Un nuovo dipendente arriva il lunedì mattina, un collaboratore esterno ha bisogno di accedere a un singolo progetto e un visitatore chiede la password del WiFi ospiti. Si trovano tutti nello stesso edificio, ma non devono ricevere lo stesso livello di accesso. Il dipendente potrebbe aver bisogno di email, buste paga, applicazioni interne e connettività per il personale. Il collaboratore potrebbe necessitare di un unico spazio di lavoro condiviso per un periodo di tempo limitato. Il visitatore ha bisogno di accedere a Internet, non di un canale d'accesso ai sistemi aziendali.
Questa differenza è la risposta pratica a cos'è la gestione delle identità. Si tratta dell'insieme di policy, processi e tecnologie che un'organizzazione utilizza per stabilire chi sia una persona o un sistema, verificarne l'identità, decidere a cosa può accedere e revocare tale accesso al variare delle circostanze.
La gestione dell'identità oggi va ben oltre la schermata di login dell'IT. Supporta l'onboarding dei clienti, la prevenzione delle frodi, la governance aziendale, l'accesso alla rete e i controlli normativi. Nel Regno Unito, il settore dell'identità digitale contava 275 aziende attive a gennaio 2026, a dimostrazione di come l'identità si sia evoluta in un ecosistema tecnologico ed economico significativo, e non solo in una funzione amministrativa. Il settore ha generato circa £2,03 miliardi di entrate annuali nel 2024/2025, ha prodotto £1,04 miliardi di valore aggiunto lordo e ha sostenuto 9.624 ruoli equivalenti a tempo pieno secondo il UK Digital Identity Sectoral Analysis Report .
Questa guida sviluppa l'idea partendo dai principi fondamentali, per poi seguire un'identità attraverso il suo ciclo di vita, i protocolli di autenticazione, i metodi di accesso più sicuri ed esempi reali di rete come il WiFi ospiti, il WiFi del personale, i certificati, Passpoint e iPSK . Per un'introduzione più ampia ai vantaggi in termini di sicurezza, l'articolo proteggere i dati con la gestione delle identità offre un contesto utile dal punto di vista della gestione degli accessi.
Introduzione alla gestione delle identità nelle organizzazioni moderne
La richiesta di accesso al WiFi dell'ufficio spesso rivela la strategia di identità di un'organizzazione più rapidamente di una verifica di sicurezza. Se tutti ricevono la stessa chiave precondivisa, la rete non è in grado di distinguere un dipendente a tempo indeterminato da un collaboratore esterno in uscita o da un visitatore che ha copiato la password dalla reception. Modificare la chiave diventa un'operazione complessa, quindi i team rimandano la procedura e il vecchio accesso continua a funzionare molto tempo dopo la scomparsa della necessità aziendale originaria.
Un design migliore inizia dalla persona, non dalla password. Un nuovo dipendente accede tramite l'identity provider dell'organizzazione e riceve l'accesso del personale associato al proprio ruolo. Un appaltatore riceve un profilo più ristretto, forse limitato a una rete di progetto o ad applicazioni specifiche. Un ospite utilizza un servizio isolato che fornisce connettività Internet senza esporre i sistemi interni.
L'identità è una decisione di fiducia
Ogni richiesta di accesso pone diverse domande contemporaneamente:
- Chi richiede l'accesso? L'organizzazione ha bisogno di un record di identità affidabile.
- In che modo la persona lo ha dimostrato? Una password, un autenticatore, un certificato o un altro fattore possono fornire la prova.
- Cosa deve raggiungere la persona? L'accesso dipende dal ruolo, dal dispositivo, dalla posizione, dal rischio e dallo scopo aziendale.
- Per quanto tempo deve rimanere disponibile l'accesso? Il lavoro temporaneo e il cambiamento delle responsabilità richiedono una scadenza o una revisione.
- Quali prove rimangono in seguito? I log e le decisioni supportano le indagini, la responsabilità e la conformità.
Questo modello si applica a dipendenti e clienti, ma anche a fornitori, account di servizio, dispositivi e funzionari aziendali. Il passaggio del Regno Unito verso la verifica formale dell'identità illustra questo cambiamento più ampio. L'identità viene sempre più utilizzata per creare fiducia prima che un'organizzazione consenta una transazione, una registrazione o un'azione legale.
