Scopri cos’è l’identity and access management (IAM), come funziona e perché è fondamentale per la cybersecurity moderna. Approfondisci vantaggi, sfide e best practice.
L’Identity and Access Management (IAM) è una disciplina di cybersecurity che aiuta le organizzazioni a gestire le identità digitali attraverso un framework di policy, processi e tecnologie per controllare l’accesso degli utenti a sistemi e risorse interne. L’IAM verifica sia utenti umani sia non umani, consentendo l’accesso agli utenti autorizzati, bloccando quello non autorizzato da parte di attori malevoli e impedendo anche a utenti in buona fede di accedere a risorse che non dovrebbero utilizzare.
In questa guida definiamo cos’è l’IAM e perché è importante, per poi approfondire nel dettaglio il suo funzionamento. Esaminiamo inoltre le soluzioni IAM basate su cloud, i loro componenti chiave e vantaggi, le principali sfide e sei best practice per costruire una strategia IAM efficace.
L’Identity and Access Management è l’insieme di strumenti e processi con cui le aziende garantiscono che solo gli utenti autorizzati possano accedere a reti, dati e risorse specifiche, nei momenti appropriati. Questi sistemi sono fondamentali per affrontare l’ampia gamma di vulnerabilità di sicurezza che le aziende devono gestire oggi, a causa dell’aumento delle minacce informatiche, della diffusione del lavoro remoto e distribuito e delle pressioni normative.
L’IAM va oltre la semplice autenticazione degli utenti umani: gestisce e protegge anche identità software, ovvero identità non umane, come bot, agenti AI, dispositivi e processi automatizzati che accedono a sistemi e dati. L’IAM ha un duplice obiettivo: massimizzare la sicurezza e migliorare la produttività degli utenti, gestendo in modo corretto ed efficiente ogni richiesta di accesso all’interno dell’ambiente IT. Raggiunge questo scopo attraverso identity management e access management:
Gestione delle identità digitali (Identity Management): Risponde alla domanda “Chi o cosa sei?” creando un’identità digitale univoca per ogni persona (dipendenti, clienti, contractor) e per ogni entità non umana (applicazioni, servizi, dispositivi). L’autenticazione avviene tramite credenziali come password, autenticazione a più fattori (MFA), scansioni biometriche o certificati digitali. Il ciclo di vita dell’identità è automatizzato tramite Identity Lifecycle Management (ILM), dalla creazione dell’account e concessione degli accessi (provisioning) fino alla revoca o modifica tempestiva degli accessi in caso di cambio ruolo o cessazione del rapporto (deprovisioning).
Gestione dell’accesso a sistemi, reti e dati (Access Management): Aiuta esperti IT e IAM a rispondere a domande come: Cosa è autorizzato a fare questo utente?, Quali permessi specifici sono stati assegnati a questo utente o identità? Può visualizzare il file che sta tentando di aprire? Può eliminarlo? I sistemi IAM consentono in genere di applicare il Principio del privilegio minimo (PoLP), che assegna a un’identità solo i permessi strettamente necessari per svolgere il proprio ruolo. Questo avviene spesso tramite il controllo degli accessi basato sui ruoli (RBAC), in cui i permessi sono associati alla funzione lavorativa e non al singolo utente. L’IAM centralizza il controllo offrendo un unico punto di gestione delle policy di accesso. Supporta inoltre la conformità registrando e monitorando tutti i tentativi di accesso, creando un audit trail completo.
L’IAM è un elemento critico del business moderno, rappresenta la base dell’infrastruttura di sicurezza IT di un’organizzazione ed è la prima linea di difesa contro i cyberattacchi. È essenziale controllare chi può accedere a cosa per mitigare il rischio e rilevare comportamenti anomali. Con l’adozione crescente di servizi cloud e automazione, è fondamentale proteggere anche le identità non umane, che spesso dispongono di privilegi elevati e rappresentano obiettivi primari per gli attaccanti.
Oltre ai benefici in termini di sicurezza, l’IAM semplifica i processi aziendali e migliora la produttività. Il Single Sign-On (SSO) ne è un esempio: consente agli utenti di autenticarsi una sola volta e ottenere accesso sicuro a tutte le applicazioni e ai servizi autorizzati. Riduce la “password fatigue”, limita le richieste di reset password al team IT e consente ai dipendenti di lavorare in modo più rapido ed efficiente. L’IAM automatizza inoltre il provisioning e il deprovisioning nell’ambito dell’ILM, riducendo il carico operativo per l’IT e garantendo la chiusura tempestiva degli account quando un dipendente lascia l’azienda. In sintesi, l’IAM protegge sia l’organizzazione sia le persone che vi lavorano.
