Privilegio minimo e accesso Just-In-Time
Il privilegio minimo limita i diritti allo stretto necessario, l'accesso Just-In-Time li concede per un tempo limitato. Cosa fa il dipendente.
In 30 secondi
- Dove succede
- In qualsiasi postazione o servizio in cui esistano diritti di amministratore, per esempio l'amministrazione di Microsoft 365 o di una directory aziendale2.
- Cosa vuole l'attaccante
- Usare un account esistente e i suoi diritti, cosa che a volte gli evita di impiegare un malware e rende la sua presenza più difficile da individuare4.
- Il riflesso
- Chiedere un accesso elevato per una durata limitata e con un motivo chiaro, non prestare mai i propri diritti di amministratore e segnalare i diritti che non servono più.
- Se è già successo
- Avvisare il servizio informatico, che può togliere i diritti diventati inutili durante una revisione degli accessi3.
Di cosa si tratta
Il privilegio minimo è un principio di sicurezza: un sistema deve limitare i diritti di accesso degli utenti, o dei programmi che agiscono per loro conto, al minimo necessario per svolgere i compiti assegnati1. Un dipendente che deve solo leggere una cartella non deve poterla eliminare.
L'accesso Just-In-Time (appena in tempo) porta l'idea oltre per i diritti elevati. Gli utenti ricevono autorizzazioni temporanee per eseguire attività privilegiate, e l'accesso viene concesso solo nel momento in cui servono2. Scaduto il tempo, l'accesso privilegiato viene rimosso automaticamente3.
Domande dirette
Perché limitare i diritti di un dipendente di fiducia?
Le organizzazioni limitano il numero di persone che hanno accesso alle risorse sensibili per ridurre due rischi: che un utente malintenzionato acceda a quei dati e che un utente autorizzato incida per errore su una risorsa sensibile2. Microsoft aggiunge che, limitando ruoli e ambiti, si limitano le risorse minacciate se l'account viene compromesso3.
Cosa significa concretamente «just-in-time»?
Il dipendente non ha un diritto di amministratore permanente. È «idoneo» a un ruolo e lo attiva quando deve eseguire un'attività privilegiata. L'attivazione può richiedere una verifica a più fattori, una giustificazione professionale o l'approvazione di un approvatore designato2. Una volta attivato, il ruolo resta utilizzabile per un periodo predefinito, poi l'utente deve attivarlo di nuovo2.
Il privilegio minimo riguarda solo gli amministratori?
No. OWASP lo descrive come una regola da applicare a tutti i livelli: un contabile e un commerciale hanno lo stesso rango gerarchico, ma non hanno bisogno delle stesse risorse. Il contabile non dovrebbe accedere al database dei clienti, né il commerciale ai dati delle paghe5.
Cosa succede se una richiesta di accesso scade?
Secondo la documentazione di Microsoft, quando un'assegnazione di ruolo si avvicina alla scadenza, l'utente può chiederne la proroga. Una volta scaduta, può chiederne il rinnovo. Entrambe le richieste passano per l'approvazione di un amministratore globale o di un amministratore dei ruoli con privilegi2.
1Come funziona2 min
Il funzionamento descritto qui segue lo strumento Privileged Identity Management di Microsoft, un esempio tra gli altri. Un amministratore assegna un ruolo a un utente, a un gruppo o a un'identità di servizio. L'assegnazione precisa l'ambito (il ruolo vale solo per un determinato insieme di risorse), il tipo (idonea o attiva) e la durata, con date di inizio e di fine oppure senza limite2.
Per attivare un ruolo idoneo, l'utente sceglie una durata di attivazione compresa nei limiti fissati dagli amministratori e indica il motivo della richiesta2. Lo strumento può richiedere un'approvazione, imporre l'autenticazione a più fattori, inviare notifiche all'attivazione e conservare uno storico degli audit2. MITRE cita anche i ruoli effimeri di altri fornitori cloud per concedere permessi elevati limitati nel tempo6.
Microsoft raccomanda di sovrapporre più controlli, perché nessuna funzione da sola copre tutti i casi. Il suo esempio: un ruolo personalizzato limitato a un'unità amministrativa, così che un amministratore del supporto regionale possa reimpostare solo le password della propria regione. L'attivazione passa poi da PIM, con approvazione, e l'accesso condizionale richiede un dispositivo conforme e l'autenticazione a più fattori3.
Il NCSC britannico definisce così l'approccio «zero trust»: la fiducia intrinseca nella rete viene tolta, la rete è considerata ostile e ogni richiesta viene verificata in base a una politica di accesso7. La CISA vi associa decisioni di accesso basate sul privilegio minimo, richiesta per richiesta8.
