Le nuove normative e le sentenze giudiziarie sottolineano l'importanza cruciale della resilienza identitaria, un aspetto spesso trascurato ma fondamentale per la continuità operativa aziendale.
Nel panorama della cybersecurity, dove minacce come il ransomware possono mettere in ginocchio le organizzazioni, la resilienza informatica è diventata un imperativo. Tuttavia, un pilastro fondamentale di questa resilienza, spesso sottovalutato, è la resilienza identitaria. Senza la capacità di gestire e ripristinare l'accesso alle identità digitali, anche i piani di recupero più avanzati per dati e applicazioni rischiano di essere vani.
La gestione delle identità si è evoluta drasticamente. Se un tempo l'infrastruttura centrale era rappresentata da Active Directory (AD) on-premises, oggi le aziende si affidano sempre più a provider di identità (IdP) basati su cloud. Questa transizione introduce complessità aggiuntive, soprattutto considerando che molte organizzazioni non utilizzano un singolo IdP, ma un mix di soluzioni. Possono coesistere IdP dedicati alla gestione delle identità dei clienti (CIAM - Customer Identity and Access Management) e diversi IdP focalizzati sui dipendenti, spesso come risultato di fusioni aziendali o per soddisfare requisiti specifici.
La complessità è ulteriormente esacerbata dall'elevato numero di applicazioni utilizzate dalle aziende. Studi indicano che un'impresa media può impiegare fino a 1.200 applicazioni. La riconnessione di queste applicazioni a un sistema di identità ripristinato dopo un incidente può rappresentare un'impresa ardua.
La resilienza identitaria non si limita alla semplice disponibilità dell'IdP in termini di uptime. I team che gestiscono le identità sono costantemente confrontati con problematiche operative quotidiane che possono interrompere le attività. Queste includono la deriva di configurazione (configuration drift), causata da sistemi esterni che alimentano l'IdP (come i sistemi HR o di gestione dell'intelligenza artificiale) o errori umani da parte degli amministratori. Tali deviazioni possono bloccare sia le operazioni interne che quelle esterne, creando al contempo un percorso verso nuove vulnerabilità.
I professionisti dell'IT operations e del Business Continuity and Disaster Recovery (BCDR) tendono a concentrarsi sulla resilienza dei dati e dei sistemi. Il loro obiettivo è garantire la disponibilità dei servizi critici e ripristinarli rapidamente dopo un'interruzione. Per le minacce informatiche, ciò implica allineare backup, recupero e resilienza per poter ripristinare un "minimum viable company", mitigando le conseguenze finanziarie, operative, normative e reputazionali di interruzioni causate da attacchi come il ransomware. Generalmente, si focalizzano sul raggiungimento di specifici Recovery Time Objectives (RTO) e Recovery Point Objectives (RPO).
L'approccio standard dell'IT operations consiste nel riportare le operazioni a uno stato "known good" (noto e funzionante). Questo processo è già complesso per applicazioni e dati, ma l'infrastruttura di identità eleva tale complessità a un nuovo livello. Non si tratta semplicemente di un esercizio di recupero dati per supportare l'IdP, ma richiede la considerazione delle dipendenze, sia a monte che a valle. I componenti dell'identità devono essere orchestrati nell'ordine corretto, tenendo conto delle loro interrelazioni.
Le recenti evoluzioni legali, come l'ordinanza del Tribunale di Milano del 5 ottobre 2026 riguardante il diritto all'oblio e le richieste di deindicizzazione nei confronti di Google, mettono in luce un aspetto fondamentale della gestione delle identità digitali: la necessità di procedure chiare, trasparenti e che consentano all'interessato di esercitare pienamente i propri diritti. L'ordinanza impone a Google di modificare entro il 15 novembre le proprie procedure e la modulistica, affinché gli utenti possano allegare documenti a sostegno delle richieste e ogni diniego sia motivato sulla base di una valutazione di tali documenti.
Questa sentenza evidenzia come la gestione delle identità digitali, anche in contesti apparentemente distanti dalla cybersecurity operativa, richieda un'attenzione meticolosa ai dettagli procedurali e alla trasparenza. Il modulo di richiesta, come sottolineato dal Tribunale, è lo strumento attraverso cui l'azienda agevola o ostacola l'esercizio dei diritti dell'interessato. Un modulo che non permette allegati, come contestato dai ricorrenti, sottrae al gestore del motore di ricerca le informazioni necessarie per un bilanciamento corretto tra la riservatezza dell'individuo e il diritto all'informazione del pubblico, come richiesto dal GDPR e dalla giurisprudenza della Corte di Giustizia.
Le implicazioni di questa decisione sono significative. Le aziende che gestiscono grandi quantità di dati personali e identità digitali devono assicurarsi che i loro processi siano non solo tecnicamente robusti, ma anche conformi alle normative e rispettosi dei diritti degli utenti. Un diniego non motivato o basato su informazioni incomplete può portare a contenziosi e a sanzioni, oltre a minare la fiducia degli utenti.
Per garantire una solida resilienza identitaria in un mondo caratterizzato da un numero crescente di identità digitali (agenti, utenti, servizi), i team di gestione delle identità e quelli delle operazioni IT devono collaborare strettamente e migliorare le proprie capacità. Alcuni passaggi chiave includono:
In conclusione, la resilienza identitaria non è più un optional, ma un prerequisito per la resilienza informatica complessiva. Le aziende che investono nella sicurezza e nella recuperabilità dei propri sistemi di gestione delle identità, prestando attenzione anche agli aspetti procedurali e normativi come evidenziato dalle recenti sentenze, saranno meglio posizionate per resistere e riprendersi da attacchi sempre più sofisticati, garantendo la continuità delle proprie operazioni.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
