Autenticazione a due fattori e password aziendali: guida pratica

L'autenticazione a due fattori chiede, oltre alla password, una seconda prova che solo tu puoi dare: un codice generato da un'app sul telefono, una conferma su un dispositivo registrato, una chiave di sicurezza fisica o una passkey. Così, anche se qualcuno ruba o indovina la password, non riesce a entrare. Insieme a password lunghe e diverse per ogni servizio, conservate in un gestore di password aziendale, è la misura di sicurezza con il miglior rapporto tra sforzo e risultato che una piccola impresa possa adottare.

Molti degli accessi abusivi a caselle email, pannelli di siti e servizi cloud non richiedono abilità particolari: basta una password riutilizzata, finita in una delle tante raccolte di credenziali rubate che circolano in rete.

Perché la password da sola non basta più?

Per tre ragioni molto concrete:

• le password vengono riutilizzate: quella della casella aziendale è spesso la stessa di un vecchio account su un sito violato anni fa. Chi la trova la prova automaticamente su decine di servizi;
• il phishing funziona: una pagina di accesso falsa ben fatta inganna anche persone attente, e la password finisce direttamente all'attaccante;
• le password deboli si indovinano: nomi, date, il nome dell'azienda seguito dall'anno restano tra le scelte più comuni.

Il secondo fattore spezza questa catena: la password da sola non apre più la porta.

Quali metodi di autenticazione a due fattori esistono?

Non sono tutti uguali. In ordine, dal meno al più sicuro:

1. Codice via SMS. Meglio di niente, ma è il metodo più debole: gli SMS possono essere intercettati o dirottati con il trasferimento fraudolento del numero su un'altra SIM, e il codice si può consegnare a una pagina di phishing.
2. Codice da un'app di autenticazione. Un'app sul telefono genera un codice che cambia ogni 30 secondi. Più robusto degli SMS, ma anche questo codice può essere carpito da una pagina falsa se la persona lo digita.
3. Notifica da approvare sul telefono. Comoda, ma esposta agli attacchi «a sfinimento», in cui l'attaccante invia decine di richieste sperando che qualcuno tocchi «approva». Le versioni migliori chiedono di digitare un numero mostrato sullo schermo, e questo riduce molto il rischio.
4. Passkey e chiavi di sicurezza. Basate sugli standard FIDO, sono resistenti al phishing: la chiave verifica da sola di parlare con il sito vero, e su un sito falso semplicemente non funziona. Le passkey possono vivere nel telefono, nel computer o nel gestore di password; le chiavi fisiche sono piccoli dispositivi da tenere sul portachiavi.

Per gli account più importanti, come quelli degli amministratori e della posta del titolare, consiglio di arrivare all'ultimo livello.

Dove attivo per primo il doppio fattore?

Se devi scegliere da dove cominciare, l'ordine che seguo è questo:

1. la posta elettronica, perché da lì si reimpostano tutte le altre password;
2. il registrar del dominio e il DNS: chi li controlla può dirottare sito e posta;
3. l'hosting e il pannello di amministrazione del sito o dell'e-commerce;
4. i servizi cloud con documenti e archivi aziendali;
5. il gestionale, il CRM e gli strumenti con dati dei clienti;
6. i servizi di pagamento e gli strumenti di contabilità;
7. i gestori di password, che vanno protetti con particolare cura.

Per le banche, il doppio fattore è già obbligatorio da anni grazie alle regole europee sui pagamenti.

Cosa dicono le linee guida più recenti sulle password?

Uno dei riferimenti più citati è la pubblicazione NIST SP 800-63B dell'istituto di standard statunitense, la cui quarta revisione è stata pubblicata nel 2025. Alcune indicazioni smentiscono abitudini molto diffuse nelle aziende:

• la lunghezza conta più della complessità: per le password usate come unico fattore viene indicata una lunghezza minima di 15 caratteri, e i sistemi devono accettare password lunghe, anche frasi intere;
• niente regole di composizione obbligatorie del tipo «almeno una maiuscola, un numero e un simbolo»: producono password prevedibili come «Azienda2026!»;
• niente cambio periodico obbligatorio: la password si cambia quando c'è il sospetto che sia stata compromessa, non ogni novanta giorni;
• controllo contro le password note: i sistemi devono rifiutare le password presenti negli elenchi di quelle già violate o troppo comuni.