2Cosa fa Lei1 min
- Chieda l'accesso nel momento del bisogno, con una durata adatta all'attività e un motivo preciso. Il motivo indicato all'attivazione serve a capire perché il ruolo è stato usato2.
- Usi il ruolo ristretto che corrisponde all'attività. Microsoft sconsiglia di assegnare ruoli più ampi o su ambiti più grandi, anche se sembrano più comodi3.
- Tenga per sé i suoi diritti di amministratore. L'attivazione di un ruolo è fatta da un utente, dà luogo a una notifica e lo storico degli audit la conserva2. OWASP osserva che, senza una registrazione corretta, una violazione dell'accesso può restare impossibile da attribuire a una persona5.
- Se cambia squadra o incarico, chieda la rimozione dei diritti della funzione precedente. Microsoft rileva che, senza audit, chi cambia squadra accumula accessi inutili3.
- Risponda alle revisioni degli accessi: servono a verificare che gli utenti abbiano ancora bisogno dei loro ruoli2.
- Attivi l'autenticazione a più fattori sugli account di amministrazione. Microsoft indica che, secondo i suoi studi, un account ha il 99,9% di probabilità in meno di essere compromesso con essa3.
3Le trappole2 min
I diritti che si accumulano. OWASP chiama «privilege creep» il caso in cui i privilegi degli utenti superano quelli definiti all'inizio. Raccomanda una revisione periodica e ricorda che è più facile aggiungere permessi che toglierli5.
Gli account di amministrazione permanenti. L'accesso privilegiato permanente è ciò che PIM mira a eliminare per gli utenti con un ruolo privilegiato3. Microsoft raccomanda di assegnare il ruolo di amministratore globale a meno di cinque persone e di limitare le assegnazioni di ruoli privilegiati a meno di 10, perché questi ruoli consentono un'escalation dei privilegi3. Prevede un'eccezione: due account di accesso di emergenza, assegnati in modo definitivo, non collegati a persone e riservati alle situazioni di «break glass»3.
Gli account dimenticati. MITRE segnala che gli avversari possono abusare di account inattivi, per esempio quelli di persone che hanno lasciato l'organizzazione, perché il precedente titolare non c'è più per notare un'attività anomala4. MITRE raccomanda anche di disattivare gli account dopo un periodo di inattività (30 giorni a titolo di esempio) e di eliminare gli account senza proprietario durante gli audit9.
Gli account di servizio troppo potenti. Le assegnazioni di ruolo possono riguardare entità di servizio o identità gestite, come le persone2. Per gli amministratori, Microsoft distingue tre aspetti di un'assegnazione di ruolo: un insieme specifico di autorizzazioni, su un ambito specifico, per un periodo specifico3.
Le stesse credenziali ovunque. MITRE si preoccupa della sovrapposizione dei permessi tra account locali, di dominio e cloud: un avversario può passare da un account all'altro fino a un livello elevato di accesso, come amministratore di dominio4.
4Casi reali1 min
2015: l'attacco alla rete elettrica ucraina
Secondo MITRE, durante l'attacco del 2015 alla rete elettrica ucraina il gruppo Sandworm Team ha usato account validi sulla rete aziendale per elevare i propri privilegi, muoversi lateralmente e stabilirvisi in modo duraturo4. La fonte non precisa quali diritti avessero questi account.
Scheda
- Identificativo
- CP-197
- Ala
- 3. Protocolli e difesa
- Competenza Brain
- Controllare gli accessi (control_access)
- Riflesso Brain
- cr-029
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 9 fonti verificate il 3 novembre 2026
Fonti9 fonti
- NIST, «least privilege - Glossary | CSRC». https://csrc.nist.gov/glossary/term/least_privilege (consultato il 3 novembre 2026)
- Microsoft, «Qu’est-ce que Microsoft Entra Privileged Identity Management ?». https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (consultato il 3 novembre 2026)
- Microsoft, «Meilleures pratiques pour les rôles Microsoft Entra». https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise». https://attack.mitre.org/techniques/T1078/ (consultato il 3 novembre 2026)
- OWASP, «Authorization - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise». https://attack.mitre.org/mitigations/M1026/ (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultato il 3 novembre 2026)
- CISA, «Zero Trust Maturity Model». https://www.cisa.gov/zero-trust-maturity-model (consultato il 3 novembre 2026)
- MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise». https://attack.mitre.org/mitigations/M1018/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Privilegio minimo e accesso Just-In-Time», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp197_it_2026,
author = {Brain},
title = {Privilegio minimo e accesso Just-In-Time},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/},
note = {CC BY 4.0}
}