--- id: CP-197 slug: minimo-privilegio-accesso-jit lang: it title: Privilegio minimo e accesso Just-In-Time description: Il privilegio minimo limita i diritti allo stretto necessario, l'accesso Just-In-Time li concede per un tempo limitato. Cosa fa il dipendente. canonical_url: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ markdown_url: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Privilegio minimo e accesso Just-In-Time», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-029 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ fr: https://startbrain.io/cyberpedia/fr/articles/moindre-privilege-acces-jit/ en: https://startbrain.io/cyberpedia/en/articles/least-privilege-just-in-time-access/ de: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ es: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ nl: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ sources: - "n": 1 title: least privilege - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/least_privilege accessed: "2026-11-03" - "n": 2 title: Qu’est-ce que Microsoft Entra Privileged Identity Management ? publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 3 title: Meilleures pratiques pour les rôles Microsoft Entra publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Authorization - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Privileged Account Management, Mitigation M1026 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 7 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 8 title: Zero Trust Maturity Model publisher: CISA url: https://www.cisa.gov/zero-trust-maturity-model accessed: "2026-11-03" - "n": 9 title: User Account Management, Mitigation M1018 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" --- # Privilegio minimo e accesso Just-In-Time Il privilegio minimo è un principio di sicurezza: un sistema deve limitare i diritti di accesso degli utenti, o dei programmi che agiscono per loro conto, al minimo necessario per svolgere i compiti assegnati [1]. Un dipendente che deve solo leggere una cartella non deve poterla eliminare. L'accesso Just-In-Time (appena in tempo) porta l'idea oltre per i diritti elevati. Gli utenti ricevono autorizzazioni temporanee per eseguire attività privilegiate, e l'accesso viene concesso solo nel momento in cui servono [2]. Scaduto il tempo, l'accesso privilegiato viene rimosso automaticamente [3]. ## In 30 secondi - Dove succede: in qualsiasi postazione o servizio in cui esistano diritti di amministratore, per esempio l'amministrazione di Microsoft 365 o di una directory aziendale [2]. - Cosa vuole l'attaccante: usare un account esistente e i suoi diritti, cosa che a volte gli evita di impiegare un malware e rende la sua presenza più difficile da individuare [4]. - Il riflesso: chiedere un accesso elevato per una durata limitata e con un motivo chiaro, non prestare mai i propri diritti di amministratore e segnalare i diritti che non servono più. - Se è già successo: avvisare il servizio informatico, che può togliere i diritti diventati inutili durante una revisione degli accessi [3]. ## Domande dirette ### Perché limitare i diritti di un dipendente di fiducia? Le organizzazioni limitano il numero di persone che hanno accesso alle risorse sensibili per ridurre due rischi: che un utente malintenzionato acceda a quei dati e che un utente autorizzato incida per errore su una risorsa sensibile [2]. Microsoft aggiunge che, limitando ruoli e ambiti, si limitano le risorse minacciate se l'account viene compromesso [3]. ### Cosa significa concretamente «just-in-time»? Il dipendente non ha un diritto di amministratore permanente. È «idoneo» a un ruolo e lo attiva quando deve eseguire un'attività privilegiata. L'attivazione può richiedere una verifica a più fattori, una giustificazione professionale o l'approvazione di un approvatore designato [2]. Una volta attivato, il ruolo resta utilizzabile per un periodo predefinito, poi l'utente deve attivarlo di nuovo [2]. ### Il privilegio minimo riguarda solo gli amministratori? No. OWASP lo descrive come una regola da applicare a tutti i livelli: un contabile e un commerciale hanno lo stesso rango gerarchico, ma non hanno bisogno delle stesse risorse. Il contabile non dovrebbe accedere al database dei clienti, né il commerciale ai dati delle paghe [5]. ### Cosa succede se una richiesta di accesso scade? Secondo la documentazione di Microsoft, quando un'assegnazione di ruolo si avvicina alla scadenza, l'utente può chiederne la proroga. Una volta scaduta, può chiederne il rinnovo. Entrambe le richieste passano per l'approvazione di un amministratore globale o di un amministratore dei ruoli con privilegi [2]. ## Come funziona Il funzionamento descritto qui segue lo strumento Privileged Identity Management di Microsoft, un esempio tra gli altri. Un amministratore assegna un ruolo a un utente, a un gruppo o a un'identità di servizio. L'assegnazione precisa l'ambito (il ruolo vale solo per un determinato insieme di risorse), il tipo (idonea o attiva) e la durata, con date di inizio e di fine oppure senza limite [2]. Per attivare un ruolo idoneo, l'utente sceglie una durata di attivazione compresa nei limiti fissati dagli amministratori e indica il motivo della richiesta [2]. Lo strumento può richiedere un'approvazione, imporre