Come determinare i costi complessivi di gestione reali dell ... - RSA

White paper
Come determinare i costi
complessivi di gestione reali
dell’autenticazione a due fattori

Che cosa si deve considerare per l’implementazione di una
soluzione di autenticazione a due fattori, oltre al costo del
dispositivo utente?
Le organizzazioni richiedono da sempre agli utenti la
verifica dell’identità prima di garantire loro l’accesso
ad aree o risorse di valore. Che si tratti di un agente
di dogana che controlla i passaporti, del dipendente
di una banca che richiede al cliente un documento di
identità per un prelievo o di un’azienda che impone
ai dipendenti l’utilizzo di un badge con fotografia per
l’ingresso nella sede, lo scopo è lo stesso: impedire
l’accesso non autorizzato. Il tipo di identificazione
richiesta dipende di solito dal valore della
risorsa protetta.
Ai nostri giorni, le organizzazioni richiedono
l’autenticazione di dipendenti, partner aziendali
e clienti prima di concedere l’accesso a dati
e risorse di valore dell’azienda.
Gli elementi di costo
Esistono numerosi elementi che influiscono sui costi reali di
una soluzione di autenticazione a due fattori. In primo luogo,
vi sono gli elementi riconducibili al costo di acquisizione dei
“prodotti”. Tutte le soluzioni di autenticazione a due fattori
prevedono due principali componenti del prodotto:
– Dispositivo utente. Il dispositivo utente costituisce
l’elemento di appartenenza esclusiva ad un individuo.
Può trattarsi di un token che genera una password casuale
da utilizzare una sola volta, di una smart card, di un lettore
di impronte digitali, di un telefono cellulare, di un personal
computer o di un qualsiasi altro dispositivo che può essere
strettamente associato all’utente.
– Server di autenticazione. Il server di autenticazione
è il componente che riceve le informazioni dall’utente
e determina se questi ha fornito i dati corretti. Impone
inoltre al sistema di concedere o negare l’accesso
e fornisce l’interfaccia amministrativa.
1 White paper RSA
Un’organizzazione può accertare l’identità degli utenti
remoti con varie modalità, ognuna delle quali implica
livelli di sicurezza, praticità d’uso e costi differenti.
L’autenticazione a due fattori, che richiede all’utente
remoto di fornire sia informazioni che altri elementi
di appartenenza esclusiva all’utente, quali token,
smart card o immagine biometrica, è uno dei metodi
più comunemente utilizzati dalle organizzazioni per
l’accertamento dell’identità. Il presente white paper
indica i fattori dai quali dipendono i costi complessivi
di gestione di una soluzione di autenticazione a due
fattori e fornisce alle organizzazioni uno schema per
confrontare i costi di prodotti simili.
In secondo luogo, le organizzazioni devono considerare le spese
di manutenzione annuali che in genere includono l’assistenza
telefonica al cliente e gli aggiornamenti software periodici.
In terzo luogo, devono essere analizzati attentamente i costi
di implementazione, che possono variare notevolmente in
base all’ambiente in cui la soluzione opererà. Ad esempio,
le organizzazioni devono considerare se sono presenti
prodotti aggiuntivi di terze parti o se sarà necessario ricorrere
all’integrazione di servizi professionali per il completamento
della soluzione.
Infine, per determinare i costi complessivi di gestione vanno
considerati i costi di gestione ordinaria. Tra questi vi sono
i costi degli amministratori, dell’implementazione e le spese
previste per l’assistenza agli utenti.
Sono molti i fattori da considerare per determinare i costi
complessivi di gestione di una soluzione di autenticazione
a due fattori, oltre al mero costo del dispositivo utente.

Confronto dei costi di acquisizione
Dispositivi utente
Nel confrontare i costi dei dispositivi utente, le organizzazioni
devono pensare anche a tutte le spese associate all’acquisizione
della soluzione, inclusi i costi dei dispositivi e di eventuali
apparecchiature speciali o software necessari. Se ad esempio
si sta valutando l’adozione di una soluzione con smart card,
è necessario considerare anche le spese correlate all’acquisto
e alla fornitura agli utenti di lettori di smart card e di software
client o middleware. Naturalmente, se tutti gli utenti interessati
sono già dotati di sistemi con lettori integrati, tali costi non
saranno da calcolare e si potranno considerare solo le spese
associate alla fornitura delle smart card e di eventuale
software client.