L’IAM governa ogni tentativo di accesso alle risorse aziendali attraverso un processo strutturato. Le soluzioni IAM verificano le credenziali rispetto a un database e autorizzano i permessi dell’entità, concedendo esclusivamente i livelli di accesso appropriati. I quattro pilastri dell’IAM sono:
Nota anche come identity management o Identity Lifecycle Management (ILM), riguarda la creazione, la manutenzione e l’eliminazione delle identità utente. Utenti umani e non umani ricevono identità digitali distinte, composte da attributi come nome, ruolo, credenziali di accesso e diritti di accesso. Queste identità sono archiviate in un database centrale che il sistema IAM consulta per validare utenti e permessi. In genere, i team IT e Cybersecurity gestiscono la creazione e l’eliminazione manuali degli utenti (provisioning e deprovisioning), ma il processo può anche essere automatizzato con alcuni sistemi IAM fornendo regole definite a livello organizzativo per la creazione degli utenti.
È il processo di verifica dell’identità. Quando un utente accede a un sistema o richiede una risorsa, fornisce credenziali di autenticazione come password, MFA, autenticazione a due fattori (2FA), impronta digitale o certificati digitali. Il sistema IAM verifica quindi le credenziali in base al database e concede l’accesso in caso di corrispondenza.
L’autorizzazione e l’autenticazione sono processi collegati e l’autorizzazione non può avvenire senza che l’autenticazione sia stata eseguita prima. Dopo l’autenticazione, il sistema IAM verifica quali privilegi sono assegnati all’identità e autorizza solo quelli necessari, senza concedere permessi aggiuntivi.
Questo è un passo importante perché garantisce che il sistema IAM funzioni correttamente e che gli utenti non abusino dei propri privilegi. È fondamentale anche per la conformità normativa, poiché regolamenti come il GDPR europeo impongono restrizioni sull’accesso ai dati.
Insieme, questi quattro pilastri impediscono accessi non autorizzati e consentono agli utenti legittimi di accedere alle risorse corrette nel momento opportuno.
Le soluzioni IAM tradizionali sono gestite da un server nella sede fisica dell’organizzazione (on-prem), ma la maggior parte delle aziende ha adottato soluzioni IAM cloud per scalabilità, efficienza dei costi e maggiore sicurezza grazie a funzionalità come SSO e MFA. Sono particolarmente adatte per ambienti di lavoro remoti e multi-cloud, grazie alla gestione centralizzata e all’automazione. Esempi di soluzioni IAM cloud includono:
Le soluzioni Identity-as-a-Service (IDaaS) offrono una gestione delle identità flessibile, soprattutto rispetto alle soluzioni on-premises. Le soluzioni IDaaS sono ideali per reti complesse, in cui gli utenti accedono da dispositivi Windows, Mac, Linux e mobile distribuiti tra cloud pubblici e privati. Eliminano la necessità di sistemi distinti per utenti remoti, contractor e clienti, e garantiscono un controllo coerente degli accessi su tutti i sistemi.
Alcuni account utente rappresentano obiettivi di alto valore per i cybercriminali, che, se riescono a comprometterli, possono accedere a informazioni sensibili e causare danni significativi alle organizzazioni. Per proteggere le aziende da attacchi esterni (e potenzialmente interni), questi utenti, in genere in ruoli come gli amministratori di sistema, ricevono livelli di autorizzazione più elevati tramite soluzioni di privileged access management (PAM). Queste soluzioni isolano le identità privilegiate dalle altre e utilizzano credential vaults e protocolli just-in-time per una sicurezza aggiuntiva.
Sebbene IAM e customer identity and access management (CIAM) gestiscano entrambi chi può accedere a determinati sistemi e risorse tramite meccanismi di autenticazione (password, MFA e così via), IAM e CIAM non sono la stessa cosa. Nella maggior parte dei casi, i sistemi IAM presentano meno ostacoli da superare per accedere a sistemi o risorse. Possono richiedere solo una combinazione di nome utente, password e credenziali biometriche e in genere non hanno bisogno di archiviare molte informazioni personali nel sistema, se non nessuna. Per i clienti, invece, è diverso. Spesso hanno nel sistema molte informazioni sensibili, come numeri di carta di credito o di previdenza sociale. Per questo i sistemi CIAM prevedono in genere misure più rigorose per accedere a tali account, inclusi limiti su chi, all’interno dell’organizzazione, può visualizzare i dati dei clienti.