Perché l'argomento è importante anche al di fuori dell'IT
Le organizzazioni hanno spostato online un numero maggiore di servizi e gli utenti ora si aspettano che il processo di onboarding digitale sia rapido, mentre le autorità di regolamentazione si aspettano che sia controllato. Ciò crea una tensione. Un processo che richiede troppe poche prove può consentire il furto d'identità o la frode, mentre un processo che ne richiede troppe può frustrare gli utenti legittimi e aumentare le richieste di supporto.
La gestione delle identità risolve parte di questa tensione separando le diverse decisioni. Verificare l'identità di una persona, autenticare un utente che ritorna e autorizzare l'accesso a una risorsa specifica sono compiti correlati, ma non identici. Mantenerli distinti aiuta i team ad applicare controlli più severi dove il rischio lo richiede, senza aggiungere lo stesso attrito a ogni richiesta.
Il modello concettuale più utile è semplice: la gestione delle identità è un livello di fiducia e conformità che collega persone, sistemi e decisioni di accesso. La tecnologia di login è solo un componente. Governance, controllo del ciclo di vita, policy di rete e prove completano il quadro.
Comprendere i concetti fondamentali dell'Identity and Access Management
Inizia con un passaporto e un pass per l'edificio. Il passaporto contiene identificatori che ti distinguono dalle altre persone. Rappresenta un'identità, ma il passaporto stesso non è la prova che la persona che lo possiede sia il legittimo proprietario. Un agente di frontiera controlla le prove, quindi applica una decisione sull'autorizzazione o meno all'ingresso.
La gestione dell'identità digitale e dell'accesso segue lo stesso modello.
Il vocabolario spiegato in parole semplici
Un identificatore è un'etichetta utilizzata per fare riferimento a qualcosa. Un nome utente, un numero di dipendente, un indirizzo email o un nome di dispositivo possono identificare un record. Un identificatore non prova automaticamente chi lo sta utilizzando.
Un'identità è la rappresentazione digitale associata a quel record. Può contenere attributi come reparto, ruolo aziendale, manager, stato lavorativo, relazione con il cliente o proprietà del dispositivo. Una directory memorizza e aggiorna questi attributi in modo che altri sistemi possano utilizzarli.
L'autenticazione risponde alla domanda: "Come fai a saperlo?" L'utente presenta una prova collegata all'identità dichiarata. Tale prova potrebbe essere un segreto, un fattore di possesso, una caratteristica biometrica o un certificato crittografico.
L'autorizzazione risponde alla domanda: "Cosa puoi fare?". Dopo l'autenticazione, una policy valuta l'identità e il contesto dell'utente prima di concedere l'accesso a un'applicazione, un file, una rete o una funzione amministrativa. L'autenticazione senza autorizzazione proverebbe l'identità di una persona ma non fornirebbe alcun limite utile alle sue autorizzazioni.
Un identity provider, spesso chiamato IdP, esegue o coordina l'autenticazione e invia informazioni affidabili a un altro servizio. L'applicazione ricevente è il fornitore di servizi. La federazione crea una relazione di fiducia tra di essi, in modo che un'applicazione possa fare affidamento su una fonte di identità stabilita invece di mantenere un database di password isolato.
Un unico modello di identità non si adatta a tutti gli utenti
La gestione delle identità aziendali copre dipendenti, collaboratori esterni e altre persone che lavorano per conto di un'organizzazione. La gestione delle identità dei clienti serve invece gli utenti esterni che creano account, acquistano servizi o accedono a informazioni personali. I flussi di lavoro si sovrappongono, ma le loro priorità differiscono. L'accesso del personale segue spesso i ruoli lavorativi e le policy interne, mentre l'accesso dei clienti deve bilanciare i controlli antifrode, la privacy, la conversione e l'assistenza.
Il principio del minimo privilegio è ciò che collega entrambi gli ambienti:
Concedi a ciascuna identità solo l'accesso richiesto per lo scopo corrente e rimuovilo al termine di tale scopo.
