cos’è, come funziona e soluzioni| ZeroUno

Un amministratore di database deve intervenire su un server di produzione. Nel modello tradizionale può disporre di un account che conserva i relativi privilegi 24 ore al giorno, anche se li utilizza poche volte al mese. Con il Privileged Identity Management (PIM) il principio cambia: l’amministratore è riconosciuto come idoneo a ottenere quei privilegi, ma deve attivarli quando ne ha bisogno. L’autorizzazione può richiedere MFA, approvazione, una motivazione e altri controlli; dopo trenta minuti, un’ora o il tempo stabilito dalla policy, decade automaticamente.

Con questo approccio vengono ridotti i cosiddetti standing privileges, autorizzazioni potenti che rimangono disponibili anche quando nessuno le sta utilizzando.

La questione ha assunto una dimensione diversa con la moltiplicazione delle identità digitali. Oltre agli amministratori IT nel campo giocano diversi attori: sviluppatori, fornitori esterni, workload cloud, service account, API, container, pipeline DevOps e, sempre più spesso, agenti AI capaci di operare sui sistemi.

Il 2026 Global Incident Response Report di Palo Alto Networks, rileva che debolezze legate alle identità hanno avuto un ruolo nell’89% delle indagini. Nell’analisi di oltre 680.000 identità cloud, il 99% di utenti, ruoli e servizi disponeva inoltre di autorizzazioni eccessive, alcune inutilizzate da almeno 60 giorni.

Le credenziali continuano intanto a essere un bene facilmente monetizzabile. Nel DBIR 2025 Verizon ha rilevato l’uso di credenziali compromesse come vettore iniziale nel 22% delle violazioni analizzate. Nei log dei provider SSO studiati per la stessa ricerca, il credential stuffing rappresentava, nel caso mediano, il 19% dei tentativi giornalieri di autenticazione.

Se una password rubata è pericolosa, una password rubata associata a privilegi amministrativi permanenti lo è molto di più.

Come funziona il Privileged Identity Management

Un sistema PIM parte da un censimento. Deve sapere quali identità dispongono, o possono disporre, di privilegi: amministratori di dominio, amministratori cloud, DBA, sviluppatori, service account, API key, chiavi SSH, account di emergenza. Deve inoltre stabilire su quali risorse tali privilegi producono effetti.

L’operazione è meno banale di quanto sembri. Gruppi annidati, vecchi account, permessi ereditati, ambienti multi-cloud e applicazioni legacy possono produrre un livello di privilegio effettivo molto superiore a quello visibile osservando una singola directory.

Il secondo passaggio consiste nel separare l’idoneità al privilegio dal possesso permanente del privilegio. Un sistemista può essere autorizzato a diventare amministratore di un determinato ambiente senza esserlo continuamente.

Quando deve eseguire un intervento, richiede l’elevazione. Il PIM verifica le condizioni stabilite dalla policy: identità dell’utente, MFA, stato del dispositivo, rete di provenienza, rischio della sessione, ticket di change management, eventuale approvazione del responsabile. Solo dopo questi controlli il ruolo viene attivato.

È il principio del just-in-time access (JIT). A questo si accompagna il just-enough access: il privilegio dovrebbe riguardare soltanto le risorse e le operazioni necessarie.

Al termine della finestra autorizzata, il privilegio viene revocato automaticamente.

In un’implementazione più ampia entrano poi in gioco vault per password e chiavi, rotazione automatica delle credenziali, broker delle sessioni, registrazione delle attività amministrative e integrazione con SIEM e SOAR. La sequenza richiesta-attivazione-utilizzo-revoca diventa così ricostruibile a posteriori.

Questo modello risponde anche a una trasformazione del rischio. Palo Alto Networks rileva che il 65% degli accessi iniziali osservati nel 2025 è riconducibile a tecniche basate sull’identità, tra social engineering e abuso di credenziali. Nell’87% degli incidenti analizzati gli attaccanti hanno operato su almeno due superfici di attacco. Una volta ottenuta un’identità valida, quindi, l’obiettivo è spesso trovare autorizzazioni che permettano di avanzare verso altri sistemi.

Dove il PIM si inserisce nell’identity management

PIM, PAM e IAM vengono talvolta usati come termini quasi intercambiabili. Ma ci sono delle sottili differenze che è utile sottolineare.

L’Identity and Access Management (IAM) costituisce il perimetro più ampio: gestisce identità, autenticazione e autorizzazioni. Vi rientrano directory, single sign-on, federation, MFA, lifecycle degli utenti, access management e altri servizi.