I sistemi di Federated identity management (FIM) collegano l’identità di un utente tra più sistemi distinti di identity management, consentendo agli utenti autorizzati di accedere a più domini e applicazioni utilizzando un unico set di credenziali. Permettono agli utenti di spostarsi rapidamente tra i sistemi senza dover effettuare il login ogni volta, mantenendo al contempo elevati livelli di sicurezza. Supportano l’SSO ma spingono il concetto oltre. I FIM si basano su accordi chiari tra identity provider e service provider su quali attributi (posizione, numero di telefono e così via) rappresentano l’utente online. Una volta verificate queste credenziali, l’utente viene autenticato su più piattaforme.
Le API sono il principale punto di accesso ai dati e alla logica di business di un’organizzazione negli ambienti cloud-centric, quindi è fondamentale disporre di strumenti per gestirle in modo sicuro. Gli strumenti di API access management sono soluzioni e piattaforme specializzate che aiutano le organizzazioni a gestire, proteggere, monitorare e applicare regole su come applicazioni, sviluppatori e altri servizi interagiscono con le loro API. L’accesso alle API è generalmente governato da piattaforme di gestione API ( Google Apigee, Azure API management), soluzioni dedicate alla sicurezza delle API ( Salt Security, Traceable) e piattaforme IAM ( Okta Auth0, WSO2 Identity Server).
Identity governance and administration (IGA) si concentra sugli aspetti amministrativi e di conformità dell’IAM, assicurando che le policy di accesso siano progettate correttamente e rispettate nel tempo. Include revisioni di accesso e di certificazione per verificare regolarmente che gli utenti abbiano ancora bisogno dei permessi assegnati, ILM automatizzato per provisioning e deprovisioning e applicazione della segregation of duties (SoD) per suddividere le funzioni critiche tra più utenti, prevenendo frodi ed errori e garantendo che nessuna persona abbia il controllo completo di un intero processo.
Sebbene esistano diversi tipi di soluzioni e strumenti IAM, tutti devono includere alcuni componenti fondamentali, che lavorano insieme per creare un framework coerente in grado di proteggere le risorse e gestire le identità. Questi componenti comprendono i seguenti elementi (alcuni già descritti in precedenza):
Come accennato, è un altro modo per indicare il processo di amministrazione dell’IAM, che si concentra sulla creazione, manutenzione e archiviazione sicura delle identità digitali, inclusi tutti gli attributi identificativi associati (nomi, ruoli, reparti e così via). Garantisce che ogni persona e ogni entità non umana disponga di un’unica identità digitale nel sistema.
È il processo che verifica che una persona o entità sia davvero chi dichiara di essere, e rappresenta il primo filtro nel processo di accesso. Richiede all’utente di fornire una prova della propria identità, che può essere una password, un dato biometrico, MFA e così via. Se la prova è corretta, all’utente viene concessa una fiducia temporanea per passare alla fase di autorizzazione.
In questa fase, il sistema IAM determina che cosa può fare un’identità autenticata e a quali risorse può accedere. L’identità viene confrontata con la risorsa richiesta ( l’utente ha tentato di aprire un file) e vengono concessi i permessi appropriati ( può aprire il file se gli è stato dato l’accesso).
In generale, gli strumenti di controllo degli accessi consentono alle organizzazioni di definire e applicare policy di autorizzazione sia per utenti umani sia per identità non umane. Due framework comuni sono:
Il PAM è un sottoinsieme critico dell’IAM, focalizzato interamente sulla protezione degli account privilegiati con livelli di accesso elevati. Richiede l’utilizzo di vault per le credenziali e il monitoraggio delle sessioni e applica privilegi just-in-time.
La federazione delle identità stabilisce una relazione di fiducia tra due organizzazioni o sistemi diversi, permettendo che l’identità di un utente venga riconosciuta e accettata dal service provider esterno. L’SSO consente all’utente di autenticarsi una sola volta presso il proprio identity provider principale, che poi lo autorizza ad accedere a tutte le altre applicazioni o servizi senza dover reinserire le credenziali.