Il mercato del Regno Unito illustra la portata di questo livello di fiducia. L'attività del settore comprende la verifica dell'identità, l'onboarding, la prevenzione delle frodi e i flussi di lavoro per l'apertura di account, con il governo che ha identificato 275 aziende attive a gennaio 2026 nella sua analisi di settore. Tale ampiezza riflette il modo in cui l'identità supporta oggi i servizi pubblici, il settore bancario, i sistemi aziendali e le transazioni dei consumatori, anziché la sola amministrazione delle directory interne.
Come funzionano insieme il ciclo di vita dell'identità e la governance
Un'identità non è una voce di database statica. Cambia quando una persona entra in un'organizzazione, assume nuove responsabilità, si sposta tra i team o se ne va. Una gestione forte delle identità tratta questi cambiamenti come eventi controllati piuttosto che come richieste informali inviate tra colleghi.
Dal momento dell'assunzione alle dimissioni
Il provisioning crea il record dell'identità e lo collega a informazioni autorevoli, comunemente provenienti da un sistema di risorse umane o da una piattaforma clienti. L'organizzazione stabilisce lo stato, il reparto e il manager della persona prima di concedere l'accesso all'applicazione o alla rete.
L'onboarding applica il pacchetto di accesso iniziale. Un dipendente del settore finanziario potrebbe aver bisogno di applicazioni finanziarie, mentre un lavoratore interinale riceve un insieme più ristretto di autorizzazioni. I flussi di lavoro automatizzati possono ridurre la copia manuale tra i sistemi, ma l'automazione dovrebbe seguire una policy approvata piuttosto che concedere un accesso ampio per impostazione predefinita.
Un cambio di ruolo è la situazione in cui molti ambienti accumulano rischi. Una promozione, un trasferimento o un nuovo progetto possono aggiungere autorizzazioni senza rimuovere quelle vecchie. Nel tempo, la persona mantiene l'accesso da diversi ruoli, una condizione spesso definita accumulo di privilegi. Un flusso di lavoro affidabile ricalcola i diritti dal ruolo corrente e invia le eccezioni per la revisione.
L'offboarding disabilita gli account, revoca le sessioni, rimuove l'appartenenza ai gruppi e gestisce le risorse collegate come certificati, token e dispositivi condivisi. La tempestività è fondamentale. Attendere un ticket manuale crea una lacuna tra la decisione di licenziamento e la decisione di accesso.
La governance trasforma l'attività in controllo
La governance definisce chi può approvare l'accesso, con quale frequenza i proprietari lo esaminano e quali prove conserva l'organizzazione. La certificazione degli accessi richiede a un manager o al proprietario dell'applicazione di confermare che le autorizzazioni rimangono appropriate. La segregazione dei compiti impedisce a una singola persona di detenere combinazioni di autorità che potrebbero consentire una transazione inappropriata.
Le misure operative utili includono il tempo di provisioning, il tempo di revoca, i risultati delle revisioni degli accessi non risolti e il numero di account senza un proprietario chiaro. Queste misure non sostituiscono il giudizio, ma rivelano dove il ciclo di vita dipende da un lento lavoro manuale o da dati incompleti.
L'occupazione nel settore dell'identità nel Regno Unito è cresciuta in media dell'11,7% all'anno dal 2020, riflettendo la domanda sostenuta di verifica dell'identità, onboarding, prevenzione delle frodi e workflow di apertura dei conti nell'analisi del governo. Tale domanda rafforza un punto pratico: le operazioni sul ciclo di vita richiedono una proprietà dedicata man mano che i processi di identità diventano centrali per i servizi aziendali.
Per i team di rete, la stessa logica si applica alla connettività del personale. Un approccio al ciclo di vita del WiFi del personale può collegare le modifiche alla directory con le autorizzazioni di rete, in modo che un cambio di ruolo o una partenza non lascino credenziali wireless non gestite.
Regola pratica: Tratta ogni concessione di accesso come una decisione con un proprietario, una durata prevista e un metodo di revoca.
Protocolli di autenticazione che alimentano il Single Sign-On
I protocolli sono le fondamenta della fiducia nell'identità. Definiscono il modo in cui un sistema comunica il risultato di un'autenticazione o una decisione di autorizzazione a un altro. Non tutti risolvono lo stesso problema, quindi la scelta tra di essi richiede chiarezza sul fatto che la richiesta riguardi un dipendente che accede a un'applicazione, un cliente che autorizza una chiamata API o un dispositivo che si connette a una rete protetta.