L’Identity Governance and Administration (IGA) aggiunge la dimensione della governance: chi dovrebbe avere accesso a che cosa, chi approva quell’accesso, come viene certificato e come cambia quando una persona viene assunta, cambia ruolo o lascia l’azienda. Gartner, per esempio, continua infatti a trattare IGA come un mercato specifico dell’IAM.

Il Privileged Identity Management si concentra invece sull’idoneità a ricevere privilegi elevati e sulla loro elevazione temporanea. Stabilisce, per esempio, che una determinata persona possa diventare amministratore Azure per un’ora, previa MFA e approvazione.

Il Privileged Access Management (PAM) copre un dominio in larga parte contiguo, ma tradizionalmente si concentra maggiormente sull’utilizzo dell’accesso privilegiato: vault delle credenziali, rotazione delle password, gestione e registrazione delle sessioni, accesso remoto privilegiato ed endpoint privilege management.

Nella pratica la separazione si sta assottigliando. Le piattaforme PAM incorporano JIT e governance delle identità; quelle nate nell’identity governance estendono il controllo alle sessioni privilegiate e alle identità non umane. Gartner osservava già nel 2025 che funzioni mature quali vaulting e session management si stavano progressivamente standardizzando, mentre restavano più differenzianti le capacità rivolte all’accesso privilegiato delle macchine.

Forrester ha persino scelto Privileged Identity Management Solutions come denominazione per la propria Wave del terzo trimestre 2025, valutando dieci provider. Secondo la società di analisi, il mercato si sta spostando dal controllo degli amministratori IT verso piattaforme capaci di governare identità umane, machine identity e agenti AI.

Per il CIO e i CISO, dunque, è più utile guardare alle capacità che all’etichetta commerciale: discovery delle identità privilegiate, governance, JIT, gestione delle credenziali, controllo delle sessioni, accesso dei fornitori, privilegi degli endpoint, workload identity e integrazione con l’ecosistema IAM e SOC.

Anche la regolamentazione europea spinge in questa direzione. Nel settore finanziario, le norme tecniche di DORA richiedono che gli accessi privilegiati, di emergenza e amministrativi siano assegnati sulla base della necessità di utilizzo o ad hoc e registrati nei log; indicano inoltre, ove possibile e opportuno, l’impiego di soluzioni automatizzate per la gestione degli accessi privilegiati.

Un’impostazione analoga compare nelle regole di attuazione della NIS2 applicabili alle categorie contemplate dal regolamento europeo 2024/2690: sono previsti account dedicati alle operazioni di amministrazione, autenticazione forte, restrizione dei privilegi e revisione periodica dei diritti degli account privilegiati. Il PIM non equivale quindi alla conformità normativa, ma può fornire alcuni dei controlli e delle evidenze necessari a dimostrarla.

I benefici e le sfide dei PIM

Il primo beneficio deriva dalla riduzione della finestra temporale di esposizione.

Se un amministratore possiede permanentemente dieci autorizzazioni e il suo account viene compromesso, l’attaccante eredita immediatamente quelle possibilità. Se l’identità è soltanto idonea a ottenere il privilegio e l’elevazione richiede MFA, un dispositivo conforme, un’approvazione e una finestra temporale, il percorso diventa più difficile.

Il secondo vantaggio è la limitazione del “privilege sprawl“. Permessi assegnati per un progetto e mai ritirati, amministratori che cambiano mansione, service account dimenticati e gruppi Active Directory accumulati negli anni producono progressivamente una rete di autorizzazioni difficile da ricostruire. JIT, scadenze automatiche e access review contrastano questo accumulo.

Il terzo beneficio riguarda audit e incident response. Sapere chi ha richiesto un privilegio, chi lo ha approvato, quando è stato attivato, su quale sistema e quali operazioni sono state eseguite consente di passare da una generica attribuzione all’account amministrativo a una ricostruzione più precisa dell’evento.

Infine c’è la gestione delle identità non umane. API key, workload, container, bot e agenti AI possono avere accesso a dati e infrastrutture con poteri comparabili o superiori a quelli di un amministratore umano. Forrester considera proprio l’estensione del PIM a identità umane, machine e AI una delle direzioni in cui sta evolvendo il mercato.

Le aree di attenzione del PIM

L’adozione, però, ha un costo organizzativo.

Un controllo che aggiunge cinque minuti a ogni attività amministrativa verrà presto percepito come un ostacolo. Workflow di approvazione progettati male possono rallentare incident response e manutenzione. Al contrario, troppe eccezioni e auto-approvazioni finiscono per ricostruire sotto altro nome il modello di privilegio permanente che il PIM dovrebbe eliminare.

