ISPM: irrobustire le identità dove l’attacco si allarga

L’ISPM, sigla di Identity Security Posture Management, va spiegato partendo da un cambiamento che i dati più recenti hanno reso netto: oggi, sempre più spesso, in un sistema non si entra rubando una password ma sfruttando una vulnerabilità. Il Verizon 2026 Data Breach Investigations Report registra per la prima volta il sorpasso dello sfruttamento delle vulnerabilità come principale vettore di accesso iniziale, salito al 31% dal 20% dell’anno prima, con una crescita del 55%. Eppure basta allargare lo sguardo dalla sola porta d’ingresso all’intera progressione di un attacco perché l’abuso di credenziali torni a essere il vettore più frequente, presente nel 39% delle violazioni.

Per il lettore italiano il quadro è ancora più marcato. In Europa, Medio Oriente e Africa lo sbilanciamento all’accesso iniziale è più forte che altrove, con le vulnerabilità al 47%, il phishing al 28% e l’abuso di credenziali al 6%. Quest’ultimo dato va letto con cautela, perché quest’anno il pretexting è tracciato come vettore a sé e ha riassorbito casi prima contati come abuso di credenziali, tanto che quel vettore, a livello globale dato al 13%, senza la modifica sarebbe al 16%; lo stesso riassorbimento vale anche per il dato europeo, di cui il report non fornisce la versione rettificata. Resta che, nella macro-regione EMEA, la porta d’ingresso è dominata dalle vulnerabilità.

È proprio questo a rendere l’identità più importante, non meno. L’accesso iniziale è la porta; ciò che viene dopo, la scalata dei privilegi e il movimento verso i sistemi che contano, corre quasi tutto sulle identità. Lo stesso rapporto Verizon lo mostra con nettezza: oltre l’80% degli incidenti non ha usato lo sfruttamento di una vulnerabilità per scalare i privilegi, e la gestione dei privilegi compare come mitigazione nel 65% delle tecniche di escalation e furto di credenziali, le configurazioni nel 33%, le politiche sulle password nel 30% e le patch solo in circa il 10%. L’attaccante entra con un exploit, ma arriva ovunque con un’identità, e su quel terreno le patch non servono quasi a niente. L’ISPM è la disciplina che presidia esattamente quel terreno.

Il problema: l’identità è il terreno della scalata

In un’organizzazione moderna l’identità non vive in un posto solo. Convivono l’Active Directory storico, su cui, secondo una stima di Frost & Sullivan ripresa da CrowdStrike, si appoggia ancora circa il 90% delle organizzazioni, l’Entra ID o l’Okta del cloud, gli IAM dei vari fornitori cloud, le identità delle applicazioni SaaS, e accanto agli utenti umani una popolazione crescente di identità non umane, fatta di account di servizio, token e credenziali automatiche. In questa frammentazione i privilegi si sedimentano e non vengono mai revocati, restano attivi account dormienti e shadow admin dimenticati, sopravvivono protocolli legacy che aggirano l’MFA e secondi fattori configurati a metà. Nessuna di queste cose è un attacco, ma ciascuna è il gradino che consente la scalata.

E i numeri dicono che è lì che si vince o si perde. Sempre secondo il rapporto Verizon, un attaccante che parte da un’utenza di basso livello ha, nel 16% delle organizzazioni, almeno l’80% di probabilità di raggiungere un account amministrativo chiave, tanto sono spianati i percorsi interni; e il 37% delle organizzazioni ha addirittura un account amministrativo con l’MFA disattivata su IaaS. Il problema delle password, poi, non è la loro debolezza formale, dato che la quota mediana di utenze Active Directory che non rispettano i requisiti di complessità è sotto l’1%, ma il loro riuso: in mediana, il 4% delle utenze usa password già compromesse e il 6% le riutilizza, al punto che, nota il report, un utente ha oltre quattro volte più probabilità di usare una password già compromessa che una password “debole”. Sono cose che una vulnerabilità non spiega e una patch non corregge: sono postura dell’identità.

Che cos’è l’ISPM

L’ISPM è la disciplina che quella postura la misura e la riduce. Uno strumento di Identity Security Posture Management si collega in modo continuo agli ambienti di identità, in sede e in cloud, e ne ricava un inventario di tutte le identità, umane e non umane, con i relativi privilegi. Su quella base cerca le debolezze: privilegi eccessivi e permanenti, MFA assente o debole, configurazioni errate, account inattivi, shadow admin, autenticazione legacy, password riusate o già compromesse. Non si limita a elencarle, ma le ordina per rischio effettivo e indica come rimediare, trasformando un groviglio di configurazioni sparse in una lista di interventi con una priorità. Non a caso, tra i controlli CIS che il rapporto richiama nei suoi pattern di incidente ci sono l’inventario degli account, la disattivazione di quelli dormienti e la limitazione dei privilegi amministrativi: sono, punto per punto, ciò che un ISPM misura.

ISPM e ITDR: la postura contro il rilevamento

Qui sta la distinzione da tenere ferma. L’ITDR, l’identity threat detection and response, si occupa dell’attacco mentre accade: riconosce l’uso anomalo di un account, il login sospetto, l’escalation di privilegi, e reagisce. L’ISPM viene prima, e lavora sul terreno, in modo che quell’account abbia meno privilegi da abusare, che l’MFA ci sia, che l’amministratore dimenticato non esista più. Uno rileva, l’altro previene, e non sono alternativi ma complementari: una buona postura riduce la superficie su cui il rilevamento dovrà vigilare, e nessun rilevamento, per quanto bravo, compensa un’igiene identitaria trascurata.

