Migliori pratiche di sicurezza | Blog

Le integrazioni di Backup and Recovery dipendono dalla sicurezza delle credenziali dei carichi di lavoro. Una singola credenziale compromessa può consentire l’accesso ben oltre i confini di un singolo sistema, e gli autori delle minacce lo sanno bene.

La migliore credenziale statica è quella che non si possiede. Ove possibile, passare dall’autenticazione basata su secret a identità gestite o altri approcci “senza secret”, in modo che le credenziali vengano emesse, protette e ruotate dalla piattaforma anziché essere archiviate e gestite manualmente. Tuttavia, ci rendiamo conto che ciò non è sempre possibile per alcuni sistemi e configurazioni legacy.

La buona notizia: anche quando si utilizzano secret a lunga durata, le buone pratiche di sicurezza informatica possono ridurre il rischio e l’entità del danno.

Questo post delinea una routine pratica che può aiutare a garantire che la vostra azienda rimanga resiliente alle minacce informatiche: ruotare le credenziali, ridurre al minimo l’ambito di applicazione e applicare l’accesso condizionale ove possibile.

Il punto di partenza: tre controlli fondamentali

Una solida gestione delle credenziali si basa su tre pilastri: rotazione, principio del privilegio minimo e accesso condizionale. Sebbene non sia sempre possibile applicarli tutti e tre a ogni tipo di credenziale, questi rappresentano i punti di partenza giusti per qualsiasi ambiente:

Rotazione e monitoraggio: aggiornare regolarmente le credenziali e verificare l’attività di autenticazione alla ricerca di anomalie.
Principio del privilegio minimo: limitare l’ambito delle autorizzazioni in modo che le credenziali possano eseguire solo le operazioni di backup/ripristino necessarie. Alcune misure pratiche includono:
- Separare le credenziali in base al carico di lavoro.
- Limitare le autorizzazioni al minimo necessario per insiemi di dati, siti, caselle di posta o database.
- Evitare ruoli amministrativi di ampia portata, a meno che non siano assolutamente necessari.
Accesso condizionale: laddove supportato, impostare criteri per limitare quando e dove è possibile utilizzare le credenziali, ad esempio:
- Posizioni e intervalli di indirizzi IP attendibili
- Segnali di rischio
- Controlli su dispositivi e sessioni

Quando l’accesso condizionale non è fattibile, la rotazione delle credenziali costituisce il controllo compensativo

Non tutti i tipi di credenziali soddisfano i requisiti dell’accesso condizionale. In questi casi, la rotazione limita il periodo di validità di una credenziale rubata, mentre il monitoraggio aiuta a individuare rapidamente eventuali abusi.Le linee guida di Commvaultsottolineano l’importanza di aggiornare regolarmente password, codici segreti e credenziali in tutti gli ambienti. Per le registrazioni delle app Azure a tenant singolo che proteggono i carichi di lavoro M365/D365/Entra ID,Commvault raccomandacicli di rotazione di 90 giorni. Molti standard comuni di sicurezza e conformità (PCI DSS, ISO 27001, SOC 2, NIST) richiedono inoltre una gestione rigorosa delle credenziali, compresa la rotazione periodica e la revisione degli accessi.

Consultate il vostro team di sicurezza

La gestione delle credenziali è più efficace quando è coerente. Coordinatevi con il vostro team di sicurezza sui seguenti aspetti:

Intervalli di rotazione (per tipo di credenziale e livello di rischio).
Progettazione delle politiche di accesso condizionato (quello che è applicabile senza compromettere l’automazione).
Regole di accesso privilegiato, requisiti di registrazione e cicli di revisione.

Guida alle risorse

Le risorse riportate di seguito offrono ulteriori approfondimenti e indicazioni specifiche per ambiente relative alla protezione delle credenziali e ai controlli di accesso.