Un account Microsoft 365 compromesso, una VPN protetta da una password riutilizzata o l’accesso al NAS lasciato a un ex collaboratore possono bloccare il lavoro di un intero ufficio. Le migliori pratiche password aziendali non servono a complicare la giornata alle persone: servono a evitare accessi non autorizzati, perdite di dati, frodi via email e costosi fermi operativi.
Per una piccola o media impresa, la gestione delle credenziali deve essere semplice da applicare e verificabile nel tempo. Una policy irrealistica viene aggirata; una policy chiara, accompagnata dagli strumenti adatti, protegge computer, servizi cloud, firewall, Wi-Fi, backup e archivi condivisi senza rallentare l’operatività.
Perché una sola password debole può diventare un problema aziendale
Le password non proteggono soltanto la posta elettronica. Spesso sono la prima barriera davanti a documenti contabili, dati personali di clienti e dipendenti, cartelle di rete, gestionali, accessi remoti e pannelli di amministrazione. Se un utente utilizza la stessa password per più servizi e uno di questi subisce una violazione, le credenziali possono essere provate automaticamente anche sugli altri account.
Il rischio aumenta negli ambienti misti, molto comuni negli studi e nelle PMI di Roma: Mac Windows, iPhone, servizi Microsoft 365 o Google Workspace, NAS QNAP, stampanti di rete, firewall e accessi in smart working. Non tutti questi sistemi richiedono la stessa configurazione, ma tutti devono rientrare in un disegno coerente di identità, permessi e controllo degli accessi.
Va considerato anche l’errore umano. Le campagne di phishing sono sempre più credibili: una password eccellente può essere comunque sottratta se un dipendente la inserisce su una falsa pagina di accesso. Per questo la sicurezza non si risolve imponendo caratteri speciali: richiede password uniche, autenticazione a più fattori, formazione essenziale e procedure di gestione.
Migliori pratiche password aziendali: le regole che funzionano
La prima regola è eliminare il riutilizzo delle password. Ogni account aziendale deve avere una credenziale diversa, soprattutto per email, servizi cloud, VPN, pannelli del firewall, NAS e software gestionali. Usare varianti della stessa password, ad esempio cambiando solo un numero finale, non offre una protezione adeguata.
La seconda regola riguarda la lunghezza. Una passphrase lunga e unica è in genere più efficace e più facile da ricordare di una parola breve trasformata con simboli prevedibili. Frasi composte da più parole non correlate, create dal password manager o definite secondo criteri aziendali, riducono il rischio di tentativi automatici. Per gli account più sensibili, come amministratori di dominio, tenant cloud e apparati di rete, è preferibile usare password casuali generate dal gestore di credenziali, senza tentare di memorizzarle.
La scadenza obbligatoria frequente non è sempre la soluzione migliore. Se si chiede agli utenti di cambiare password ogni 30 o 60 giorni senza un motivo concreto, molti adottano sequenze prevedibili o annotano le credenziali in modo non sicuro. È più utile intervenire quando esiste un sospetto di compromissione, quando cambia il ruolo dell’utente, dopo la cessazione di un rapporto di lavoro o quando il sistema rileva credenziali esposte. Alcuni settori o procedure interne possono richiedere rotazioni periodiche: in quel caso vanno applicate, ma con un password manager e controlli aggiuntivi.
Una policy efficace dovrebbe stabilire almeno questi quattro punti:
- password diverse per ogni servizio e divieto di condivisione tra colleghi;
- passphrase lunghe o password casuali generate da uno strumento centralizzato;
- autenticazione a più fattori obbligatoria sugli account che la supportano;
- procedura immediata per accessi sospetti, smarrimento di dispositivi e uscita del personale.
Le regole devono valere anche per titolari, amministratori e consulenti esterni. L’account condiviso chiamato “ufficio”, “amministrazione” o “supporto” rende impossibile capire chi ha effettuato un’azione e complica la revoca degli accessi. Quando un’applicazione impone un account comune, occorre limitarlo al minimo indispensabile, custodirne la password in un vault protetto e registrare chi può utilizzarlo.
