Quanta services protegge I privilegi in oltre 200 filiali

Profilo dell’azienda

Quanta è un’azienda specializzata in servizi a contratto che fornisce soluzioni infrastrutturali complete per i settori delle utenze, dell’energia rinnovabile, delle comunicazioni, di pipeline e dell’energia. Nata nel 1997 dalla fusione di quattro aziende, Quanta è cresciuta fino a diventare un’organizzazione da 12 miliardi di dollari.

• Settore: Servizi aziendali
• Fatturato annuo: 12 miliardi di USD
• Dipendenti: Più di 40.000

Le sfide

Dalla sua fondazione, Quanta Services ha acquisito oltre 200 aziende e ha accumulato 16.000 endpoint sparsi in tutto il mondo. Una crescita su questa scala, per quanto benvenuta, ha creato all’azienda gravi problemi in termini di gestione degli accessi privilegiati (PAM).

Richard Breaux, senior manager della sicurezza IT presso Quanta Services, delinea i termini del problema: “Con l’acquisizione di ulteriori aziende, per noi la sfida diventa integrarle, assumendone i privilegi, i sistemi informatici e il modo in cui operano, per renderle parte del nostro ecosistema mantenendo tutto al sicuro.”

Inoltre, Quanta ha dovuto affrontare anche i problemi comuni a molte aziende. Breaux dichiara: “Ci troviamo ad affrontare le stesse sfide riguardanti gli accessi privilegiati di molte aziende, sia con diritti amministrativi locali su desktop o notebook, sia con accessi privilegiati per l’amministrazione dei server e lo sviluppo di applicazioni Web”. Abbiamo tutti a che fare con una serie di problemi analoghi.”

Soluzioni

Date le sue precedenti esperienze con CyberArk, incluse le implementazioni riuscite presso altre tre aziende, Breaux desiderava utilizzare la soluzione anche in Quanta. Spiega: “Abbiamo deciso di collaborare con CyberArk per risolvere le nostre sfide legate ai privilegi perché sapevo che avremmo potuto installare e mettere in funzione rapidamente la soluzione e che avrebbe fatto esattamente ciò di cui avevamo bisogno. Ero anche molto fiducioso che ci avrebbe aiutato a diventare più efficienti dal punto di vista dell’IT.” Sotto la guida di Breaux, Quanta ha implementato CyberArk Privilege Cloud™ e CyberArk Endpoint Privilege Manager. Avere soluzioni CyberArk-as-a-service sul cloud significava che l’infrastruttra aggiuntiva necessaria era minima. Questo averebbe anche favorito l’implementazione delle soluzioni CyberArk in modo rapido e semplice, eliminando la necessità di settimane – se non mesi – di pianificazione e configurazione di nuovi server.

“Ho implementato CyberArk sia in piccole aziende da 150 utenti, sia in aziende da 16.000 endpoint e con numerosi account individuali come Quanta. Il mio approccio è stato identico in tutti i casi. E per l’ennesima volta è stato un piacere non dover cambiare strategia: con CyberArk l’implementazione funziona indipendentemente dalle dimensioni dell’azienda.”

• Richard Breaux, Senior Manager, IT Security Quanta Services

Quanta ha adottato un approccio misurato e graduale basato sul rischio all’implementazione di CyberArk, partendo da obiettivi quali la rimozione dei diritti amministrativi locali dai dispositivi, prima dagli endpoint basati su Windows e poi dalle piattaforme come Apple MacOS, pianificando quindi di procedere sui server durante la fase successiva.

Proteggere migliaia di endpoint nelle filiali in Nord America e Australia potrebbe rappresentare un problema per alcune aziende, ma non per Quanta. Breaux approfondisce: “Può essere un compito molto scoraggiante: anche solo iniziare senza uno strumento come CyberArk è molto difficile e gravoso per un service desk. Tuttavia, con CyberArk abbiamo potuto raggiungere questo obiettivo. È fondamentale rimuovere i diritti amministrativi in tutta l’azienda, specialmente con un modello decentralizzato come il nostro. Ottenere questo obiettivo senza conseguenze per l’azienda è stato molto importante, nonché un’enorme vittoria.”

Quanta esegue un processo del ciclo di vita per CyberArk, raccogliendo feedback dagli utenti e dai punti dati per meglio personalizzare le modalità di utilizzo della soluzione. Possono essere inclusi, ad esempio, la modifica delle modalità operative delle policy, l’adattamento a un panorama di rilevamento delle minacce in continua evoluzione e le best practice per l’inserimento delle aziende di recente acquisizione.

Le soluzioni CyberArk riuniscono tutto in un unico ecosistema, in modo che il gruppo operativo di sicurezza possa amministrare la piattaforma CyberArk e i prodotti associati con costi IT e amministrativi minimi. Ciò significa per Quanta poter gestire le sue operazioni aziendali in espansione e garantire che i diritti di accesso vengano gestiti in modo appropriato senza dover impiegare più personale IT.

Risultati

L’impatto di CyberArk ha avuto ampie ramificazioni in termini di miglioramento dei processi. Spiega Breaux: “Oltre ai vantaggi che abbiamo sperimentato nel team di sicurezza, l’impatto è stato notevole anche sui nostri service desk IT e sui gruppi di distribuzione dei servizi. Ora non devono più correre a destra e a manca per concedere e rimuovere i diritti amministrativi per ogni istallazione. Abbiamo creato la policy di accesso appropriata in CyberArk per consentire a tutti di distribuire e gestire il software pertinente, senza dover coinvolgere direttamente il service desk IT per apportare le modifiche o gestire gli utenti durante processo.”

Breaux cita un altro risultato che ha potuto comunicare al consiglio di amministrazione: “Per la prima volta, grazie alla combinazione di CyberArk Endpoint Privilege Manager con Privilege Cloud, ogni singolo computer della nostra organizzazione ha una password amministrativa locale univoca. Siamo decisamente entusiasti di ciò che siamo stati in grado di ottenere senza problemi utilizzando CyberArk.”

Per Quanta, la fase successiva sarà collaborare con CyberArk per analizzare come i collaboratori terzi e i venditori si colleghino ai sistemi dell’azienda, espandendosi nella gestione delle sessioni privilegiate e approfondendo la conoscenza di altri prodotti come CyberArk Vendor Privileged Access Manager. Alle aziende che stanno iniziando un programma PAM, Breaux ha questo da dire: “È bene approfondire il più possibile i casi d’uso, mirando a ottenere un approccio che privilegi il progresso anziché la perfezione. Durante il percorso verranno acquisite nuove consapevolezze, ma è preferibile focalizzarsi sugli obiettivi mantenendo tempistiche specifiche. Questo è stato fondamentale per Quanta. Abbiamo provato altri fornitori PAM in passato e non è mai andato bene: diventava rapidamente un carico in più per l’IT e metteva veramente a dura prova il nostro tasso di adozione. Questa volta invece, non insisterò mai troppo su quanto la collaborazione con CyberArk ci abbia permesso di raggiungere il nostro obiettivo di migliorare la nostra postura di sicurezza rendendo nel contempo più efficiente il nostro team IT.”

Vantaggi principali

• Maggiore sicurezza e minori esigenze per il team IT
• La soluzione PAM scalabile riduce la necessità di personale aggiuntivo nel momento dell’acquisizione di nuove società
• L’implementazione senza problemi di password amministrative locali univoche per tutti i dispositivi riduce le vulnerabilità associate ai diritti di accesso