Quattro protocolli con compiti diversi
| Protocollo | Scopo primario | Caso d'uso ideale |
|---|---|---|
| SAML | Scambio federato di asserzioni di autenticazione | Single sign-on aziendale per applicazioni web consolidate |
| OAuth | Autorizzazione delegata | Consentire a un'applicazione di accedere a una risorsa senza esporre la password dell'utente |
| OIDC | Livello di identità utente basato su OAuth | Applicazioni moderne che richiedono l'accesso e attestazioni di identità standard |
| RADIUS con 802.1X | Autenticazione di rete centralizzata e scambio di policy | Accesso aziendale cablato e wireless controllato da un servizio di identità |
Lo standard SAML rimane comune nel single sign-on aziendale. Un dipendente si autentica con l'identity provider, che invia un'asserzione firmata all'applicazione. L'applicazione si fida della relazione configurata e avvia una sessione senza richiedere al dipendente una password separata per l'applicazione.
OAuth riguarda principalmente l'accesso delegato, non la dimostrazione dell'identità di una persona. Consente a un client di ricevere il permesso di utilizzare una risorsa definita per conto di un utente. OIDC aggiunge un livello di identità a OAuth, rendendolo adatto per le moderne applicazioni che necessitano di informazioni standardizzate sull'utente che ha effettuato l'accesso.
Il protocollo RADIUS con 802.1X serve un ambiente diverso. Collega i dispositivi di accesso alla rete, un servizio di autenticazione e una credenziale utente o dispositivo. Il risultato può essere una decisione di policy che colloca un dispositivo sulla rete corretta o assegna un particolare profilo di accesso.
La fiducia deve essere esplicita
Il Single sign-on è comodo perché gli utenti si autenticano con un identity provider affidabile invece di gestire credenziali separate per ogni applicazione. La federazione comporta anche delle responsabilità. Gli amministratori devono proteggere le chiavi di firma, convalidare le asserzioni, definire le mappature dei claim e rimuovere le relazioni di attendibilità che non sono più necessarie.
Le linee guida del governo del Regno Unito separano la verifica dell'identità dall'autenticazione del servizio. Le linee guida sull'identità digitale di GOV.UK collegano l'identificazione e la verifica alla GPG 45, mentre l'autenticazione del servizio è regolata dalla GPG 44. Questa separazione aiuta le organizzazioni a scegliere un livello di garanzia appropriato per il servizio anziché trattare ogni accesso come un evento identico.
I team che necessitano di una spiegazione più ampia su come un singolo accesso sicuro possa estendersi a più servizi possono trovare utile anche l'approfondimento spiegazione del login globale unificato . Per le implementazioni specifiche di rete, il RADIUS-as-a-Service rappresenta un'opzione architetturale per centralizzare l'autenticazione senza dover gestire ogni componente RADIUS in locale.
Autenticazione forte con MFA e opzioni passwordless
Un protocollo descrive come i sistemi si scambiano la fiducia. Un fattore di autenticazione descrive ciò che l'utente presenta come prova. Mantenere distinti questi concetti previene un errore comune: presumere che l'implementazione del single sign-on renda automaticamente forte l'autenticazione.
Costruisci una scala di autenticazione
La password è un fattore di conoscenza, qualcosa che l'utente sa. Le password rimangono familiari, ma gli utenti tendono a riutilizzarle, a sceglierne di deboli o a rivelarle tramite phishing. Un password manager e una policy sensata possono migliorare la base di partenza, ma una password da sola offre a un utente malintenzionato un unico obiettivo da colpire.
L'autenticazione a più fattori combina prove provenienti da diverse categorie. Un codice generato da un'app di autenticazione o da un token hardware rappresenta qualcosa che l'utente possiede. Gli SMS possono fornire un controllo aggiuntivo, ma le organizzazioni dovrebbero valutare la loro idoneità per gli scenari a più alto rischio, poiché il canale telefonico può essere attaccato o deviato.
La biometria rappresenta qualcosa che l'utente è. Le impronte digitali e il riconoscimento facciale possono velocizzare l'accesso, ma richiedono un'attenta progettazione della privacy e una gestione sicura del dispositivo. A differenza di una password, una caratteristica biometrica non può essere modificata dopo essere stata esposta.