È il pilastro di accountability dell’IAM e prevede il tracciamento e la registrazione continua di tutti gli eventi legati alle identità nel sistema, tra cui ogni tentativo di login (riuscito o meno), ogni richiesta di accesso, ogni modifica amministrativa ai permessi. I sistemi IAM generano log di audit fondamentali per individuare attività sospette e per la conformità. Forniscono le evidenze dettagliate richieste da normative come GDPR e HIPAA, dimostrando che i controlli di accesso sono applicati e revisionati regolarmente.
Questo componente garantisce che il sistema IAM rimanga conforme, efficiente e accurato nel tempo. La gestione del ciclo di vita automatizza la gestione delle identità, dal provisioning al deprovisioning, eliminando potenziali falle di sicurezza. In questa fase vengono generati e gestiti anche i report di tracciamento e audit menzionati in precedenza.
I metodi di autenticazione robusti usati nei sistemi IAM, come MFA, 2FA e biometria, rendono molto più difficile per gli attaccanti esterni avere successo con tattiche comuni come phishing o credential stuffing. L’applicazione di una gestione rigorosa delle credenziali limita le modalità con cui gli attori malevoli possono ottenere accessi non autorizzati, riducendo il rischio di violazioni causate da password compromesse.
Funzionalità come l’SSO semplificano il percorso dell’utente, sia clienti sia dipendenti, eliminando gli attriti legati ai continui login e alle autenticazioni ripetute. Eliminano la stanchezza da password, aumentano la produttività e incoraggiano gli utenti a rispettare le policy di sicurezza invece di cercare scorciatoie rischiose per evitare di autenticarsi più volte.
Numerosi obblighi legali relativi alla privacy e alla sicurezza dei dati vengono automatizzati nei sistemi IAM, ad esempio limitando l’accesso ai dati sensibili in base a ruoli e località. I log di audit generati dai sistemi IAM consentono alle organizzazioni di produrre rapidamente la documentazione e le evidenze richieste per dimostrare la conformità ai regolatori, evitando sanzioni e penali.
L’IAM aumenta l’efficienza IT e di business automatizzando l’intero processo ILM di provisioning e deprovisioning delle identità. I nuovi dipendenti ricevono immediatamente gli account e i diritti di accesso corretti in base al loro ruolo e l’accesso viene revocato non appena un dipendente lascia l’azienda. Questa automazione riduce il carico amministrativo sui team IT, che possono concentrarsi su attività più strategiche, e limita gli errori nell’assegnazione dei permessi.
I sistemi IAM riducono il rischio rappresentato da utenti interni negligenti o malintenzionati applicando il principio del privilegio minimo, così che ogni utente abbia solo gli accessi necessari per il proprio ruolo. Se un utente agisce in modo malevolo o commette un errore grave, l’impatto potenziale delle sue azioni è molto più limitato. Le soluzioni PAM contribuiscono monitorando e restringendo gli account ad alto livello, registrando le attività per scoraggiare comportamenti malevoli e fornire tracciabilità forense.
Per quanto i sistemi IAM siano fondamentali per la sicurezza e le operazioni aziendali, la loro implementazione e manutenzione sono tutt’altro che semplici. Gli obiettivi dell’IAM sono chiari, ma il percorso per raggiungerli è costellato di sfide tecniche e operative complesse. Dall’integrazione dei sistemi legacy con nuove piattaforme cloud alla gestione del numero crescente di identità, le aziende spesso si trovano ad affrontare problemi che possono tradursi in falle di sicurezza, colli di bottiglia e frustrazione per personale e utenti finali. Di seguito alcune delle sfide più comuni e come affrontarle.
Gli ostacoli tecnici nell’integrare sistemi IAM cloud con soluzioni legacy sono significativi, perché molte applicazioni e database meno recenti non sono stati progettati per comunicare tramite i protocolli IAM (SAML, OAuth, SCIM). L’integrazione richiede spesso soluzioni complesse e anche la modifica più piccola può comportare malfunzionamenti imprevisti o problemi durante gli audit. Middleware e identity broker colmano il divario tra moderno e legacy, permettendo di applicare policy di autenticazione moderne alle app legacy senza riscrivere il codice esistente. È inoltre possibile aggiornare le applicazioni legacy più critiche per interagire con l’IAM tramite SAML, OAuth o API personalizzate.