C’è poi la copertura. Un’azienda può mettere sotto controllo gli amministratori Active Directory e lasciare fuori root Linux, account di servizio, appliance di rete, hypervisor, database legacy, ambienti OT o account cloud locali. La presenza di un PIM rischia allora di produrre un falso senso di sicurezza.

L’ambiente ibrido accentua il problema. Discovery, integrazioni e policy devono funzionare tra data center, SaaS e più cloud, senza interrompere processi operativi che spesso dipendono da credenziali storiche.

Infine va progettato il break glass, l’accesso di emergenza. Se l’identity provider o il PIM non sono disponibili durante un incidente, l’organizzazione deve poter recuperare il controllo dei sistemi. Questi account devono essere pochissimi, fortemente protetti, monitorati e sottoposti a verifica dopo ogni utilizzo.

La metrica di un progetto PIM, di conseguenza, non dovrebbe fermarsi al numero di account inseriti nel sistema. Indicatori più significativi sono la quota di privilegi permanenti eliminati, il numero di identità privilegiate non gestite, il tempo medio per ottenere e revocare un’elevazione, la copertura degli account non umani e la percentuale di sessioni amministrative effettivamente tracciabili.

I principali PIM sul mercato

La tassonomia dei prodotti richiede una precisazione. PIM non identifica oggi un segmento di prodotto perfettamente separato dal PAM. Molti fornitori commercializzano piattaforme PAM o di identity security che comprendono funzionalità PIM.

Tra le offerte disponibili sul mercato (la lista non è esaustiva) figurano:

• Microsoft Entra Privileged Identity Management. Integrato in Microsoft Entra ID Governance, permette di rendere un utente idoneo a un ruolo senza assegnarglielo permanentemente. Supporta accesso just-in-time, attivazioni soggette ad approvazione, MFA, limiti temporali, giustificazione della richiesta, notifiche, access review e audit.
• CyberArk. La piattaforma di identity security comprende diverse componenti dedicate agli accessi privilegiati, dalla protezione delle credenziali e dei secret al controllo delle sessioni e dei privilegi sugli endpoint. Dynamic Privileged Access è rivolto in particolare all’accesso amministrativo just-in-time alle infrastrutture. CyberArk è stata acquisita Palo Alto Networks nel 2026.

• BeyondTrust. Il portafoglio comprende Password Safe per la gestione di account e credenziali privilegiate, Endpoint Privilege Management e Privileged Remote Access per gli accessi remoti di dipendenti e terze parti. Le capacità includono controllo e registrazione delle sessioni e accessi temporanei secondo policy. Dal 2025 BeyondTrust è distribuita anche sul mercato italiano da Ingecom Ignition, società di Exclusive Networks.
• Delinea. La piattaforma riunisce discovery delle identità privilegiate, vaulting, accesso just-in-time e Zero Standing Privilege. Il perimetro si è esteso dalle identità umane a service account, workload e agenti AI, con policy applicabili a infrastrutture, database, Kubernetes e ambienti multi-cloud. Delinea opera anche sul mercato italiano attraverso il proprio ecosistema di canale.
• One Identity Safeguard. La famiglia Safeguard separa la gestione delle credenziali privilegiate, affidata a Safeguard for Privileged Passwords, dal controllo e dalla registrazione delle sessioni di Safeguard for Privileged Sessions. Safeguard On Demand rende disponibili queste componenti attraverso un ambiente ospitato e gestito da One Identity. In Italia il vendor dispone di un ecosistema di system integrator e partner specializzati.
• ManageEngine PAM360. La piattaforma comprende vault delle credenziali, discovery degli account privilegiati, elevazione just-in-time, workflow di controllo degli accessi, accesso remoto e registrazione delle sessioni, oltre alla gestione di chiavi SSH e certificati. In Italia ManageEngine indica Bludis come proprio distributore unico.
• Wallix PAM. Il vendor europeo copre gestione degli accessi privilegiati, controllo e registrazione delle sessioni, least privilege e accesso just-in-time, con particolare attenzione anche agli ambienti OT. Wallix dispone di un canale italiano e dal 2025 ha un accordo di distribuzione con Computer Gross.
• Netwrix Privilege Secure. La piattaforma punta in particolare sul modello Zero Standing Privilege: sostituisce gli account amministrativi permanenti con accessi just-in-time creati per la sessione e rimossi al suo termine. Comprende monitoraggio e registrazione delle attività privilegiate e può integrarsi con vault esistenti. Netwrix dispone di un ecosistema di partner e canale anche sul mercato italiano.