Alcuni dispositivi utente hanno una durata variabile, che
influisce sul costo. Ad esempio, una soluzione token, che
assicura una maggiore durata, è inizialmente più dispendiosa,
ma comporterà un costo annuale inferiore rispetto a una
soluzione di durata minore. Per tale motivo è importante
stabilire un limite per i costi complessivi di gestione (TCO)
e selezionare il prodotto che meglio si adatta al periodo di
tempo considerato. È opportuno evitare di procedere a un
confronto su un periodo di cinque anni in caso di dispositivi
che offrono una durata di tre anni, poiché questo potrebbe
causare un riacquisto non necessario dei token nel quarto
anno e distorcere in modo significativo i risultati.
Ma per quale motivo un dispositivo utente ha una durata
predefinita? La risposta è semplice. Molte organizzazioni
preferiscono distribuire i dispositivi di autenticazione con
Costo di acquisizione relativo
date di scadenza diverse, in modo da evitare la sostituzione
di tutti i dispositivi contemporaneamente. Grazie al feedback
dei clienti, RSA ha rilevato che è preferibile per le aziende
clienti poter predire e pianificare la fine del ciclo di vita
di un dispositivo piuttosto che trovarsi con un’unità che
improvvisamente cessa di funzionare a causa della scadenza
della batteria.
Token 2 anni Token 3 anni Token 4 anni Token 5 anni
Un altro fattore da considerare nella valutazione del costo dei
dispositivi è la qualità del dispositivo e la garanzia offerta dal
fornitore. I guasti si verificano con più frequenza in caso di
dispositivi di scarsa qualità e i costi associati alla sostituzione
del dispositivo possono vanificare velocemente il risparmio
iniziale. Mancata produttività dei dipendenti, costi di help
desk, spese per la reimplementazione e l’acquisto di nuovi
dispositivi sono anch’essi elementi che fanno lievitare
notevolmente i costi complessivi di gestione.
A volte i fornitori utilizzano il basso costo di un dispositivo
utente come strumento di marketing per ottenere nuovi
contratti. Tuttavia, come già spiegato, il dispositivo utente
è solo uno dei componenti della soluzione complessiva e
non deve costituire l’unica base su cui fondare una decisione.
In realtà, alcune delle soluzioni che si considerano potrebbero
non richiedere alcun dispositivo utente: in tal caso il costo
dell’acquisizione di tali dispositivi sarà pari a zero.
Suggerimento: il prezzo dei dispositivi utente viene in genere
stabilito in base al quantitativo di prodotti acquistati. Per ottenere
risultati affidabili, tenere conto dello sconto applicato sul volume
di acquisto e calcolare di conseguenza il costo per il numero di
dispositivi. Una tattica molto comune utilizzata dai fornitori per
cercare di battere la concorrenza è confrontare il prezzo dei
dispositivi dando maggior risalto al prezzo più scontato,
senza precisare il quantitativo per cui si ottiene tale sconto.
Figura 1. Un esempio
di costo di acquisizione
relativo confrontato con
i costi annuali di dispositivi
di durata variabile
White paper RSA
Costo di acquisizione
Costi annuali
2

Server di autenticazione
Il server di autenticazione è uno dei componenti della
soluzione a cui va prestata particolare attenzione, dato
che i prodotti offerti dai vari fornitori presentano differenze
notevoli dal punto di vista delle funzioni. Oltre alle funzioni
base di autenticazione utente, il server di autenticazione
deve essere dotato di una console di gestione per
l’esecuzione di operazioni fondamentali quali aggiunta ed
eliminazione di utenti, nonché assegnazione o riassegnazione
dei dispositivi. Deve inoltre fornire servizi di backup e/o di
replica, al fine di garantire disponibilità continua. Inoltre,
grazie alla funzionalità self-service, gli utenti possono
eseguire autonomamente operazioni di base come
reimpostare il PIN o richiedere una password di emergenza.
Alcuni fornitori offrono le funzionalità separatamente,
fornendole come moduli aggiuntivi, con un costo a parte.
Ad esempio, non è insolito per un fornitore stabilire il prezzo
del server di backup come opzione separata e caricare un
ulteriore 50% sull’importo di partenza oppure offrire una
funzionalità self-service a un costo aggiuntivo piuttosto
elevato. In altri casi, il fornitore determina il prezzo dei
server di autenticazione in base alle funzioni per cui può
essere utilizzato. Per evitare spiacevoli sorprese, è importante
confrontare le funzionalità e le capacità offerte dal server
di autenticazione.
$40.000
35.000
30.000
25.000
20.000
15.000
10.000
5.000
0
Licenza base
Licenza base e backup
Licenza base, backup e funzionalità self-service
Vendor A
3 White paper RSA
Vendor B
Vendor C
Figura 2. Confronto dei costi di autenticazione di tre noti
fornitori di soluzioni di autenticazione a due fattori per
licenze base per 250 utenti, con valutazioni relative ai servizi
di backup e alle funzionalità self-service per l’utente.
