilità che un utente, un dispositivo o un’applicazione sia effettivamente chi dichiara di essere. La domanda che ogni organizzazione dovrebbe porsi perciò non è soltanto “come rendiamo più semplice l’accesso?”, ma “siamo certi che l’identità dietro quell’accesso sia quella giusta, nel contesto giusto?”.
Le organizzazioni sanitarie, in particolare, convivono con un ulteriore livello di complessità rappresentata dalla frammentazione. Il 54% negli USA utilizza almeno tre diversi vendor di autenticazione, e il 16% ne utilizza quattro o più (*). Ogni fornitore aggiunge un pannello di gestione separato, policy non allineate, punti ciechi nella reportistica che si traducono in maggiori superfici di attacco. Prima ancora di parlare di passwordless, molte realtà dovrebbero quindi fare un passo indietro e consolidare questi strumenti su un’unica piattaforma di autenticazione.
Verso un accesso adattivo
L’evoluzione più significativa nel panorama dell’Enterprise Access Management (EAM) non riguarda tanto l’eliminazione della password, quanto il passaggio da un’autenticazione statica a un controllo degli accessi adattivo e basato sul rischio. Invece di trattare ogni login allo stesso modo, i sistemi moderni valutano il contesto ovvero da quale postazione avviene l’accesso, con quale dispositivo, in quale fascia oraria, con quale comportamento rispetto alle abitudini consolidate dell’utente.
Questo approccio consente di applicare il principio dello “step-up authentication” solo quando serve, alzando il livello di verifica in presenza di segnali di rischio e riducendo l’attrito quando il contesto è coerente con il profilo atteso. Un accesso realmente sicuro, in altre parole, non è più un evento puntuale da verificare una tantum, ma una condizione da rivalutare in modo continuo: è questo il principio cardine dello Zero Trust, applicato concretamente ai flussi operativi di ogni giorno.
Anche la gestione delle credenziali di utenti esterni e terze parti rientra in questo approccio. Un moderno Enterprise Access Management deve consentire di applicare policy coerenti e granulari anche a questi soggetti, assicurando che ogni accesso sia autorizzato in funzione dell’identità e del contesto operativo.
I punti cardinali dell’evoluzione dell’EAM
Un altro elemento chiave da tenere in considerazione è che la sicurezza non può essere “imbullonata” a un workflow già definito, va progettata insieme ad esso. Le soluzioni di accesso più efficaci non si limitano a proteggere un sistema, ma tengono conto di come il lavoro viene realmente svolto, integrando l’autenticazione passwordless e di prossimità direttamente nei flussi operativi, invece di sovrapporla come un ulteriore passaggio da compiere.
Un moderno approccio di EAM dovrebbe quindi:
- centralizzare autenticazione e identity management su un’unica piattaforma, riducendo la frammentazione tra più vendor;
- supportare più metodi di autenticazione passwordless, tra cui passkey FIDO, biometria e badge di prossimità;
- introdurre controlli di accesso adattivi basati sul rischio, valutando dispositivo, posizione, orario e comportamento;
- consentire policy granulari sulle credenziali di terze parti, comprese quelle di badge e RFID esterni;
- garantire l’MFA anche offline, per mantenere i controlli attivi durante interruzioni di rete o instabilità infrastrutturale;
- offrire visibilità e reportistica unificate, utili tanto alla compliance quanto al team di incident response.
In questa prospettiva, la soluzione passwordless resta un passaggio fondamentale, ma va inteso come base di partenza, non come punto di arrivo di una strategia evoluta di Access Management. Senza sottovalutare che le organizzazioni che affiancano al passwordless un controllo adattivo e identity-driven degli accessi ottengono un beneficio doppio: da un lato riducono concretamente la superficie di attacco legata alle credenziali statiche e, dall’altro, allineano la sicurezza al modo in cui il lavoro viene davvero svolto, senza trasformarla nell’ennesimo ostacolo tra le persone e il proprio compito.
In un contesto in cui il rischio rappresentato dalle identità cresce di pari passo con la superficie digitale delle organizzazioni, la vera domanda non è più se abbandonare le password, ma quanto velocemente si riuscirà a costruire un’infrastruttura di accesso realmente adattiva, resiliente e a prova di contesto.
di Gilberto Bonutti, Regional Sales Manager & Head of Italy di Imprivata