Vanno tenuti distinti anche i vicini di casa. L’IGA, la governance e amministrazione delle identità, risponde a un’altra domanda, chi dovrebbe avere accesso a che cosa e con quali approvazioni; il CIEM gestisce in modo specifico permessi ed entitlement nel cloud, e il PAM protegge gli accessi privilegiati. L’ISPM non sostituisce nessuno di questi, ma guarda la postura complessiva delle identità, cioè se lo stato reale, qui e ora, è sicuro rispetto a un attaccante.

Dove si colloca: la famiglia delle “posture”

L’ISPM è il tassello che porta la logica del posture management sul terreno dell’identità. L’ASPM guarda alla sicurezza delle applicazioni, il DSPM a quella dei dati, l’SSPM alla configurazione dei SaaS, il CSPM a quella del cloud; l’ISPM aggiunge il dominio che tutti gli altri, in un modo o nell’altro, attraversano, perché è l’identità a decidere chi accede a un’applicazione, a un dato o a un servizio.

La direzione, anche qui, è verso il consolidamento. Secondo la lettura del Gartner® Hype Cycle™ for Digital Identity 2026 proposta da Silverfort, citata nel report tra i Sample Vendor, l’ISPM è una categoria ancora emergente, accanto alle IVIP, le Identity Visibility and Intelligence Platforms, introdotte nel 2025 e un passo più avanti sulla curva, che unificano visibilità e intelligence su ogni identità e i suoi accessi; l’ITDR, più adottato, sarebbe invece più vicino alla maturità. Le IVIP non sono un contenitore di cui l’ISPM è una parte, ma una categoria vicina e distinta, verso cui il mercato converge. La specificità dell’identità, però, resta utile, perché ha rischi propri che non si leggono guardando le applicazioni o i dati.

Come valutarlo oltre il marketing

Un ISPM va giudicato prima di tutto sulla copertura. La sua utilità dipende da quante e quali sorgenti di identità sa leggere davvero: se vede l’Active Directory ma non l’Entra ID, o gli utenti ma non le identità non umane, la mappa che produce è parziale, e una mappa parziale della superficie d’attacco è pericolosa quanto nessuna mappa, perché induce una falsa sicurezza. Conviene chiedere non l’elenco dei sistemi integrabili in teoria, ma la profondità con cui copre quelli che l’organizzazione usa davvero, umani e macchine, in sede e in cloud, e se sa riconoscere non solo le password formalmente deboli ma quelle riusate o già finite in una violazione, che i numeri indicano come il rischio maggiore.

Il secondo criterio è la qualità della priorità e della correzione. Un buon strumento non restituisce diecimila anomalie tutte uguali, ma dice quali contano, perché e in quale ordine, e collega ogni rilievo a un’azione; meglio ancora se ragiona per percorsi, mostrando quali configurazioni, una volta corrette, spezzano la catena che porta a un amministratore. Contano più questi risultati misurabili, cioè meno privilegi permanenti e meno buchi nell’MFA nel tempo, dell’ennesimo cruscotto elegante. E conviene verificare che dialoghi con il resto, passando ciò che scopre agli strumenti di rilevamento e di governance: un ISPM che nasce come silo isolato ripete, sul terreno dell’identità, l’errore che voleva risolvere.

Cosa aspettarsi, senza illusioni

L’ISPM non ferma un attacco in corso, e sarebbe un errore aspettarselo: quello è il mestiere del rilevamento. Non è nemmeno una cosa che si fa una volta, perché identità e privilegi cambiano ogni giorno, e una postura misurata a gennaio non dice nulla di com’è a giugno. E vale, come ogni inventario, quanto la qualità e la completezza dei dati che raccoglie. Un’avvertenza riguarda anche i numeri con cui si giustifica: come ricorda un’appendice del rapporto, firmata da un esperto esterno di rischio cyber, una percentuale del DBIR non è una probabilità, e dire che una tecnica compare nella metà delle violazioni non significa che la propria organizzazione abbia una possibilità su due di subirla; quei dati servono a capire dove concentrare gli sforzi, non a prevedere il futuro. Dentro questi limiti, però, l’ISPM fa la cosa con il miglior rapporto tra costo e beneficio nella difesa dell’identità: rende difficile la scalata là dove, i dati lo dicono, si gioca davvero l’attacco, e nel punto più economico, prima che l’incidente esista. È anche il presupposto concreto di qualunque approccio zero trust, che senza il privilegio minimo applicato davvero resta uno slogan. E per il pubblico italiano c’è una ragione di conformità in più. La NIS2, all’articolo 21, chiede controllo degli accessi e autenticazione a più fattori, e il principio del privilegio minimo è esplicitato, per le categorie del digitale cui si applica, nel Regolamento di esecuzione (UE) 2024/2690. La DORA, all’articolo 9, paragrafo 4, lettera c), va anche oltre, imponendo di limitare l’accesso a quanto strettamente necessario, cioè il privilegio minimo in senso stretto. Un ISPM è un modo per dimostrare, dati alla mano, che quei requisiti sono rispettati. L’ISPM, in fondo, non promette di respingere l’attaccante alla porta, promette di non lasciargli, una volta dentro, la strada spianata verso tutto il resto.