l'autenticazione a più fattori, inviare notifiche all'attivazione e conservare uno storico degli audit [2]. MITRE cita anche i ruoli effimeri di altri fornitori cloud per concedere permessi elevati limitati nel tempo [6]. Microsoft raccomanda di sovrapporre più controlli, perché nessuna funzione da sola copre tutti i casi. Il suo esempio: un ruolo personalizzato limitato a un'unità amministrativa, così che un amministratore del supporto regionale possa reimpostare solo le password della propria regione. L'attivazione passa poi da PIM, con approvazione, e l'accesso condizionale richiede un dispositivo conforme e l'autenticazione a più fattori [3]. Il NCSC britannico definisce così l'approccio «zero trust»: la fiducia intrinseca nella rete viene tolta, la rete è considerata ostile e ogni richiesta viene verificata in base a una politica di accesso [7]. La CISA vi associa decisioni di accesso basate sul privilegio minimo, richiesta per richiesta [8]. ## Cosa fa Lei - Chieda l'accesso nel momento del bisogno, con una durata adatta all'attività e un motivo preciso. Il motivo indicato all'attivazione serve a capire perché il ruolo è stato usato [2]. - Usi il ruolo ristretto che corrisponde all'attività. Microsoft sconsiglia di assegnare ruoli più ampi o su ambiti più grandi, anche se sembrano più comodi [3]. - Tenga per sé i suoi diritti di amministratore. L'attivazione di un ruolo è fatta da un utente, dà luogo a una notifica e lo storico degli audit la conserva [2]. OWASP osserva che, senza una registrazione corretta, una violazione dell'accesso può restare impossibile da attribuire a una persona [5]. - Se cambia squadra o incarico, chieda la rimozione dei diritti della funzione precedente. Microsoft rileva che, senza audit, chi cambia squadra accumula accessi inutili [3]. - Risponda alle revisioni degli accessi: servono a verificare che gli utenti abbiano ancora bisogno dei loro ruoli [2]. - Attivi l'autenticazione a più fattori sugli account di amministrazione. Microsoft indica che, secondo i suoi studi, un account ha il 99,9% di probabilità in meno di essere compromesso con essa [3]. ## Le trappole I diritti che si accumulano. OWASP chiama «privilege creep» il caso in cui i privilegi degli utenti superano quelli definiti all'inizio. Raccomanda una revisione periodica e ricorda che è più facile aggiungere permessi che toglierli [5]. Gli account di amministrazione permanenti. L'accesso privilegiato permanente è ciò che PIM mira a eliminare per gli utenti con un ruolo privilegiato [3]. Microsoft raccomanda di assegnare il ruolo di amministratore globale a meno di cinque persone e di limitare le assegnazioni di ruoli privilegiati a meno di 10, perché questi ruoli consentono un'escalation dei privilegi [3]. Prevede un'eccezione: due account di accesso di emergenza, assegnati in modo definitivo, non collegati a persone e riservati alle situazioni di «break glass» [3]. Gli account dimenticati. MITRE segnala che gli avversari possono abusare di account inattivi, per esempio quelli di persone che hanno lasciato l'organizzazione, perché il precedente titolare non c'è più per notare un'attività anomala [4]. MITRE raccomanda anche di disattivare gli account dopo un periodo di inattività (30 giorni a titolo di esempio) e di eliminare gli account senza proprietario durante gli audit [9]. Gli account di servizio troppo potenti. Le assegnazioni di ruolo possono riguardare entità di servizio o identità gestite, come le persone [2]. Per gli amministratori, Microsoft distingue tre aspetti di un'assegnazione di ruolo: un insieme specifico di autorizzazioni, su un ambito specifico, per un periodo specifico [3]. Le stesse credenziali ovunque. MITRE si preoccupa della sovrapposizione dei permessi tra account locali, di dominio e cloud: un avversario può passare da un account all'altro fino a un livello elevato di accesso, come amministratore di dominio [4]. ## Casi reali ### 2015: l'attacco alla rete elettrica ucraina Secondo MITRE, durante l'attacco del 2015 alla rete elettrica ucraina il gruppo Sandworm Team ha usato account validi sulla rete aziendale per elevare i propri privilegi, muoversi lateralmente e stabilirvisi in modo duraturo [4]. La fonte non precisa quali diritti avessero questi account. ## Fonti 1. NIST, «least privilege - Glossary | CSRC». https://csrc.nist.gov/glossary/term/least_privilege (consultato il 3 novembre 2026) 2. Microsoft, «Qu’est-ce que Microsoft Entra Privileged Identity Management ?». https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (consultato il 3 novembre 2026) 3. Microsoft, «Meilleures pratiques pour les rôles Microsoft Entra». https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise». https://attack.mitre.org/techniques/T1078/ (consultato il 3 novembre 2026) 5. OWASP, «Authorization - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise». https://attack.mitre.org/mitigations/M1026/ (consultato il 3 novembre 2026) 7. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultato il 3 novembre 2026) 8. CISA, «Zero Trust Maturity Model». https://www.cisa.gov/zero-trust-maturity-model (consultato il 3 novembre 2026) 9. MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise». https://attack.mitre.org/mitigations/M1018/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.