Password e autenticazione a due fattori: come proteggere gli accessi in azienda

In breve: Le linee guida NIST SP 800-63B richiedono password lunghe (almeno 15 caratteri se sono l'unico fattore), vietano regole di composizione obbligatorie e cambi periodici forzati. Raccomandano blocklist, password manager e autenticazione resistente al phishing. In azienda l'autenticazione a due fattori su posta, pannelli e gestionali è la misura che pesa di più.

Un attacco informatico raramente comincia con un genio che rompe un sistema. Più spesso comincia con una password trovata, indovinata o rubata. Per questo le regole su come si scelgono e si proteggono gli accessi contano più di quasi ogni altra misura. Le indicazioni che seguono si basano sulle linee guida del NIST (l'istituto americano che pubblica gli standard di riferimento), nella versione SP 800-63B-4.

Le regole sulle password che sono cambiate

Per anni ci hanno insegnato a usare maiuscole e numeri e simboli e a cambiare la password ogni novanta giorni. Le linee guida attuali dicono altro:

• Lunghezza prima di tutto. Almeno 15 caratteri se la password è l'unico fattore. Almeno 8 se si aggiunge un secondo fattore. I sistemi dovrebbero accettare fino ad almeno 64 caratteri, spazi inclusi.
• Nessuna regola di composizione obbligatoria. Non si impongono maiuscole, numeri e simboli.
• Nessun cambio periodico forzato. Si cambia quando c'è un indizio di compromissione.
• Controllo contro elenchi di password note. Una password già comparsa in un furto di dati o fin troppo comune va rifiutata.
• Incolla e password manager ammessi. Impedire di incollare spinge a scegliere password più deboli.

Il risultato pratico è una frase lunga e unica per ogni servizio che nessuno ricorda a memoria e che un password manager custodisce.

Il password manager

Un programma che genera e conserva una password diversa per ogni account. Si ricorda solo la password principale, lunga. Si protegge con un secondo fattore. Per un'azienda esistono versioni con condivisione tra colleghi e permessi: le credenziali comuni (hosting, social, gestionale) non circolano più per email o fogli di calcolo.

L'autenticazione a due fattori

Oltre alla password serve una seconda prova: qualcosa che hai (un telefono, una chiave) o che sei (l'impronta). Una password rubata da sola non basta più. Dove attivarla per prima:

1. Posta elettronica aziendale: da lì si reimpostano tutte le altre password.
2. Pannelli di gestione: hosting, dominio, DNS, Cloudflare e simili.
3. Amministrazione del sito: WordPress, WooCommerce, Shopify, gestionale.
4. Servizi di pagamento e banca.
5. Social e strumenti pubblicitari.
6. Repository di codice e strumenti di sviluppo.

Quale secondo fattore scegliere

• SMS: meglio di niente. Può essere intercettato o dirottato con la sostituzione della SIM.
• App di autenticazione (codici temporanei): più solida dell'SMS.
• Chiavi di sicurezza fisiche e passkey (standard WebAuthn/FIDO2): resistenti al phishing perché legate al sito vero. Il NIST specifica che i codici da digitare a mano non sono resistenti al phishing.

Gli accessi dei collaboratori

• Un account per persona. Mai password condivise per utenti diversi: non sai chi ha fatto cosa.
• Pochi privilegi. Ognuno accede a ciò che serve al suo lavoro.
• Revoca immediata. Quando un collaboratore o un fornitore se ne va si chiudono i suoi accessi lo stesso giorno.
• Un elenco aggiornato di chi ha accesso a cosa.

Cosa fare se un account è stato compromesso

1. Cambia la password da un dispositivo pulito.
2. Termina tutte le sessioni aperte.
3. Controlla regole di inoltro della posta e app collegate: gli attaccanti ne creano di nascoste.
4. Cambia le password degli account che usavano la stessa o che si recuperano via quella posta.
5. Se coinvolti dati personali valuta l'obbligo di notifica al Garante entro 72 ore.

Una lista di controllo

1. Tutti usano un password manager?
2. La posta e i pannelli hanno il secondo fattore?
3. Nessuna password condivisa in chat o fogli?
4. Elenco di accessi aggiornato e account di ex collaboratori chiusi?
5. Le credenziali predefinite dei dispositivi sono state cambiate?

Approfondimenti: phishing aziendale · ransomware · presidio e manutenzione

Domande frequenti

Quanto deve essere lunga una password?

Il NIST (SP 800-63B-4) richiede almeno 15 caratteri quando la password è l'unico fattore di autenticazione e almeno 8 quando fa parte di un'autenticazione a più fattori. I sistemi dovrebbero permettere almeno 64 caratteri.

Conviene far cambiare le password ogni tre mesi?

No. Il NIST stabilisce che non si devono imporre cambi periodici. La password va cambiata quando ci sono prove di compromissione.

Serve imporre maiuscole, numeri e simboli?

No. Il NIST vieta di imporre altre regole di composizione. Contano la lunghezza e il fatto che la password non sia in un elenco di password note o già compromesse.

Un SMS con un codice è una buona seconda verifica?

È meglio di niente ma non è resistente al phishing. Il NIST precisa che OTP inseriti manualmente e autenticazioni out-of-band non sono resistenti al phishing. Passkey e chiavi di sicurezza basate su WebAuthn lo sono.