Il server di autenticazione
è uno dei componenti della
soluzione a cui va prestata
particolare attenzione, dato che
i prodotti offerti dai vari fornitori
presentano differenze notevoli
dal punto di vista delle funzioni.
Potrebbero esserci altri costi nascosti da considerare.
Ad esempio, potrebbe essere necessario l’acquisto di ulteriori
componenti, come un server RADIUS e/o un database, oltre
a quello del server di autenticazione. Nel calcolo del costo
totale del server di autenticazione devono essere considerati
anche questi costi.
La Figura 2 mostra che i prezzi delle offerte base di tutti e tre
i fornitori sono simili. Tuttavia, il fornitore A offre un prodotto
con maggiori funzionalità, tutte comprese nell’offerta base,
mentre il prezzo dei prodotti dei fornitori B e C lievita
notevolmente una volta incluse nel costo totale
importanti funzionalità.
Suggerimento: il prezzo dei server di autenticazione viene in
genere calcolato in base al numero degli utenti e il costo per
utente diminuisce con l’aumentare del numero di utilizzatori.
Come per i dispositivi di autenticazione, è importante anche
in questo caso conoscere il quantitativo che determina una
riduzione del prezzo, al fine di procedere a un confronto
accurato dei costi complessivi di gestione (TCO).
Manutenzione annuale
I costi di manutenzione annuale vengono in genere calcolati
come una percentuale del prezzo del server di autenticazione
e variano a seconda del fornitore. La Figura 3 mostra che per
i costi di manutenzione annuale il fornitore A addebita il 21%,
il fornitore B il 20% e il fornitore C il 25%. Considerando le
differenze di prezzo originarie dei server, il costo annuale
del servizio offerto dal fornitore A è notevolmente inferiore.
Si tratta di un aspetto estremamente importante, dato che
il costo della sola manutenzione è pari o superiore al costo
originario del software in un periodo di quattro o cinque anni
e rappresenta quindi un elemento non trascurabile dei costi
complessivi di gestione (TCO).

Suggerimento: nel confrontare le offerte di manutenzione,
considerare sempre le ore di assistenza tecnica, i servizi on-line
e le condizioni previste per le nuove versioni del software.
Alcuni fornitori offrono un contratto di manutenzione che
include la fornitura gratuita al cliente di tutte le nuove versioni
del software, mentre altri richiedono il pagamento di una quota
a volte elevata per ogni versione con modifiche sostanziali
rispetto alle release precedenti.
Implementazione
Il costo di implementazione di un servizio di autenticazione
può variare notevolmente da un fornitore all’altro e rientra
in genere in due categorie principali: distribuzione agli utenti
e integrazione del sistema.
La distribuzione include il costo di assegnazione e consegna
agli utenti dei dispositivi, nonché la formazione degli utenti
stessi. I costi di distribuzione dovrebbero risultare simili
quando si confrontano più soluzioni e differire soltanto se le
soluzioni richiedono interventi molto diversi dal punto di vista
sostanziale. Ad esempio, se i sistemi per gli utenti devono
essere aggiornati con lettori di schede, vanno previste spese
per l’assistenza tecnica. Anche i costi di formazione per gli
utenti dovrebbero risultare simili. Alcuni fornitori, tuttavia,
offrono strumenti e risorse per la formazione on-line che
contribuiscono a farli diminuire.
$80.000
70.000
60.000
50.000
40.000
30.000
20.000
10.000
0
Licenza base
Licenza base e backup
Licenza base, backup e funzionalità self-service
Vendor A
Vendor B
Vendor C
Suggerimento: per posizionarsi in modo più vantaggioso,
alcuni fornitori possono fornire confronti dei costi complessivi
di gestione (TCO) su un periodo di cinque anni e ripetere
l’indicazione dei costi di acquisto e distribuzione dei dispositivi
nel quarto anno per i concorrenti. Si tratta di dati ridondanti e
superflui, dato che un dispositivo con un ciclo di vita di cinque
anni non deve essere riacquistato né ridistribuito durante il
periodo di valutazione dei costi complessivi di gestione (TCO).