Il sistema passwordless richiede una progettazione attenta
L'autenticazione senza password utilizza un dispositivo, una chiave crittografica o un autenticatore di piattaforma per dimostrare il possesso senza chiedere all'utente di digitare un segreto riutilizzabile. Le chiavi di sicurezza FIDO2 e le passkey possono fornire un'autenticazione forte e resistente al phishing quando anche i processi circostanti di registrazione, recupero e sostituzione dell'account sono controllati.
Un programma pratico di solito procede in base al rischio:
- Servizi a basso attrito: Utilizza il single sign-on e un processo di gestione delle password ben organizzato, in cui le conseguenze di una compromissione siano limitate.
- Applicazioni sensibili: Richiedi la MFA e applica criteri condizionali basati sullo stato di salute del dispositivo, sulla posizione o su comportamenti insoliti.
- Operazioni privilegiate: Prediligi metodi resistenti al phishing, account amministratore separati e controlli di sessione forti.
- Dispositivi condivisi o non gestiti: Evita di inserire segreti permanenti e utilizza certificati o credenziali a breve scadenza laddove la piattaforma li supporti.
Il fattore migliore non è sempre il fattore più forte in isolamento. Deve anche funzionare per la popolazione di utenti, il parco dispositivi, il processo di ripristino e il team di supporto. Per l'accesso wireless, un modello WiFi senza password può applicare lo stesso principio all'onboarding di rete, sostituendo le credenziali condivise con un accesso legato all'identità.
Esempi reali di gestione delle identità sull'accesso alla rete e al WiFi
L'ospite di un hotel, un dipendente e un appaltatore possono connettersi tutti allo stesso access point fisico, ma la gestione delle identità dovrebbe assegnare loro destinazioni digitali diverse. L'ospite ha bisogno di un percorso semplice per accedere a Internet. Il dipendente richiede una connettività interna protetta. L'appaltatore potrebbe aver bisogno di un profilo limitato nel tempo con accesso solo a servizi selezionati.
L'accesso degli ospiti e del personale non deve condividere una credenziale segreta
Un Captive Portal può identificare un ospite tramite indirizzo email, voucher o social login, ma la rete necessita comunque di isolamento e di applicazione delle policy. Una password ospite condivisa indebolisce l'attribuzione dell'identità e crea un difficile problema operativo quando la password si diffonde oltre il pubblico previsto.
L'accesso del personale può utilizzare l'autenticazione aziendale, i certificati o Passpoint. Passpoint consente a un dispositivo compatibile di rilevare e connettersi a una rete fidata con un minore intervento manuale, mentre l'onboarding crittografato può evitare l'esposizione creata da una chiave wireless comune. OpenRoaming estende questo modello tra le reti partecipanti, in modo che un utente possa fare affidamento su una relazione di identità consolidata anziché dover accettare ripetutamente portali sconosciuti.
I dispositivi legacy richiedono un percorso diverso
Stampanti, sensori e dispositivi portatili più vecchi potrebbero non supportare la moderna autenticazione aziendale. iPSK, o chiavi pre-condivise basate sull'identità, può fornire credenziali proprie a dispositivi o gruppi separati, preservando la segmentazione della rete. Se una credenziale deve essere revocata, gli amministratori possono rimuoverla senza modificare l'accesso per tutti gli altri dispositivi.
La progettazione richiede comunque inventario, proprietà e scadenze. Una chiave separata non costituisce automaticamente un'identità sicura se nessuno sa quale dispositivo la utilizzi o quando debba essere disabilitata.
Le modifiche alla directory devono raggiungere la rete
Per il personale, le integrazioni con Microsoft Entra ID, Google Workspace o Okta possono collegare la directory dei dipendenti alla policy WiFi. Un nuovo collaboratore riceve il profilo previsto, mentre una modifica nella directory può attivare la revoca dell'accesso. Le piattaforme di rete come Meraki, Aruba, Ruckus, Mist e UniFi possono quindi applicare la policy risultante attraverso le integrazioni e i metodi di autenticazione supportati.
