Password sicure per l’azienda: il metodo semplice che migliora la difesa contro i furti d’identità digitali

In tante PMI che seguo, il problema non è la mancanza di strumenti, ma la confusione su come usarli. Le violazioni non partono da super attacchi: spesso basta una password debole o riutilizzata. Dopo anni tra helpdesk e reti, ho trovato un metodo semplice che alza subito l’asticella senza complicare la vita ai team. Non serve diventare esperti di crittografia: bastano una buona frase d’accesso, un password manager e l’attivazione dell’autenticazione a più fattori. Qui spiego come lo metto in pratica, in una settimana, con risultati misurabili.

Perché le password aziendali saltano per prime

Quando un account cade, di solito è per abitudini sbagliate: stesse credenziali in più servizi, aggiornamenti a caso del tipo “Inverno2023” che diventano “Inverno2024”, o password condivise via chat. Con lo smart working ho visto crescere il rischio: più app in cloud, più link di invito, più portali esterni per clienti e fornitori.

Gli attaccanti giocano su due leve: furto di database di terze parti e mail ingannevoli. Se avete riutilizzato la stessa password di un vecchio forum per la posta aziendale, loro la provano ovunque. E con una mail di convincente aspetto, portano l’utente su una pagina simile alla vostra, chiedendo il login. Qui l’unica rete di salvataggio è la combinazione tra frase d’accesso solida, gestione centralizzata e Autenticazione a più fattori.

Potrebbe interessarti anche

Minacce informatiche emergenti per le PMI: la tecnica di attacco che si diffonde silenziosamenteCrittografia end-to-end applicata ai dati aziendali: scopri il vantaggio concreto per la privacy dei tuoi clientiCos’è il cloud computing privato? Vantaggi pratici per le medie imprese italianeQual è il miglior hardware a noleggio per smart working? Scelte che riducono stress e imprevisti

C’è anche un tema normativo. Se gestite dati personali, una cattiva igiene delle credenziali mina i principi del Regolamento generale sulla protezione dei dati: riservatezza e integrità non sono negoziabili. Non servono suite costose: serve disciplina, e un metodo che tutti possano seguire.

Il metodo semplice: 3×3 Frase + Manager + MFA

Il cuore è una frase d’accesso lunga e memorizzabile, non una stringa impossibile. Io la chiamo 3×3 perché aiuta a ricordare lo schema: tre parole, tre separatori, tre numeri. Esempio puramente didattico (non usatelo): “tazzaPonteNeve-._613”. Le tre parole non devono avere legami tra loro, i separatori possono variare (trattino, punto, underscore), i numeri seguono una logica che ricordate voi. Risultato: più di 16 caratteri, con lettere maiuscole/minuscole se alternate le iniziali, simboli e numeri. Facile da digitare, difficile da indovinare.

Secondo passo: password manager aziendale. Anche nelle realtà da 10-30 persone fa la differenza. Vi toglie il peso di ricordare decine di credenziali e consente di generare password uniche per ogni servizio. Io preferisco soluzioni con vault condivisibili per team, audit dei login e policy centralizzate.

Terzo passo: MFA ovunque disponibile. Se un aggressore ruba la password, gli manca il secondo fattore. Prediligo app di autenticazione o chiavi fisiche: gli SMS restano meglio di nulla, ma sono più deboli.

• Definite lo standard: adottate la 3×3 come regola interna per la master password del manager e per gli account che richiedono memoria (PC, posta principale).
• Installate un password manager con piani business: create gruppi (Amministrazione, Vendite, IT) e cartelle condivise.
• Attivate MFA per gli account critici: posta, amministrazione cloud, contabilità, CRM.
• Impostate generatori automatici per tutti gli altri servizi: password lunghe 20+ caratteri, casuali, non memorizzate nella testa ma nel vault.
• Stabilite una recovery sicura: due admin con chiavi di recupero custodite offline in busta sigillata.

