Deleghe di ruolo e disponibilità

(Sezione Operazioni e Gestione)

1) Perché delegare un ruolo

L'obiettivo è dare a ogni partecipante (dipendente, partner, servizio) esattamente i diritti necessari e per tutto il tempo necessario, con una tracciabilità completa. Questo riduce i rischi di fuoriuscite e abusi, accelera il controllo e il passaggio delle udienze.

2) Modello di accesso: livelli e domini

Domini di accesso: persone (console/pannelli), servizi (token machine), dati (tabelle/oggetti), infrastruttura (cloud/K8s), controparti (integrazioni esterne), regioni/tenenti.
Livelli di fiducia: pubblico interno protetto (PII/finanza), particolarmente critico (chiavi/pagamenti).
Zone di lavoro: prod/staging/sandbox; regola da sotto a sopra - solo tramite pipeline approvate.

3) Modelli di autorizzazione

RBAC: ruoli associati a attività (Editor contenuti, Operatore pagamento). Semplice partenza, facile da controllare.
ABAC: criteri per attributi oggetto/risorsa/contesto (regione, tenante, cambio, dispositivo, rischio-scansione).
ReBAC (relationship-based) - I diritti vengono seguiti dalle relazioni (proprietario del progetto, membro del team).
Ibrido: RBAC per la matrice di base, ABAC per i vincoli contestuali, ReBAC per la proprietà.

4) Accesso minimo richiesto (Least Privilege)

Avvio: ruoli minimi di default (read-only, senza PII).
La promozione è solo attraverso una domanda con giustificazione, scadenza e proprietario.
Limite di tempo (TTL) - I permessi si sciolgono automaticamente; La proroga è consapevole.
Guardia rail contestuale: regione/tenante, orari di apertura, dispositivo, geo.

5) Separazione dei compiti (SoD)

• «Accende i limiti».
• «Sta preparando il pagamento».
• «Scrive il codice» ≠ «in prod».
• "Admine OBD" legge il PII nell'analisi ".
• Implementare i SoD nelle policy e nei processi stessi (due volte, M-of-N).

6) Processi JML (Joiner/Mover/Leaver)

Joiner: assegnazione automatica dei ruoli di base per ruolo/comando/regione, assegno di accesso per 24h.
Movimento - Rivedere i ruoli al cambio di comando/progetto; ritiro automatico dei «vecchi» diritti.
Leaver: recensione di sessioni, chiavi, token; reimpostare i segreti, trasferire la proprietà degli artefatti.

7) Privilegi temporanei: JIT/PAM

Just-In-Time (JIT) - Sollevamento dei diritti di richiesta per 15-240 minuti con MFA e Ticket.
PAM (Privileged Access Management) - Proxy/accesso sotto l'account shell, registrazione delle sessioni, registro di comando.
Break-glass: accesso di emergenza con alert immediato, TTL breve e post mortem obbligatorio.

8) Identità dei servizi e chiavi

Servizio Accounts - Separati per ogni servizio e ambiente, nessun segreto shared.
Workload Identity - Aggancia i token al sottosuolo/virus/funzione; Crediti a breve termine.
I segreti sono: KMS/Vault, rotazione, crittografia a doppio contorno, disattivazione dei loghi.
Le chiavi di firma/pagamento sono threshold/MPC, HSM hardware, espletamento dei domini di fiducia.

9) SSO/MFA/SCIM e ciclo di vita degli account

SSO: IdP (SAML/OIDC), accesso unico, regole centralizzate per password/dispositivi.
MFA: obbligatoria per gli ammiragli/finanza/PII; preferibilmente FIDO2.
SCIM: creazione automatica/rimozione/modifica di account e gruppi.
Accesso condizionato allo stato del dispositivo (crittografia del disco, EDR, patch aggiornate).

10) Criteri-come-codice e convalida

OPA/Authorization service - Criteri di codice (Rego/JSON), ringiovanimento tramite PR, test.
Drift Control: paragoni regolari «dichiarato vs effettivamente».
Pre-flight convalida: «Un criterio consentirà questa operazione?» - testate le valigette prima del lancio.

11) Accesso ai dati

Classificazione: pagella/intra/limitata/PII/finanza.
Pressione minima: aggregazioni/maschere anziché dati crudi; query PII - Solo attraverso i jobs approvati.
Tokenization/DE-ID - Sostituzione degli ID, controllo delle query.
Strati: repliche di vetrine di Accesso diretto a prod-database - solo JIT/PAM.

