Cos'è l'IAM (Identity and Access Management): guida completa

L'IAM (Identity and Access Management) è l'insieme di processi e tecnologie che gestiscono le identità digitali e controllano chi può accedere a quali risorse, quando e con quali privilegi.

Cos'è l'Identity and Access Management

In un'organizzazione moderna ogni utente — dipendente, cliente, partner — ha un'identità digitale e un insieme di permessi. L'IAM è la disciplina che gestisce il ciclo di vita di queste identità e governa l'accesso alle applicazioni e ai dati. È il fondamento della sicurezza degli accessi: senza un IAM coerente, il controllo su "chi può fare cosa" diventa frammentato e rischioso.

I componenti chiave di un IAM

Autenticazione

Verifica che un utente sia chi dichiara di essere. Può basarsi su password, su un secondo fattore (vedi 2FA vs MFA) o su metodi senza password.

Autorizzazione

Stabilisce cosa un utente autenticato può fare, in base a ruoli e policy (principio del minimo privilegio).

Provisioning e deprovisioning

La creazione e la rimozione tempestiva degli account lungo il ciclo di vita dell'utente. Il deprovisioning mancato è una delle cause più comuni di accessi orfani.

SSO e MFA

Il Single Sign-On permette di accedere a più applicazioni con un'unica autenticazione; l'autenticazione a più fattori rafforza la sicurezza degli accessi sensibili.

IAM, CIAM e Identity Provider

Quando l'IAM è rivolto ai clienti finali si parla di CIAM (Customer IAM). L'Identity Provider (IdP) è il sistema che emette e verifica le identità, spesso tramite standard come SAML e OpenID Connect. Vedi le differenze tra OAuth 2.0, OIDC e SAML.

Come scegliere una piattaforma IAM

• Copertura funzionale: SSO, MFA, provisioning, gestione multi-tenant.
• Conformità e sovranità del dato: dove risiedono le identità e chi può accedervi.
• Modello di prezzo: per utente o per tenant/progetto.
• Standard aperti (SAML, OIDC) per evitare il lock-in.
• Supporto e tracciabilità degli eventi di accesso.

Abbiamo approfondito il criterio della conformità nell'articolo su IAM europeo e sovranità del dato. Per vedere come LoginMaster implementa questi componenti, visita la pagina funzionalità.

Glossario IAM: i termini chiave

La gestione delle identità ha un suo vocabolario. Ecco le definizioni dei termini che ricorrono più spesso, con i collegamenti agli approfondimenti.

IAM (Identity and Access Management)

Insieme di processi e tecnologie per gestire il ciclo di vita delle identità digitali e governare l'accesso a applicazioni e dati, secondo il principio del minimo privilegio. Quando è rivolto ai clienti finali prende il nome di CIAM.

MFA (autenticazione a più fattori)

Metodo che richiede due o più fattori indipendenti per verificare l'identità — qualcosa che si conosce (password), che si possiede (token, smartphone) o che si è (biometria). Il 2FA è il caso con due fattori: la differenza è spiegata in 2FA vs MFA.

SSO (Single Sign-On)

Funzionalità che consente di accedere a più applicazioni con un'unica autenticazione, riducendo le password e centralizzando il controllo degli accessi. Approfondimento: cos'è il Single Sign-On.

Zero Trust

Modello di sicurezza che non concede fiducia implicita ad alcun utente o dispositivo: ogni richiesta di accesso viene verificata sempre, in base a identità, contesto e privilegi minimi. Vedi la pagina Zero Trust.

NIS2

Direttiva europea sulla cybersicurezza che estende gli obblighi di gestione del rischio e di controllo degli accessi a un'ampia platea di organizzazioni. Un IAM solido è un tassello della conformità: vedi conformità e l'articolo su NIS2 e gestione degli accessi.