Password, MFA e igiene digitale in azienda

La maggior parte degli attacchi informatici a una PMI non parte da un genio del codice, ma da una password debole o riutilizzata. Non serve un budget da grande banca per difendersi: serve disciplina su poche misure che, messe insieme, abbattono il rischio in modo sproporzionato rispetto al costo. L’igiene digitale è come l’igiene sanitaria: banale a dirsi, decisiva a farsi. Vediamo cosa conta davvero e come impostarla senza trasformare il lavoro in un calvario.

Perché le password restano il punto debole

Il problema non è che le password non funzionino, ma come vengono usate. Tre errori ricorrenti spiegano gran parte delle violazioni:

• Riutilizzo: la stessa password su più servizi. Se un sito viene bucato, chi ha rubato le credenziali le prova ovunque (è il cosiddetto credential stuffing).
• Debolezza: password corte, con nomi, date o parole di dizionario, che un software indovina in secondi.
• Condivisione informale: credenziali passate via chat o e-mail, appuntate su fogli, note nel gestionale.

La conseguenza pratica: basta una fuga di dati su un servizio esterno perché l’aggressore entri nella posta aziendale, nel gestionale o nell’e-banking.

Le regole minime sulle password

Le raccomandazioni serie oggi non parlano più di “cambia la password ogni 30 giorni”. Il consenso attuale è diverso e più efficace:

1. Lunghezza prima di complessità: una passphrase lunga (più parole non correlate) batte una password corta piena di simboli.
2. Una password diversa per ogni servizio: mai riutilizzarla.
3. Cambio solo in caso di sospetto: la rotazione forzata frequente peggiora le cose, perché spinge a varianti prevedibili.
4. Nessuna condivisione in chiaro: credenziali comuni gestite solo tramite strumenti dedicati.

Ricordare decine di password diverse è impossibile a mano. Qui entra in gioco lo strumento chiave.

Il gestore di password

Un gestore di password (password manager) genera, conserva e compila credenziali robuste e uniche, protette da un’unica password principale forte. Per una PMI cambia il gioco: elimina il riutilizzo, permette di condividere l’accesso a un servizio senza rivelare la password, e consente di revocare l’accesso di un collaboratore che lascia l’azienda in un clic. È l’investimento con il miglior rapporto costo-beneficio in tutta la sicurezza aziendale.

MFA: la difesa che conta di più

Se puoi attivare una sola misura, attiva l’autenticazione a più fattori (MFA, multi-factor authentication). Aggiunge un secondo elemento oltre alla password: un codice temporaneo da app, una notifica sul telefono, una chiave fisica. Anche se qualcuno ruba la password, senza il secondo fattore non entra.

Alcune precisazioni pratiche:

• App di autenticazione o chiavi fisiche sono più sicure dell’SMS, intercettabile con il SIM swapping. Meglio l’SMS che niente, ma se puoi scegli l’app.
• Attiva l’MFA prima di tutto sugli account critici: posta aziendale, e-banking, gestionale, accessi amministrativi, servizi cloud.
• La posta è spesso la chiave di volta: chi la controlla può reimpostare le password di quasi tutto il resto.

L’anello umano: phishing e buon senso

La tecnologia non basta se una persona consegna le chiavi. Il phishing — messaggi che imitano fornitori, banche o colleghi per rubare credenziali o indurre pagamenti — resta il vettore più diffuso. Le frodi del tipo “cambio IBAN del fornitore” o “ordine urgente del capo” colpiscono aziende di ogni dimensione.

Le abitudini che riducono il rischio:

• Diffidare dell’urgenza: la pressione a fare in fretta è la firma della truffa.
• Verificare i pagamenti su un secondo canale: una modifica di coordinate bancarie si conferma per telefono, non via e-mail.
• Controllare mittente e link prima di cliccare, senza fidarsi del nome visualizzato.

Le altre misure di igiene digitale

Oltre a password e MFA, poche pratiche completano la difesa di base:

• Aggiornamenti: sistemi, browser e applicazioni aggiornati chiudono falle note. Rimandare è un rischio concreto.
• Backup: copie regolari, testate e conservate anche offline. Sono la vera difesa contro il ransomware.
• Accessi minimi: ogni persona ha solo i permessi che le servono; gli account di chi lascia l’azienda si disattivano subito.
• Protezione dei dispositivi: cifratura di portatili e telefoni, blocco schermo, antivirus aggiornato.

Nessuna di queste è complicata. La difficoltà è la costanza, ed è lì che serve una regola scritta.

Come impostarlo in azienda

Una policy di sicurezza di una pagina, capita da tutti, vale più di un documento tecnico che nessuno legge. Deve dire in modo chiaro: come si gestiscono le password, dove è obbligatoria l’MFA, come si verificano i pagamenti, chi contattare in caso di dubbio. Non è un tema informatico astratto: la protezione degli accessi tocca direttamente la protezione dei dati di clienti e collaboratori richiesta dalla nuova legge svizzera (nLPD).

SIH ONE è un gruppo fiduciario AI-native: la sicurezza degli accessi e la protezione dei dati sono parte del modo in cui trattiamo le informazioni dei clienti. Ti aiutiamo a impostare regole di igiene digitale proporzionate alla tua realtà, senza appesantire il lavoro quotidiano.

Vuoi mettere in sicurezza gli accessi della tua azienda senza complicarti la vita? Parliamone insieme.