L’implementazione di una soluzione IAM moderna e completa comporta costi ben oltre le sole licenze software. Tra specialisti da assumere con competenze in architetture IAM complesse, sostituzione di componenti del vecchio sistema incompatibili con il nuovo e costi di personalizzazione e integrazione, le spese complessive possono diventare molto elevate. Una distribuzione graduale può aiutare a controllare i costi rispetto a un rollout su larga scala. Può essere inoltre preferibile dare priorità alla modernizzazione delle applicazioni legacy più costose da mantenere e proteggere, invece di investire per integrare tutti i sistemi obsoleti. Le soluzioni IAM cloud hanno il vantaggio di modelli pay-as-you-go, più scalabili e convenienti rispetto alle soluzioni tradizionali.
Se l’esperienza utente diventa troppo complessa o piena di attriti, l’iniziativa IAM rischia di fallire. Cambi password troppo frequenti e una MFA implementata male possono spingere gli utenti ad annotare le password, esponendole a smarrimento o furto, oppure a condividere account in modo non autorizzato. È importante rendere il percorso più sicuro anche il più semplice: implementa l’SSO sulle applicazioni più utilizzate, adotta la biometria per eliminare le password oppure utilizza adaptive MFA per richiedere un secondo fattore solo quando il login appare rischioso (i.e. accesso da un altro paese).
È raro che l’infrastruttura IT moderna risieda in un unico ambiente. In genere le organizzazioni gestiscono identità in ambienti ibridi, tra on-premises e cloud, oppure in scenari multi-cloud. Poiché ogni cloud dispone di un framework IAM nativo differente, può diventare molto difficile applicare policy coerenti e gestire l’elevato volume di identità, soprattutto non umane. Centralizza l’autenticazione tramite federazione delle identità, proteggi le identità non umane con la stessa attenzione che riservi a quelle umane e standardizza le policy. Per farlo, adotta un approccio policy-as-code (PaC) e utilizza strumenti che si collocano sopra gli IAM nativi, traducendo le policy definite in regole tecniche per ciascuna piattaforma.
L’identità è uno dei principali bersagli degli attacchi e gli hacker sono molto abili nel rubare credenziali per infiltrarsi nei sistemi senza essere rilevati. Una volta dentro, i danni che possono causare e le informazioni a cui possono accedere possono essere devastanti. Passare oltre le password tradizionali e adottare metodi di autenticazione più avanzati, come MFA o biometria, rappresenta un passo decisivo per migliorare la sicurezza. Applica il principio del privilegio minimo e l’accesso just-in-time per proteggere i sistemi critici, proteggi gli account amministrativi con i livelli di sicurezza più elevati e monitora con attenzione i log IAM per rilevare e segnalare comportamenti anomali.
L’organizzazione deve essere pronta a dimostrare agli auditor di avere il pieno controllo sugli accessi utente. Gli auditor chiederanno log dettagliati che mostrino chi ha accesso ai dati sensibili, per quale motivo e prove che vengano condotti audit regolari. Raccogliere manualmente questo volume di dati è praticamente impossibile. Sfruttando una piattaforma IGA è possibile automatizzare il processo di revisione degli accessi, invitando i manager a certificare o revocare i permessi e creando quella traccia documentale che gli auditor si aspettano di vedere. L’adozione di modelli RBAC o ABAC semplifica la conformità e rende più semplice controllare gli accessi su larga scala, raggruppando i permessi in base a ruoli o attributi.
Sviluppare una strategia IAM solida e orientata al futuro è la base del piano di cybersecurity di un’organizzazione, fondamentale per proteggere i dati critici e abilitare l’agilità del business. Mentre le aziende affrontano la complessità della migrazione al cloud, del lavoro ibrido e del crescente numero di identità non umane, un framework IAM efficace richiede una pianificazione chiara che vada oltre la semplice installazione di software. Di seguito sei best practice che i responsabili della sicurezza dovrebbero adottare per costruire una strategia IAM centralizzata e scalabile, in grado di ridurre il rischio e al tempo stesso massimizzare la produttività degli utenti.
Le password, da sole, non bastano più a proteggere gli account utente. La MFA dovrebbe essere implementata ovunque possibile, perché rappresenta la difesa più importante contro il furto di credenziali, che rimane la causa principale delle violazioni dei dati. Non limitarti agli account privilegiati o dei clienti, ma applicala a tutti gli utenti, su tutte le applicazioni e i sistemi. Privilegia metodi più sicuri, come l’autenticazione basata su certificati, rispetto ai codici via SMS.
