PAM
Privileged Access Management — sistemi e procedure per controllare, monitorare e proteggere gli account più potenti (amministratori, root, account di servizio). Poiché gli account privilegiati sono il bersaglio principale degli attaccanti, ricevono livelli di protezione aggiuntivi.
Funzionalità: un password vault (le password amministrative sono custodite in un punto centrale e recuperate all'occorrenza, nessuno le conosce a memoria), la rotazione automatica (le password cambiano spesso o dopo ogni uso), l'intermediazione e registrazione delle sessioni (l'amministratore accede tramite il sistema PAM, che registra ciò che viene fatto — per audit e analisi forense), l'accesso JIT (privilegi elevati solo temporaneamente) e i flussi di approvazione. Caso d'uso: nessuno dovrebbe conoscere la password di root, ogni azione privilegiata dovrebbe essere tracciabile e l'accesso amministrativo permanente andrebbe ridotto al minimo. Protegge sia dagli attaccanti esterni (che danno la caccia agli account admin per prendere il controllo) sia dalle minacce interne. Esempi: CyberArk, Delinea, HashiCorp Boundary/Vault. Un pilastro della sicurezza delle identità, strettamente legato a JIT e al privilegio minimo. Collegato a accesso JIT e accesso break-glass.