I costi di integrazione del sistema sono i costi associati alle
attività di preparazione che consentono alla soluzione di
funzionare nell’ambiente in uso. Alcune soluzioni possono
richiedere interventi di personalizzazione, mentre altre sono
preconfigurate per l’utilizzo. Un contratto per la fornitura
di servizi professionali ha un costo compreso in genere tra
i 2000 e i 2500 dollari al giorno. La personalizzazione può
includere modifiche a uno schema di database o lo sviluppo
di agenti per la protezione di specifiche risorse.
È importante valutare la compatibilità della soluzione con
altri prodotti di terze parti e/o l’entità dell’intervento richiesto
ai servizi professionali per rendere la soluzione funzionante.
Un fornitore che offre certificazioni e documentazione relativa
all’interoperabilità delle proprie soluzioni con i prodotti di
terze parti già in uso presso l’azienda cliente riduce o elimina
la necessità di avvalersi di servizi professionali aggiuntivi.
Per il calcolo dei costi complessivi di gestione (TCO) è molto
importante potersi basare su un preventivo dei servizi
professionali necessari stilato dai diversi fornitori che si
stanno valutando.
Figura 3. Confronto del costo complessivo di diversi
server di autenticazione in un periodo di cinque anni,
con valutazione delle spese di manutenzione.
White paper RSA
4

Manutenzione ordinaria
Esistono costi per la gestione quotidiana associati al
funzionamento di ciascun server di autenticazione. Quasi
sempre viene designato un amministratore per la gestione
delle operazioni di assegnazione di utenti e dispositivi
e per l’assistenza agli utenti in caso di problemi quali
PIN dimenticati, difficoltà legate ai dispositivi o alla
sincronizzazione dei server. In generale, alcune attività di
manutenzione ordinaria possono essere ridotte al minimo
fornendo agli utenti funzionalità self-service. Se una soluzione
non include funzionalità self-service, sarà necessario calcolare
costi amministrativi aggiuntivi, poiché il personale IT dovrà
occuparsi di problemi che potrebbero invece essere gestiti
senza alcun intervento.
Un’altra spesa di gestione da considerare riguarda la necessità
estemporanea di sostituire un dispositivo di autenticazione
perso. È ragionevole supporre che la percentuale di perdite
sia simile per tutte le soluzioni di autenticazione basate su
dispositivi utente ed è necessario calcolare il costo della
sostituzione e della reimplementazione delle suddette unità.
Tale costo include sia il prezzo del dispositivo che le spese
di distribuzione.
Per quanto riguarda i dispositivi danneggiati, è necessario
prestare attenzione alla qualità e alla garanzia offerte da
ciascun fornitore. I prodotti che si guastano di frequente
costeranno alla fine molto di più. Alcuni fornitori offrono
garanzia illimitata, mentre altri addebitano il costo di
eventuali servizi estesi.
5 White paper RSA
Le soluzioni che non si basano su dispositivi utente di
autenticazione spesso comportano spese per le transazioni
che devono essere calcolate nei costi complessivi di gestione.
Ad esempio, nel caso di una soluzione che fornisce una
password monouso per il telefono cellulare di un utente,
si deve considerare anche il costo del servizio di invio del
messaggio. Ciò richiede una stima sia del numero di transazioni
che del costo del servizio di messaggistica per transazione.
Suggerimento: richiedere al fornitore le metriche dei test e le
percentuali di guasto dei dispositivi. I dispositivi di elevata
qualità garantiscono una maggiore soddisfazione dell’utente
e riducono i costi di gestione e di distribuzione.
Esempio di costi complessivi di gestione (TCO)
La Figura 4 mostra un esempio di confronto dei costi
complessivi di gestione (TCO) per 250 utenti in un periodo
di cinque anni, considerando i fornitori A, B e C (fornitori
di sistemi di autenticazione a due fattori tradizionali). In
questo esempio, vengono analizzati tutti i costi descritti in
precedenza, presupponendo quanto di seguito indicato:
– Un amministratore deve essere in grado di gestire
un’installazione di 1.000 utenti, considerando che il
sistema è dotato di funzionalità self-service per gli utenti
che limita le chiamate all’help desk. Per lo scopo di questo
esercizio, viene calcolato un quarto del costo annuo di un
amministratore a tempo pieno, pari a 60.000 dollari.
– I dispositivi persi, rubati o non recuperabili rappresentano
per ogni anno il cinque per cento del totale dei dispositivi.
– I costi di distribuzione sono pari a 20 dollari per dispositivo.
– Il contratto standard per la fornitura di servizi professionali
ha una durata di cinque anni a un costo medio di
2.000 dollari al giorno.
Se una soluzione non include funzionalità selfservice
sarà necessario calcolare costi aggiuntivi,
poiché il personale IT dovrà occuparsi di problemi
che, in caso contrario, verrebbero gestiti senza
richiederne l’intervento.