Lo stesso principio di fiducia si applica alla registrazione aziendale. La verifica dell'identità è diventata un requisito legale per i funzionari aziendali il 18 novembre 2025 ai sensi dell'Economic Crime and Corporate Transparency Act 2023. Nel primo periodo rendicontato terminato il 31 dicembre 2025, Companies House ha registrato 823.771 nomine verificate e un tasso di conformità del 6,27%, come mostrato nelle sue informazioni di gestione della verifica dell'identità . I dati dimostrano come i controlli d'identità possano diventare parte della governance formale, e non solo una comodità tecnica.
Best practice, rischi e prossimi passi per la tua strategia di identità
Una gestione debole delle identità di solito fallisce a causa di normali lacune operative piuttosto che per un singolo drammatico errore di progettazione. Un ex dipendente conserva un account, un collaboratore esterno rimane in un gruppo ampio, il proprietario di un'applicazione approva l'accesso senza esaminarlo, o una chiave WiFi condivisa continua a circolare perché modificarla creerebbe disagi a tutti.
Una strategia utile inizia mappando le identità sulle decisioni. Elenca le persone, i clienti, i dispositivi, gli account di servizio e i referenti aziendali che richiedono il riconoscimento. Successivamente, identifica i sistemi che generano record autorevoli, le applicazioni che consumano informazioni sull'identità e i controlli di rete che applicano l'accesso.
Trasforma i rischi comuni in controlli
Il riutilizzo delle credenziali diventa meno attraente quando le applicazioni utilizzano la federazione, l'MFA e metodi passwordless ove appropriato.
Gli account orfani diventano più facili da individuare quando ogni identità ha un proprietario, uno stato lavorativo o di servizio e un processo di offboarding definito.
L'accumulo di privilegi si riduce quando i cambi di ruolo ricalcolano l'accesso anziché aggiungere un'altra iscrizione a un gruppo.
Le eccezioni invisibili diventano gestibili quando l'accesso temporaneo ha una data di scadenza e le azioni privilegiate producono log verificabili.
La scarsa attribuzione di rete migliora quando il personale, gli ospiti e i dispositivi ricevono profili collegati all'identità invece di un'unica chiave wireless universale.
La governance dovrebbe misurare ciò che conta a livello operativo. Monitora i tempi di provisioning e revoca, le revisioni degli accessi scadute, gli account senza proprietari, le autorizzazioni obsolete e le eccezioni in attesa di approvazione. Queste misure aiutano i leader a capire se l'organizzazione è in grado di agire quando cambia lo stato di una persona, non solo se un login è andato a buon fine.
Tratta la convergenza come un problema di progettazione
L'identità dei dipendenti, l'identità dei clienti e la verifica dell'identità prevista dalla legge sono sempre più collegate dalla stessa domanda: l'organizzazione può fidarsi dell'entità che effettua la richiesta? Non dovrebbero essere forzate in un unico flusso di lavoro identico, perché un account cliente, un amministratore del personale e un funzionario aziendale comportano rischi diversi. Hanno però bisogno di principi coerenti per l'identificazione, l'autenticazione, l'autorizzazione, la conservazione delle prove e la revoca.
Il settore dell'identità digitale nel Regno Unito ha generato circa 2,03 miliardi di sterline di ricavi annuali nel 2024/2025 e ha supportato 9.624 ruoli equivalenti a tempo pieno, secondo l'analisi del settore governativo citata in precedenza. Tale portata indica perché la strategia dell'identità merita ora l'attenzione congiunta dei team di sicurezza, compliance, networking, HR, prodotto e customer experience.
Inizia con un percorso ad alto valore, come il WiFi del personale o l'accesso per i nuovi assunti e i dimissionari. Documenta la fonte autorevole, definisci la policy, automatizza le decisioni di routine, esamina le eccezioni e testa la revoca. Quindi estendi il modello ad applicazioni, ospiti, dispositivi e servizi ai clienti senza presumere che un unico strumento o un unico fattore di autenticazione sia adatto a ogni identità.
Purple connette l'accesso basato sull'identità ad ambienti WiFi per ospiti, personale e multi-tenant, includendo onboarding senza password, Passpoint e integrazioni di directory per le organizzazioni che desiderano sostituire le credenziali di rete condivise con criteri di accesso controllati. Visita il sito Purple per scoprire come la sua piattaforma può supportare una gestione pratica delle identità nelle reti dei settori hospitality, retail, sanità, immobiliare ed enterprise.