Mi è capitato di recente in una tipografia con 25 dipendenti: avevano 11 portali diversi per corrieri e fornitori, spesso con le stesse credenziali tra ufficio acquisti e magazzino. In mezza giornata abbiamo impostato le frasi 3×3 per gli account di base, creato il vault di reparto e abilitato MFA su posta e ERP cloud. La settimana dopo, l’IT interno vedeva già meno ticket “non ricordo la password”.

Come applicarlo in azienda in una settimana

Giorno 1 – Mappatura. Elenco rapido degli account per reparto e dei servizi in cloud. Niente perfezionismi: partite da posta, amministrazione, vendite, file sharing e gestione progetti. Identificate chi è owner di ogni servizio.

Giorno 2 – Scelta e set-up del password manager. Create tenant aziendale, gruppi, policy: lunghezza minima 20, niente riuso, check delle violazioni note. Preparate una breve guida in PDF con screenshot su come installare le estensioni del browser.

Giorni 3-4 – Formazione operativa. Sessioni da 45 minuti per team: si crea insieme la 3×3 personale, si salva nel vault, si attiva MFA sugli account principali. Mostro sempre la differenza tra “Inverno2024!” e una frase 3×3: la prima è già nei dizionari di attacco, la seconda no. Un lettore mi ha chiesto se “parole casuali italiane” bastano: sì, se sono indipendenti e non ovvie.

Giorno 5 – Enforcement. IT applica le policy: disabilita il salvataggio password del browser dove possibile, obbliga MFA su Microsoft 365/Google Workspace, migra credenziali condivise dal foglio Excel al vault di reparto. Qui serve polso: si spiega perché, si mostrano i vantaggi (autocompilazione, audit) e si fissa una data oltre la quale i vecchi metodi non sono accettati.

Giorni 6-7 – Bonifica e verifica. Si rigenerano password critiche (amministrazione, contabilità online, banking), si rivedono le condivisioni (solo chi deve vedere), si prova il recovery: un admin simula la perdita del dispositivo e verifica che si riesca a rientrare in sicurezza.

Risultato tipico che vedo: entro due settimane, niente più riuso tra servizi, MFA attivo dove conta, riduzione degli accessi sospetti segnalati dal provider di posta. E soprattutto, più serenità: le persone sanno cosa fare.

Errori da evitare

• Ruotare spesso password deboli. Meglio una frase lunga e stabile, con MFA, che cambi mensili inutili.
• Usare la stessa base con variazioni minime: “ProgettoA-613” diventa “ProgettoB-614”. Gli attaccanti lo capiscono.
• Affidarsi solo agli SMS per la MFA. Preferite app o chiavi hardware per gli account amministrativi.
• Condividere interi vault di reparto senza criterio. Condividete per voce, non per cassaforte intera.
• Lasciare attivo il salvataggio del browser se c’è un password manager. Crea duplicati e confusione.
• Dimenticare gli account ex dipendenti. Revoca immediata e rotazione delle credenziali condivise.

Domande rapide dal campo

Ogni quanto devo cambiare la frase 3×3? Se è lunga, unica e protetta da MFA, la cambio solo in caso di sospetta esposizione o quando una policy lo richiede. Concentrate gli sforzi nel non riutilizzarla altrove.

E gli amministratori? Per gli account admin, oltre alla 3×3 e MFA con chiavi fisiche, separate gli ambienti: un account per uso quotidiano senza privilegi e uno elevato da usare solo quando serve.

E se il password manager “va giù”? Tenete credenziali critiche stampate in busta chiusa o su smart card custodita in cassaforte, aggiornate a ogni rotazione. Testate il piano di continuità ogni trimestre.

BYOD e dispositivi personali? Consentite l’uso del manager solo con profili separati o container aziendali. MFA obbligatoria, blocco schermo e disco cifrato. Se un utente non accetta queste regole, niente accesso ai sistemi aziendali.

Chiudo con un invito pratico: partite oggi dalla posta aziendale. Frase 3×3, password manager installato, MFA attiva. In 20 minuti avete alzato drasticamente la soglia per chi tenta di rubare identità. Il resto viene di conseguenza, con ordine e buon senso.