Quando sviluppo un gestionale o un portale con accesso per utenti, applico queste indicazioni: password lunghe ammesse, nessuna regola artificiosa, verifica contro gli elenchi di password violate, doppio fattore disponibile per tutti e obbligatorio per gli amministratori.

Come si gestiscono le password in un'azienda?

Con un gestore di password aziendale. È un programma che genera e conserva password lunghe e uniche per ogni servizio, le compila in automatico e permette di condividerle in modo controllato tra colleghi.

I vantaggi per una piccola impresa:

• ognuno ricorda una sola password robusta, quella del gestore, protetta dal doppio fattore;
• le credenziali condivise (ad esempio il pannello di un fornitore) si assegnano a chi serve e si revocano quando una persona esce;
• si vede quali password sono deboli, riutilizzate o comparse in violazioni note;
• sparisce il foglio Excel con le password sul desktop, o il quaderno nel cassetto.

Cosa faccio con gli account condivisi?

Il più possibile, evitali: un account per persona permette di sapere chi ha fatto cosa e di togliere l'accesso a una sola persona senza cambiare la password a tutti. Quando un servizio non lo permette, la password condivisa va nel gestore, con il doppio fattore legato a un dispositivo o a una chiave dell'azienda, non al telefono personale di un dipendente.

E se perdo il telefono con il secondo fattore?

È la paura più comune, e si gestisce con un po' di preparazione:

• quando attivi il doppio fattore, salva i codici di recupero che il servizio ti propone, nel gestore di password o stampati in un luogo sicuro;
• registra almeno due metodi, ad esempio l'app sul telefono e una chiave fisica di riserva;
• per gli account aziendali critici, assicurati che un secondo amministratore possa reimpostare l'accesso.

Cosa succede quando un collaboratore lascia l'azienda?

È il momento in cui si vede se gli accessi sono gestiti bene. In un'azienda ordinata la procedura è breve: si disattiva l'account della persona sui servizi principali, si revocano le sue sessioni attive, si tolgono i suoi dispositivi dal doppio fattore, si rimuove l'accesso alle password condivise nel gestore e si cambiano solo quelle credenziali comuni che conosceva.

In un'azienda dove le password sono condivise a voce e scritte su fogli, invece, la stessa uscita significa cambiare decine di password a mano, sperando di non dimenticarne nessuna. Spesso non lo fa nessuno, e l'ex collaboratore conserva accessi per anni. Non è quasi mai una questione di malafede, ma è un rischio inutile: un suo account personale violato può aprire la porta dell'azienda.

Vale la pena tenere un elenco degli accessi per persona, da aggiornare quando qualcuno entra, cambia ruolo o esce.

Come convinco i colleghi ad attivarlo?

Spiegando il perché con esempi concreti, e rendendo la cosa semplice: una mezz'ora insieme per configurare app, gestore e codici di recupero vale più di dieci circolari. E dando l'esempio: il titolare è spesso l'ultimo ad attivarlo, ed è anche quello con gli accessi più preziosi.

Ne parliamo?

Se vuoi mettere ordine negli accessi della tua azienda, a partire da posta, dominio e sito, scrivimi dalla pagina contatti. Ti aiuto a scegliere gestore di password e metodi di autenticazione con una consulenza tecnica, e se ti serve un portale per i clienti o uno strumento interno lo costruisco con accessi sicuri fin dall'inizio. Per riconoscere le trappole che mirano proprio alle password, leggi la guida al phishing aziendale.

Fonti

• NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management
• FIDO Alliance, Passkeys

Crediti delle immagini

• Copertina: foto di Dan Nelson su Unsplash