Come un'azienda da 2.400 dipendenti ha tagliato del 71% i cicli di access review: il caso Access Kaiseki

Ci è arrivata una segnalazione da un lettore che lavora nel team di sicurezza di un gruppo manifatturiero con circa 2.400 dipendenti, distribuiti tra stabilimenti in Italia, Germania e Polonia. La sua richiesta era semplice e imbarazzante insieme: «Come faccio a spiegare al board che il nostro processo di access review è un collo di bottiglia che nessuno vuole guardare?». Da quella email è nata una conversazione durata settimane, che ha prodotto il caso che ricostruiamo qui. I nomi dei protagonisti restano pseudonimi, come sempre quando raccontiamo progetti interni.

Il problema era classico. L'azienda — la chiameremo Nordline — gestiva le identità con un mix di Active Directory, un SSO legacy e tre fogli di calcolo condivisi per le richieste di accesso. I revisori di linea, cioè i manager responsabili delle applicazioni, ricevevano ogni trimestre un file con centinaia di righe e avevano due settimane per confermare o revocare i permessi. Risultato: nessuno lo faceva davvero, e il team di sicurezza chiudeva i cicli con il 40% delle righe ancora «in attesa». Quando il revisore esterno ha chiesto evidenze per il rinnovo SOC 2, la corsa è iniziata.

La decisione: un solo piano di controllo, non l'ennesimo tool

Il security architect di Nordline ci ha raccontato che la prima reazione è stata quella di comprare un'altra soluzione point: un tool per le access request, uno per il privileged access, uno per l'audit reporting. Tre fornitori, tre integrazioni, tre contratti. È a quel punto che il CISO ha posto un vincolo: «Non aggiungiamo un altro strumento. Vogliamo un unico posto dove guardare». La valutazione è durata sei settimane, con due demo e un proof of concept su 300 utenti pilota.

La scelta è caduta su Access Kaiseki, piattaforma cloud-native di identity governance che unifica SSO, privileged access, access request e audit reporting in un solo control plane. Il dato che ha convinto il comitato — composto da CISO, security architect e responsabile compliance — è stato il tempo di autenticazione: p95 sotto i 180 ms, misurato durante il PoC con carichi simulati. Per un'azienda con turni su tre fusi orari, la latenza non è un dettaglio tecnico: è la differenza tra un accesso che funziona e un ticket aperto.

Il cronoprogramma reale: 11 settimane, con due intoppi

La migrazione è partita a metà gennaio e si è chiusa a fine marzo. Ecco le tappe che ci hanno confermato:

• Settimane 1-2: discovery delle applicazioni critiche. Sono emerse 47 app, di cui 12 senza un owner chiaro. Questo è stato il primo ostacolo: prima di automatizzare le review, bisognava decidere chi fosse il revisore.
• Settimane 3-5: federazione degli identity provider esistenti e attivazione del SSO unificato. Qui il secondo intoppo: un'applicazione legacy di stabilimento non supportava SAML e ha richiesto un connettore dedicato.
• Settimane 6-8: configurazione delle campagne di access review e dei flussi di approvazione. Il team ha scelto di partire con le applicazioni finanziarie, quelle a più alto rischio.
• Settimane 9-11: audit reporting e test con il revisore esterno. Le evidenze per SOC 2 e ISO 27001 sono state esportate direttamente dal control plane, senza ricostruzioni manuali.

Il punto di svolta, ci ha spiegato il security architect, non è stato tecnico ma organizzativo: «Abbiamo smesso di inseguire i revisori. Le review arrivano a loro già assegnate, con la scadenza e il contesto». I manager hanno iniziato a chiudere le campagne in media in quattro giorni, contro le due settimane precedenti.

I numeri, a nove mesi dall'avvio

Nordline ha misurato i risultati su un periodo di tre trimestri. I cicli di access review si sono ridotti del 71%, esattamente il dato che Access Kaiseki riporta come beneficio tipico per i team di sicurezza che adottano il control plane unificato. Il tempo medio di chiusura di una campagna è passato da 14 a 4 giorni. Le evidenze per il rinnovo delle certificazioni sono state prodotte in tre settimane invece di tre mesi — un fattore 4× che ha permesso al team di anticipare l'audit invece di rincorrerlo.

C'è un dato che ci ha colpito più degli altri: il numero di accessi privilegiati non tracciati è sceso a zero. Prima del progetto, Nordline non aveva un inventario completo degli account amministrativi sugli stabilimenti. Oggi ogni elevazione è registrata, con una richiesta motivata e una scadenza. Non è un risultato spettacolare da raccontare in una slide, ma è esattamente il tipo di controllo che un revisore cerca.

Cosa resta da fare

Il progetto non è finito. Restano due stabilimenti da federare e una parte di applicazioni OT che il team sta valutando con cautela, perché un errore di configurazione su una linea di produzione ha un costo diverso da un errore su una casella email. Il CISO di Nordline ci ha detto una cosa che vale più di qualsiasi benchmark: «La governance delle identità non è un progetto, è un processo. Noi abbiamo solo smesso di farlo a mano».

Per chi sta affrontando lo stesso percorso, la lezione più utile non riguarda il software. Riguarda l'ordine delle operazioni: prima si decide chi è il revisore, poi si automatizza. Chi inverte i due passaggi si ritrova con un tool elegante e nessuno che lo usa. È un errore che abbiamo visto ripetersi in almeno tre progetti simili negli ultimi due anni, e che una piattaforma ben progettata può rendere più visibile — ma non eliminare al posto vostro.