Costi complessivi di gestione (TCO) in un periodo di cinque anni
Dispositivi di autenticazione $ 21.500
Server di autenticazione con funzionalità di backup e self-service
Manutenzione/assistenza – cinque anni
Costi di implementazione
Servizi professionali
Amministratore – cinque anni
Costi di sostituzione dei dispositivi persi – cinque anni
Reimplementazione di dispositivi persi
Costi complessivi di gestione (TCO) totali in cinque anni
Conclusioni
Sono molti i fattori da considerare per determinare i costi
complessivi di gestione di una soluzione di autenticazione
a due fattori, oltre al mero costo del dispositivo utente. Alcuni
fornitori cercano di promuoversi sul mercato come alternativa
economica, proponendo a prezzo concorrenziale il solo costo
del dispositivo. Esistono tuttavia altri costi, come quelli legati
ad hardware e software aggiuntivo, manutenzione ordinaria,
servizi professionali, nonché spese amministrative di varia
natura, che devono essere considerati per determinare i costi
complessivi di gestione reali di una soluzione di autenticazione
a due fattori.
Fornitore A Fornitore B Fornitore C
$ 16.500
$ 5.287 $ 1.250
$ 21.500 $ 39.500
$ 17.325 $ 26.875 $ 39.500
$ 5.000 $ 5.000 $ 5.000
$ 0 $ 10.000 $ 10.000
$ 75.000 $ 75.000 $ 75.000
$ 5.375 $ 1.321 $ 312
$ 1.250 $ 1.250 $ 1.250
$ 141.950 $ 146.233 $ 171.812
Figura 4. L’esempio mostra che, in un periodo di cinque anni, il fornitore A offre
i costi complessivi di gestione più bassi, nonostante i dispositivi utente che
fornisce siano i più costosi in assoluto tra quelli dei tre fornitori presi in esame.
White paper RSA
6

Scheda per il computo dei costi complessivi di gestione (TCO)
dell’autenticazione a due fattori
Dispositivi di autenticazione 1
Costi di garanzia estesa per i dispositivi 2
Costi di implementazione iniziale 3
Costi di sostituzione dispositivi persi 4
Dispositivi danneggiati – costi di sostituzione 5
Server di autenticazione
Server di backup per l’autenticazione
Modulo self-service utente
Manutenzione server di autenticazione 6
Server RADIUS
Manutenzione server RADIUS 7
Server di database
Manutenzione database 7
Costi per servizi professionali 8
Amministrazione/gestione 9
Costi help desk 10
Totale
Note
1 Costo iniziale per l’acquisto dei dispositivi.
2 Spese per l’estensione della garanzia dei dispositivi per tutto il periodo preso in analisi.
3 Stima del costo di implementazione dei primi dispositivi (circa 20 dollari/utente).
4 Costo per la sostituzione e la reimplementazione di dispositivi persi dall’utente (costo del dispositivo più costo dell’implementazione).
5 Costo per la sostituzione e la reimplementazione di dispositivi danneggiati o non funzionanti (costi dei dispositivi pari a zero se coperti
dalla garanzia del fornitore; i costi di reimplementazione vengono applicati comunque).
6 Spese di manutenzione annue per il server principale, più il server di backup, più il modulo self-service per gli utenti, moltiplicato per
il periodo di analisi dei costi complessivi di gestione (TCO).
7 Calcolare la spesa di manutenzione annuale per i prodotti di terze parti e moltiplicarla per il numero di anni per procedere al confronto
con i costi complessivi di gestione (TCO).
8 Preventivo del fornitore per installazione, integrazione, sviluppo di report personalizzati, implementazione e test.
9 Costo annuale stimato per il personale amministrativo necessario moltiplicato per il periodo di analisi dei costi complessivi di gestione (TCO).
10 Costo annuale stimato per il personale di help desk necessario moltiplicato per il periodo di analisi dei costi complessivi di gestione o TCO
(i costi saranno più elevati senza la funzionalità self-service per gli utenti).
7 White paper RSA
RSA Fornitore B Fornitore C
incl.
incl.
incl.
incl.
incl.
incl.
incl.
incl.
RSA e RSA Security sono marchi o marchi registrati di RSA Security Inc. negli Stati
Uniti e/o in altri paesi. EMC è un marchio registrato di EMC Corporation. Tutti gli altri
prodotti o servizi citati nel presente documento sono marchi registrati di proprietà
dei rispettivi titolari. © 2010 RSA Security Inc. Tutti i diritti riservati.
2FTCO WP 0110