12) Cloud, K8s, reti

Cloud IAM ruoli per account/progetto; Disattivazione predefinita Limitare le azioni di tag/cartelle.
Kubernets: RBAC per i Neimspace, PSP/politiche simili senza «prived», immagine-allowlist, segreti tramite CSI, account per i servizi.
Rete: Zero-Trust (mTLS, identity-aware), accesso a jump-host - solo JIT, scrittura sessioni SSH.

13) Partner e integrazioni esterni

Tenenti/chiavi isolati, un minimo di scorciatoie OAuth2, TTL di token corti.
Firma (HMAC/EdDSA), «nonce + timestamp», finestra di ricezione ristretta.
Rotazione delle chiavi pianificata, recensione in caso di compromissione, stato di endpoint per «health».

14) Controllo, ricontrollo, rendicontazione

Immutability: registri WORM, firme di rilascio criteri, tagli Merkle.
Ricontrollo: verifica trimestrale dei ruoli critici, mensile dei diritti admine.
Quarantena autorizzata: «60 giorni inutilizzati».
Evidence pack - Scarica matrice di ruoli, attività SoD, richieste JIT, scrittura di sessioni PAM.

15) Metriche e SLO

TTG (Time-to-Grant) - La mediana di accesso è una richiesta standard (obiettivo 4h).
Percentuale di disponibilità JIT tra i «privilegiati» (obiettivo 80%).
: 0 in prod, tempo di eliminazione 24 ore.
Diritti orfani:% di utenti con diritti eccessivi (obiettivo 0). 0x%).
Rotazione dei segreti: età media del segreto (obiettivo 30 giorni per i sensibili).
Controllo copertura: 100% attività privilegiate con manufatti (record, ricevute).

16) Dashboard

Access Health: ruoli attivi, diritti orfani, JIT vs permanenti.
PAM & Sessions: numero di sessioni privilegiate, durata, successo MFA.
SoD & Incidents: statistiche dei blocchi, cause, MTTR.
Segreti & Keys: età, rotazione imminente, chiavi rosse.
JML: SLA onboording/off, richieste scadute.
AuditEvidence - Stato di riscossione trimestrale, 100% completeness.

17) Playbook incidenti

Compromettere il token/chiave: recensione immediata, ricerca di utilizzo globale, rotazione delle dipendenze, controllo retromarcia di N giorni.
Violazione dell' SoD: blocco dell'operazione, interruzione temporanea del ruolo, post mortem e modifica delle regole.
Accesso non autorizzato a PII: isolamento, notifica DPO, inventario di fuga, procedure legali.
Escalation abuse: congelamento JIT per soggetto/comando, analisi delle richieste/giustificazioni, regolazione dei limiti TTL.

18) Pratiche operative

Quattro occhi sull'estradizione/modifica dei diritti critici.
Directory dei ruoli che descrive attività, rischi e operazioni valide.
Ambienti di prova con dati anonimi e altri ruoli.
Policy dry-run - Simulazione degli effetti delle modifiche prima dell'applicazione.
«perdita di », «guasto PAM», «fuga di segreti».

19) Assegno foglio di implementazione

• Formare la tassonomia dei ruoli e la matrice dei processi chiave.
• Abilita SSO + MFA per tutti, SCIM per JML.
• Espandi PAM/JIT, configura break-glass con alert e TTL corto.
• Immettere i criteri-come-codice (OPA), le revisioni tramite il PR e gli autoveicoli.
• Account di servizio separati e workload-identity; proibire i segreti shared.
• Vault/KMS, rotazione regolare dei segreti e delle chiavi, proibizione dei segreti nel codice/login.
• Separare ambienti e regioni, fissare le regole per la disponibilità a livello regionale.
• Esegui dashboard e SLO, resoconti mensili per la ricomposizione.
• Eseguire lo scan SoD del grafico dei diritti e eliminare i percorsi di escalation.
• Esercitazioni regolari e post mortem con action items.

20) FAQ

RBAC o ABAC?
RBAC è il livello base di lettura, ABAC il contesto e l'altoparlante. Utilizzare l'ibrido.

Serve un PAM se c'è un JIT?
Sì: PAM consente di registrare sessioni e canali di accesso privilegiato gestiti.

Come si fa a ridurre i diritti?
TTL per ruoli, rimozione automatica inutilizzata, ricircolo mensile e SoD-alert.

Cosa fare con gli appaltatori esterni?
Tenenti/gruppi selezionati, scorciatoie limitate, TTL brevi, report obbligatori e reattività.

Riepilogo: La delega di ruolo e la disponibilità non sono un insieme di marchi di spunta, ma un ciclo di vita di diritti: ruoli minimi necessari, SoD, JIT/PAM, criteri-come-codice, osservabilità e reattività regolare. Questo tracciato consente ai team di lavorare rapidamente e di garantire una protezione prevedibile per l'azienda e il controllo.