Alcune delle violazioni più gravi sono quelle che ottengono accesso a account privilegiati con controllo amministrativo sui sistemi critici. Concedi a questi account accessi just-in-time, in modo che dispongano dei privilegi elevati solo quando necessario, revocandoli dopo un intervallo definito. Implementa anche vault per le credenziali e monitoraggio delle sessioni, così da archiviare e ruotare automaticamente le credenziali e registrare le sessioni privilegiate per audit e analisi forense.
L’IAM non è un’attività da impostare una volta e dimenticare. Richiede monitoraggio e revisione costanti per evitare problemi come il privilege creep, un rischio importante per la sicurezza. Utilizza strumenti IGA per analizzare sistematicamente chi ha accesso a quali strumenti e per quale motivo, assicurandoti che tutti gli accessi rispettino rigorosamente il principio del privilegio minimo.
La federazione delle identità stabilisce un rapporto di fiducia tra l’archivio centrale delle identità della tua organizzazione (identity provider o IdP) e i servizi esterni (service provider o SP). Adotta un IdP centrale e configura tutte le applicazioni SaaS e le console dei cloud pubblici affinché lo utilizzino per l’autenticazione. La federazione delle identità abilita l’SSO, fondamentale per semplificare l’esperienza utente e centralizzare la sicurezza del processo di login.
Il provisioning e il deprovisioning manuali possono introdurre errori, falle di sicurezza e inefficienze nella strategia IAM. L’ILM automatizza questi processi ogni volta che un nuovo dipendente entra in azienda, un dipendente la lascia o cambia ruolo.
Perché la strategia IAM funzioni davvero, tutti i dipendenti devono essere formati sui processi di sicurezza e sull’importanza di seguirli. La sicurezza è forte solo quanto il suo anello più debole, che spesso è il fattore umano. Prevedi una formazione obbligatoria sulla sicurezza che vada oltre gli argomenti generici e spieghi nel dettaglio le diverse minacce per l’organizzazione, dal phishing e social engineering fino alla regola di non approvare mai una richiesta MFA che non hanno avviato.
L’Identity and Access Management si è evoluto da semplice “guardiano” degli accessi a vero e proprio fulcro della cybersecurity e delle operazioni aziendali moderne. Questa evoluzione è dovuta in gran parte all’integrazione di AI, machine learning e modelli di sicurezza Zero Trust nelle strategie IAM, e continuerà con la maturazione di tecnologie emergenti come l’autenticazione passwordless, i controlli di accesso adattivi e le identità decentralizzate. È fondamentale che le organizzazioni tengano il passo con gli sviluppi delle tecnologie IAM per proteggere sé stesse e i propri clienti da minacce informatiche in continua evoluzione, mantenere la conformità e semplificare la gestione delle identità digitali, umane e non umane. Le strategie IAM più efficaci permetteranno alle organizzazioni di bilanciare sicurezza ed esperienza utente e di superare le sfide legate all’integrazione dei processi IAM nelle attività di business, a tutela di dipendenti e clienti.
Esempi di strumenti IAM includono piattaforme complete come Okta, Microsoft Entra ID (Azure ID) e AWS IAM, oltre a soluzioni specializzate come CyberArk (per il PAM), SailPoint (per l’identity governance) e servizi SSO/MFA.
La user lifecycle management è il processo di automazione dei diritti di accesso di un’identità dal momento in cui entra in azienda (provisioning), durante eventuali cambi di ruolo (manutenzione) fino all’uscita (deprovisioning). L’obiettivo è garantire che l’accesso sia sempre adeguato e venga revocato non appena necessario.
Sebbene le definizioni possano variare, i quattro pilastri essenziali di una strategia IAM completa sono generalmente considerati Autenticazione, Autorizzazione, Amministrazione (o Governance) e Audit (o Monitoraggio).
Un esempio comune è il dipendente che utilizza l’SSO: inserisce una password e completa la MFA una sola volta (Autenticazione), e il sistema IAM gli concede accesso a tutte le applicazioni di lavoro autorizzate (Autorizzazione), come drive cloud, email e CRM, senza dover effettuare nuovamente il login.
