Palo Alto Networks completa l’acquisizione di CyberArk: Identity Security e PAM diventano core

Se dovessimo riassumere la ragione tecnica di questo deal in una frase, sarebbe questa: l’identità non è più un attributo di login, è il punto di passaggio obbligato di ogni azione che conta. Il cloud ha già spostato il baricentro verso token ruoli e accessi API. L’AI sta aggiungendo una seconda accelerazione, perché introduce agenti e automazioni che eseguono compiti in autonomia e lo fanno usando identità non umane.

Dentro i documenti dell’operazione troviamo numeri che danno un ordine di grandezza al problema. Le identità machine vengono quantificate come oltre 80 a 1 rispetto a quelle umane. Lo stesso set di informazioni riporta che circa il 75% delle organizzazioni descrive modelli di privilegio ancora basati su permessi eccessivi e poco aggiornati. Poi arriva il dato più brutale: quasi il 90% dichiara di aver vissuto una violazione centrata sull’identità.

A questo punto la domanda smette di essere teorica. Se la maggior parte delle identità è non umana e se il privilegio viene ancora gestito con modelli larghi, il perimetro è una cosa sola: il controllo continuo di chi può fare cosa. Per questo la narrativa “PAM per gli admin” non regge più. Il privilegio è ovunque e va governato in modo misurabile.

C’è un dettaglio che ci interessa sul piano operativo, non sul piano marketing. Nelle stesse carte viene indicato che controlli di sicurezza guidati dall’identità possono accelerare la risposta a una violazione fino all’80%. Tradotto in pratica: se riusciamo a revocare privilegi e ruotare segreti con automatismi, il tempo di permanenza dell’attaccante si accorcia. E il tempo, in un incidente, è quasi sempre la variabile che decide quanto costa.

Qui non ci interessa la notizia in sé. Ci interessa l’effetto che produce dentro le architetture reali, quelle fatte di Entra, Okta, AD, cloud IAM, CI/CD, container, segreti che girano e ticket che restano aperti. Mettere CyberArk dentro un vendor che presidia rete, endpoint e secops significa una cosa: l’identità entra nel motore centrale, non resta confinata al perimetro IAM.

Sommario dei contenuti

• Cosa è stato chiuso e cosa cambia sul perimetro
• Perché l’identità diventa il perimetro operativo
• PAM come core: cosa cambia rispetto al PAM tradizionale
• Zero Trust: la decisione di accesso include il privilegio
• AI in azienda: identità agentiche e rischio di scala
• Cosa fare da oggi: playbook pratico
• FAQ

Cosa è stato chiuso e cosa cambia sul perimetro

Il closing dell’11 febbraio 2026 chiude il ciclo iniziato il 30 luglio 2025 con la firma dell’accordo. Dal punto di vista societario, l’operazione è una fusione in cui la merger sub israeliana di Palo Alto Networks si è fusa in CyberArk, con CyberArk sopravvissuta come controllata al 100%. Questo dettaglio conta perché evita letture sbagliate: il marchio e la piattaforma non vengono “spente”, vengono assorbite in una struttura che può continuare a distribuire prodotto e supporto.

Il passaggio di governance che spesso viene liquidato con una riga invece è utile per capire la maturità del percorso. Gli azionisti CyberArk avevano approvato l’operazione in assemblea il 13 novembre 2025. Da lì in poi restavano le condizioni regolatorie e il meccanismo di closing, arrivato poi nella finestra attesa della seconda metà dell’anno fiscale 2026 di Palo Alto Networks.

Perché l’identità diventa il perimetro operativo

L’identità è diventata il perimetro quando abbiamo smesso di avere un solo posto in cui “stare”. Ogni azienda moderna vive su più cloud, su endpoint che escono e rientrano e su applicazioni distribuite. In questo scenario l’indirizzo IP e la segmentazione da soli non bastano a spiegare un comportamento. Il segnale che regge nel tempo è chi compie l’azione e con quali diritti effettivi.

Qui il privilegio è la parte che molti progetti Zero Trust trattano ancora come dettaglio. Il classico schema è: autentico forte, metto MFA, imposto conditional access e mi considero a posto. Funziona fino a quando l’attaccante non entra con un token valido o con un’identità di servizio dimenticata, spesso con permessi larghi. Con l’AI che entra nei processi, questa categoria di identità aumenta per quantità e per variabilità.

La nostra deduzione è semplice e si basa sui dati di contesto messi nero su bianco nell’operazione. Se le identità non umane dominano per volume e se le violazioni legate all’identità sono così diffuse, la difesa efficace passa dal ridurre privilegi permanenti e dal rendere osservabili le sessioni. È un cambio di prospettiva: non basta sapere che una credenziale è valida, bisogna sapere che tipo di potere le stiamo concedendo in quel momento.

PAM come core: cosa cambia rispetto al PAM tradizionale

Il PAM tradizionale nasce come disciplina di cassaforte. Custodisco credenziali privilegiate, le distribuisco su richiesta e registro sessioni. È utile, ma nel mondo attuale spesso arriva tardi e resta “recintato” in un team.

