Dati Rapidi

• Le grandi aziende ora gestiscono in media 1.100 applicazioni aziendali; alcune delle principali istituzioni finanziarie superano le 14.000.
• Solo circa il 54% di queste app è adeguatamente integrato con i sistemi di Identity Governance and Administration (IGA).
• Il “Shadow SaaS” - app utilizzate senza che l’IT ne sia a conoscenza - fa pensare che il numero reale di app non gestite sia probabilmente più alto.
• Molte app non supportano gli standard moderni di identità come SAML e SCIM, rendendo l’integrazione lenta e costosa.
• Fornitori e startup si stanno affrettando a colmare il gap di integrazione, ma soluzioni su misura e richieste di conformità persistono.

La Valanga di App: Come l’Ambizione Digitale è Diventata un Incubo per la Sicurezza

Immagina una metropoli sconfinata nell’ora di punta - migliaia di veicoli che si intrecciano agli incroci, alcuni seguendo le regole, altri che si infilano inosservati nei vicoli. Questo è il panorama IT aziendale di oggi, con un numero impressionante di applicazioni business - cloud, on-premise o ibride - ognuna delle quali necessita di varchi sicuri per ingresso e uscita. Il passaggio da pochi programmi desktop a un vasto ecosistema di strumenti SaaS basati su browser è stato alimentato dalla trasformazione digitale, dal lavoro remoto imposto dalla pandemia e dalla ricerca incessante di efficienza. Ma mentre le organizzazioni inseguono l’agilità, creano involontariamente un labirinto per i team di identità e sicurezza.

Secondo una recente ricerca di Omdia, le organizzazioni di medie e grandi dimensioni ora dichiarano una media di 1.100 app in uso, con alcuni colossi come le principali banche statunitensi che superano le 14.000. Eppure, solo poco più della metà di queste sono correttamente collegate ai sistemi IGA - il software che gestisce chi ha accesso a cosa. Il resto? Si nasconde nell’ombra, talvolta invisibile persino ai team IT, creando la tempesta perfetta per i cybercriminali a caccia di punti deboli.

Il Baratro dell’Integrazione: Perché la Copertura IGA è in Ritardo

La promessa dell’IGA è semplice: centralizzare e automatizzare le decisioni sugli accessi degli utenti, così che i privilegi non vengano trascurati o abusati. Ma la realtà è tutt’altro che semplice. Molte applicazioni, soprattutto quelle più datate o di nicchia, non parlano i linguaggi moderni della sicurezza delle identità - come SAML, OIDC o SCIM. Integrarle significa spesso ricorrere a codice personalizzato, costosi “connettori” o supervisione manuale. I settori ad alta regolamentazione, come finanza o sanità, richiedono un’attenzione ancora maggiore; un solo errore può significare multe o violazioni imbarazzanti.

Questo lascia i team di sicurezza davanti a un baratro: se da un lato possono collegare rapidamente le app più diffuse con strumenti preconfigurati, centinaia (a volte migliaia) di altre richiedono un lavoro personalizzato e meticoloso. Nel frattempo, le app “shadow SaaS” - acquisite dalle business unit senza il consenso dell’IT - espandono la superficie d’attacco. Il risultato? Un mosaico di app protette e non protette, con gli attaccanti sempre pronti a sondare l’anello più debole.

Colmare il Divario: Nuovi Attori, Vecchi Problemi

La crisi crescente ha innescato un’ondata di innovazione. Giganti come SailPoint stanno acquisendo startup per semplificare l’onboarding delle app, mentre nuovi player come ConductorOne e Veza promettono integrazioni più rapide e intelligenti. Altri strumenti, come Cerby, affrontano di petto il problema delle “app disconnesse”, offrendo governance anche quando gli standard non sono supportati. Gli integratori di sistemi restano fondamentali per implementazioni personalizzate e guidate dalla conformità.

Ma nonostante il fermento, la sfida di fondo persiste: finché le organizzazioni continueranno ad aggiungere app più velocemente di quanto riescano a metterle in sicurezza, il baratro dell’integrazione rimarrà. La posta in gioco è alta - non solo per la privacy dei dati, ma per la fiducia e la reputazione delle aziende di tutto il mondo.

WIKICROOK

• Identity Governance and Administration (IGA): L’Identity Governance and Administration (IGA) gestisce e controlla chi può accedere a quali risorse in un’organizzazione tramite policy e strumenti.
• Shadow SaaS: Lo Shadow SaaS sono app cloud utilizzate dai dipendenti senza l’approvazione dell’IT, creando zone d’ombra nella sicurezza e aumentando il rischio di violazioni dei dati o problemi di conformità.
• SAML (Security Assertion Markup Language): SAML è uno standard che consente il single sign-on sicuro permettendo la condivisione protetta delle informazioni di identità tra diversi sistemi o applicazioni.
• SCIM (System for Cross: SCIM è un protocollo standard che automatizza e semplifica lo scambio sicuro di informazioni di identità utente tra diversi sistemi IT.
• Single Sign: Il Single Sign-On (SSO) consente agli utenti di accedere a più servizi con un solo login, semplificando l’accesso ma aumentando il rischio se le credenziali vengono compromesse.