Abbattere il soffitto del cloud: Semperis apre le paratie della sicurezza delle identità per le agenzie federali USA

Per anni, le agenzie federali statunitensi e i contractor della difesa hanno operato alla cieca in un’area critica della cybersecurity: le identità nel cloud che costituiscono la spina dorsale delle loro operazioni. Mentre le più grandi organizzazioni del mondo hanno sfruttato strumenti gratuiti per sondare vulnerabilità nei loro ambienti Active Directory, gli enti governativi che operano nel cloud ultra-sicuro GCC High di Microsoft sono rimasti esclusi - fino ad ora.

Focus investigativo: una nuova era per la sicurezza delle identità nel governo

Il Government Community Cloud High (GCC High) di Microsoft è la fortezza digitale per le agenzie civili federali, il Dipartimento della Difesa e i contractor della difesa - progettato appositamente per soddisfare i più rigorosi standard di conformità (FedRAMP High, ITAR, DFARS). Eppure, questa fortezza ha a lungo avuto un punto cieco: l’impossibilità di eseguire valutazioni di sicurezza complete sui sistemi di identità nel cloud utilizzando strumenti affidati al settore commerciale.

L’estensione di Purple Knight in GCC High da parte di Semperis segna un momento spartiacque. I team IT federali possono ora, per la prima volta, eseguire una scansione sia del loro Active Directory on-premises sia dei loro ambienti Entra ID in GCC High in un’unica valutazione. Il risultato? Un punteggio unificato della postura di sicurezza che mette in luce configurazioni rischiose, errate configurazioni e vulnerabilità non patchate lungo l’intero panorama ibrido delle identità.

Questo aggiornamento non poteva arrivare in un momento più cruciale. L’alleanza di intelligence Five Eyes - che rappresenta Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda - ha recentemente aggiornato il suo avviso di riferimento su come rilevare e mitigare compromissioni di Active Directory, raccomandando esplicitamente strumenti come Purple Knight. Nel frattempo, una serie di mandati federali (Executive Order 14028, FISMA, OMB M-22-09) impone alle agenzie di adottare lo Zero Trust, rafforzare i sistemi di identità e monitorare continuamente eventuali violazioni.

“Da anni alle agenzie federali viene detto che l’identità è il loro nuovo perimetro, ma molte non dispongono ancora di strumenti pratici e a basso attrito per verificare se quel perimetro sia davvero resiliente”, osserva Ed Amoroso, CEO di TAG Cyber. L’arrivo di Purple Knight in GCC High offre esattamente questo: uno strumento di valutazione rapido, guidato dalla community, per confrontare la sicurezza delle identità ibride con gli standard più aggiornati.

Per le agenzie che necessitano di più di controlli periodici, Semperis offre anche Directory Services Protector per il rilevamento delle minacce in tempo reale, Active Directory Forest Recovery per una risposta rapida ai disastri e Lightning Intelligence per un monitoraggio continuo e automatizzato. In un’era digitale in cui l’identità è sia la chiave sia il bersaglio, questa espansione potrebbe fare la differenza tra la normalità operativa e una compromissione catastrofica.

Conclusione: dai punti ciechi a linee nette

L’aggiunta delle capacità di Purple Knight a GCC High non si limita a colmare un gap di conformità - offre ai difensori federali visibilità e controllo sul loro perimetro di sicurezza più critico. In un panorama di minacce in cui gli attaccanti prendono sempre più di mira le identità, questa mossa segnala un passaggio verso una difesa davvero proattiva. Per le ambizioni cloud del governo degli Stati Uniti, il cielo è appena diventato un po’ più limpido - e molto più sicuro.

WIKICROOK

• Active Directory: Active Directory è il sistema Microsoft per gestire utenti, dispositivi e autorizzazioni nelle reti aziendali, centralizzando l’accesso e i controlli di sicurezza.
• GCC High: GCC High è un servizio cloud Microsoft per il governo statunitense e i contractor, che garantisce la conformità a rigorose normative federali su sicurezza e dati.
• Zero Trust: Zero Trust è un approccio alla sicurezza in cui nessun utente o dispositivo è considerato affidabile per impostazione predefinita, richiedendo una verifica rigorosa per ogni richiesta di accesso.
• FedRAMP: FedRAMP è un programma del governo degli Stati Uniti che impone rigorosi standard di sicurezza per i servizi cloud utilizzati dalle agenzie federali, garantendo protezione dei dati e conformità.
• Five Eyes: I Five Eyes sono un’alleanza tra Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda per la condivisione di intelligence e informazioni sulle minacce informatiche.