Rendere il PAM core significa spostarlo dalla logica di strumento per admin alla logica di controllo del potere digitale in azienda. Questo include gli amministratori, ma include anche servizi, pipeline e workload, perché sono loro a muovere dati e configurazioni oggi. Quando un agente AI viene messo a orchestrare attività, quella identità diventa un moltiplicatore: se sbaglia o viene compromessa, sbaglia in grande.

Qui la differenza pratica è nella postura. Invece di accettare privilegi standing e poi mettere monitoraggio a valle, si spinge verso elevazione temporanea, segmentata, verificabile. Non è un vezzo di compliance: è l’unico modo realistico per ridurre il raggio d’azione di un abuso di credenziali.

Zero Trust: la decisione di accesso include il privilegio

Un Zero Trust che funziona in produzione prende decisioni ripetute nel tempo, non solo al login. L’identità è una condizione, il privilegio è una variabile che cambia e che va controllata. Se l’utente o la macchina ottengono elevazione, quella sessione merita regole diverse rispetto a un accesso ordinario.

Qui entra la parte più interessante di una integrazione tra identity security e un ecosistema che già fa enforcement di rete e secops. Se il sistema vede un comportamento anomalo in una sessione privilegiata, il containment non deve essere solo “blocco account”. Deve essere revoca immediata dell’elevazione, chiusura della sessione e rotazione del segreto usato. È un flusso che molte aziende oggi sanno fare, ma lo fanno con troppi passaggi manuali e con troppi strumenti scollegati.

Deduciamo che la direzione coerente con quanto dichiarato è questa: portare la telemetria del privilegio dentro i circuiti di detection e risposta. Quando l’identità diventa un segnale condiviso, il SOC smette di inseguire log sparsi. Lavora su un grafo più completo: chi, quale identità, quale sessione, quale escalation e quale impatto su sistemi.

AI in azienda: identità agentiche e rischio di scala

L’AI porta una novità che sembra sottile ma in pratica ribalta la gestione degli accessi. Un agente software può fare in minuti ciò che prima richiedeva ore di attività umana, quindi moltiplica operazioni e richieste di accesso. Se quell’agente usa un’identità condivisa o una chiave lunga durata, l’esposizione diventa sistemica.

Il modo sano di guardare al problema è trattare l’agente come identità da governare, non come feature. Serve separazione degli scopi, privilegi minimi, durata breve delle credenziali e logging che permetta forensics. L’AI diventa un acceleratore di efficienza solo se i confini di accesso sono chiari e verificabili.

C’è un effetto collaterale che vediamo già nelle aziende: quando arriva l’AI si tende a spostare velocemente dati e integrazioni. In quel momento qualcuno crea service account “temporanei” che poi restano. La disciplina PAM applicata anche alle identità non umane è la risposta più pragmatica che abbiamo oggi per evitare che il temporaneo diventi la porta principale.

Cosa fare da oggi: playbook pratico

Se lavori in un’azienda che usa già CyberArk o che è cliente Palo Alto Networks, la prima cosa utile è evitare un errore tipico. Non aspettare la “grande integrazione” per sistemare i privilegi. La parte difficile non è il vendor, è la tua mappa di identità e diritti effettivi.

Noi consigliamo di partire da tre domande concrete, quelle che cambiano la postura in poche settimane. Quali identità hanno permessi di amministrazione su cloud e directory. Quali segreti stanno in pipeline e automazioni. Quali workflow AI stanno nascendo e con quali chiavi parlano a dati e sistemi.

Poi serve una decisione di governance che spesso viene rimandata. Chi approva l’elevazione privilegiata per workload e agenti. Che durata massima concediamo. Quale evidenza entra nel SOC e con che priorità. Senza queste regole, la tecnologia diventa un elenco di feature e il rischio resta.

Ultimo punto, molto pratico. Se vuoi misurare un miglioramento reale, scegli due KPI che non mentono: quanti privilegi standing riesci a eliminare e quanto tempo ti serve per revocare un privilegio quando scatta un allarme. Sono metriche che parlano la lingua del rischio e parlano anche la lingua del business, perché riducono impatti e tempi morti.

Questa operazione ci interessa perché rende esplicito un cambio di gerarchia. Per anni abbiamo costruito sicurezza per strati: rete, endpoint, cloud, poi IAM come pezzo separato. Il risultato in molte aziende è un mosaico di controlli che non parlano tra loro nel momento peggiore, quello dell’incidente.

Portare Identity Security dentro un player che presidia anche enforcement e operation spinge verso un modello più coerente. La coerenza, in cybersecurity, è ciò che riduce tempo e ambiguità. Se le identità machine sono così numerose, la sicurezza non può essere un processo artigianale fatto di eccezioni. Deve essere una disciplina industriale, con privilegi temporanei e evidenze consumabili.

L’AI è il detonatore. Aggiunge automazioni che chiedono accesso a dati e sistemi e lo fanno senza il freno naturale dell’umano. Se non trattiamo agenti e workload come identità privilegiata, ci ritroviamo a proteggere bene i dipendenti e a lasciare aperta la porta più usata dai processi.

A cura di Junior Cristarella.