Una delle informazioni che guardiamo più spesso in un progetto MDM è lo stato del dispositivo: compliant o non compliant.
È un segnale fondamentale. Ma secondo me diventa pericoloso quando iniziamo a leggerlo come se significasse semplicemente “device sicuro”.
Cosa ci sta dicendo davvero la compliance
Una piattaforma come Microsoft Intune valuta il dispositivo rispetto alle regole che abbiamo configurato: cifratura, versione del sistema operativo, password o PIN, stato di integrità e altri requisiti disponibili per la piattaforma.
Se integriamo quel risultato con Microsoft Entra Conditional Access, lo stato di compliance può diventare uno dei segnali usati per consentire o bloccare l’accesso.
Questo è esattamente il valore della compliance: trasformare caratteristiche del device in un’informazione utilizzabile nelle decisioni di accesso.
Ma resta un segnale
Il punto è che nessuna singola proprietà racconta l’intero contesto. Un dispositivo può rispettare le baseline configurate e allo stesso tempo trovarsi in una situazione che merita un livello di attenzione diverso.
Chi è l’utente? Da dove arriva la sessione? Qual è il rischio dell’identità? Quale applicazione sta cercando di raggiungere? Stiamo parlando di posta elettronica o di una console amministrativa? L’EDR sta osservando qualcosa di anomalo?
È qui che il concetto di Zero Trust, tolto dagli slogan, diventa molto concreto: non prendere una singola condizione positiva e trasformarla in fiducia permanente.
Il problema delle policy troppo generiche
C’è poi un’altra domanda che mi farei: quanto è significativa la nostra definizione di “compliant”?
Se la policy controlla pochissimi requisiti, avremo molti device verdi ma un segnale poco espressivo. Se invece costruiamo una policy impossibile da mantenere, avremo rumore, eccezioni e bypass.
Il lavoro vero sta quindi nel trovare requisiti misurabili, coerenti con il rischio e collegati alle decisioni di accesso.
Dal verde alla decisione
Per me l’approccio più sano è pensare alla compliance come a una tessera del puzzle: device management, Identity, Conditional Access, EDR/XDR, protezione applicativa e classificazione dei dati dovrebbero concorrere alla stessa decisione.
Il device compliant è una buona notizia. La domanda successiva è: per questa risorsa, in questo momento, abbiamo abbastanza segnali per fidarci della richiesta?