L'Identity Fabric integra sistemi di identità frammentati in un unico livello osservabile, fondamentale per gestire accessi in ambienti cloud ibridi e multi-cloud, ridurre i rischi di identità non gestite e garantire coerenza tra policy e utilizzo reale.
La crescente complessità degli ambienti IT aziendali, tra cloud, SaaS e workload automatizzati, rende sempre più difficile governare le identità digitali. L'Identity Fabric nasce per rispondere a questa sfida: non è un prodotto unico, ma un'architettura che collega provider di identità, sistemi di governance, applicazioni e infrastrutture in un unico livello osservabile. Il suo obiettivo è colmare il divario tra ciò che le policy di accesso intendono e ciò che avviene realmente a runtime.
Tradizionalmente, la gestione delle identità si divide tra design time (definizione delle policy, provisioning, workflow JML) e runtime (autenticazione, enforcement delle autorizzazioni, SSO). Il rischio maggiore nasce proprio dallo scollamento tra queste due dimensioni: le piattaforme IAM spesso non verificano come le autorizzazioni vengano effettivamente applicate nelle applicazioni, lasciando zone d'ombra chiamate identity dark matter. L'Identity Fabric serve a illuminare queste aree non osservate.
Identity sprawl e visibilità: la nuova priorità
Oggi le identità non sono più solo utenti umani: API, workload, bot e integrazioni SaaS generano account e credenziali a una velocità che supera la capacità di controllo centralizzato. Questo fenomeno, noto come identity sprawl, porta all'accumulo silenzioso di credenziali orfane e privilegi eccessivi, ampliando la superficie d'attacco senza segnali evidenti.
Molte aziende si limitano a monitorare i log degli identity provider, trascurando ciò che accade a livello applicativo. Tuttavia, molte minacce si manifestano proprio all'interno delle applicazioni, dove gli attaccanti sfruttano credenziali valide per muoversi indisturbati. La vera sicurezza si basa sulla visibilità comportamentale: confrontare l'accesso previsto con quello realmente esercitato permette di individuare anomalie e ridurre i falsi negativi.
Gestione delle identità non umane: rischi e governance
Le identità non umane - come service account, bot, workload cloud, API key - superano spesso in numero gli account umani, ma ricevono meno attenzione. Essendo create da processi automatici e non da workflow HR, sfuggono ai controlli tradizionali: senza un responsabile, permessi eccessivi e credenziali non ruotate diventano la norma, aumentando il rischio di escalation e movimenti laterali.
Per governare queste identità occorre assegnare ownership, definire scopo e permessi minimi, impostare scadenze e monitorare l'uso reale. Solo così si trasforma una sprawl caotica in un inventario gestibile e sicuro.
Identity Fabric: benefici concreti per resilienza e zero trust
Un Identity Fabric efficace rende praticabile il modello zero trust, basato sulla verifica continua delle identità e dei loro comportamenti. In ambienti ibridi e multi-cloud, dove le identità sono distribuite tra provider diversi, la fabric offre una vista unificata che collega identità, applicazioni e infrastrutture, rendendo visibili i percorsi di fiducia spesso sfruttati dagli attaccanti.
La valutazione continua degli accessi consente di revocare privilegi inutilizzati e applicare il principio del minimo privilegio in modo dinamico. In caso di incidente, la correlazione delle attività tra app, API e infrastrutture accelera la risposta e limita il raggio d'azione di un'identità compromessa.
AI identity: la nuova frontiera della gestione delle identità
Le identità AI rappresentano una sfida emergente: agenti AI autorizzati a svolgere compiti possono, tramite azioni concatenate o input manipolati, accedere a risorse non previste dalle policy statiche. La governance deve quindi basarsi non solo su policy, ma anche su osservabilità e accountability umana, monitorando costantemente il comportamento degli agenti e assegnando responsabilità chiare.
Questo tema si collega anche alle recenti ricerche sulla propagazione di payload tra agenti autonomi, come illustrato nell'analisi sulle vulnerabilità dei prompt infetti pubblicata su come i payload possono diffondersi tra agenti AI tramite file di sistema.
Implementare una Identity Fabric: passi pratici
La realizzazione di una Identity Fabric è un percorso di maturità: si parte dalla mappatura delle fonti di identità, API, applicazioni e relazioni di fiducia, per poi prioritizzare le identità e i percorsi di accesso più critici. I segnali di rischio includono privilegi eccessivi, credenziali esposte, autenticazione debole e capacità di modificare il control plane.
Definire metriche chiare - come la percentuale di identità scoperte fuori dall'IAM, la quota di identità non umane con owner assegnato, la riduzione degli account overprivileged e il tempo medio di ricostruzione delle timeline in caso di incidente - trasforma la fabric in un programma continuo e misurabile.
Tra le piattaforme che supportano questo approccio, Orchid Security si distingue per la scoperta diretta delle identità da applicazioni e infrastrutture, mentre Microsoft Entra, Okta, Ping Identity, SailPoint, Saviynt e CyberArk coprono aree specifiche come IAM, governance e gestione dei privilegi. La scelta della piattaforma deve privilegiare la capacità di osservare il comportamento delle identità, non solo di gestirne la configurazione.