Il password manager evita scorciatoie rischiose
Un password manager aziendale è uno degli strumenti più utili per rendere applicabili le regole. Genera credenziali complesse, le conserva cifrate, le compila sui siti autorizzati e permette di condividere in modo controllato gli accessi necessari a un reparto. Soprattutto, evita fogli Excel, post-it, chat e documenti non protetti con elenco di username e password.
Per una PMI è preferibile una soluzione con gestione centralizzata: ruoli separati, gruppi di utenti, registri delle attività, recupero controllato degli account e possibilità di revocare l’accesso senza dover cambiare manualmente ogni credenziale. La scelta dipende dal numero di persone, dai dispositivi utilizzati e dai servizi già presenti. Un piccolo studio può avere esigenze diverse da un’azienda con sedi, tecnici esterni e lavoro da remoto.
Il password manager non sostituisce il giudizio dell’utente. Prima di inserire le credenziali, bisogna verificare il dominio del sito, diffidare da richieste urgenti via email e non approvare notifiche MFA che non sono state richieste. La formazione deve essere breve e ricorrente, con esempi pratici legati alle situazioni reali dell’ufficio.
MFA: la protezione da attivare subito
L’autenticazione a più fattori, spesso indicata come MFA, richiede una seconda conferma oltre alla password. Può essere un codice generato da un’app, una notifica da approvare, una chiave fisica di sicurezza o un altro fattore supportato dal servizio. Se una password viene rubata, l’attaccante non può accedere senza questa ulteriore verifica.
L’MFA va resa obbligatoria almeno per posta elettronica, servizi cloud, VPN, accessi amministrativi, piattaforme di contabilità e portali che trattano dati personali o pagamenti. L’SMS può essere disponibile come soluzione di emergenza, ma quando possibile è preferibile un’app di autenticazione o una chiave hardware: offrono maggiori garanzie contro intercettazioni e tentativi di inganno.
Occorre però pianificare il recupero. Se un dipendente cambia telefono o lo perde, l’azienda deve sapere chi può ripristinare l’accesso e con quali verifiche. I codici di recupero non devono restare nella casella email dell’utente o nelle note del cellulare: vanno conservati in modo protetto e accessibile ai soli responsabili autorizzati.
Account amministrativi, rete e backup richiedono controlli separati
L’errore più pericoloso è usare l’account quotidiano, quello con cui si legge la posta e si naviga, anche per amministrare server, firewall, NAS o tenant cloud. Gli amministratori dovrebbero disporre di un account nominativo standard e di uno separato, utilizzato solo per le attività tecniche. In questo modo un eventuale phishing sull’account ordinario non concede automaticamente privilegi elevati.
Anche le password predefinite meritano attenzione. Router, switch, access point, stampanti, NAS e dispositivi IoT vengono talvolta installati rapidamente e poi dimenticati. Ogni apparato deve avere credenziali amministrative modificate, aggiornamenti verificati e accesso al pannello limitato alla rete interna o a canali remoti autorizzati. Esporre direttamente su Internet un’interfaccia di gestione è una scelta da valutare con estrema cautela.
I backup devono essere protetti con lo stesso rigore dei dati originali. Se un ransomware riesce a raggiungere il NAS o il repository di backup usando credenziali troppo permissive, il ripristino può diventare impossibile. Servono account dedicati, permessi minimi, copie separate e verifiche periodiche del recupero dei dati.
Gestire ingressi, cambi ruolo e uscite senza lasciare accessi aperti
La sicurezza delle password è anche un processo organizzativo. Quando entra una nuova persona, gli accessi devono essere creati in base al ruolo effettivo, non copiando indiscriminatamente quelli di un collega. Quando cambiano mansione o reparto, i privilegi non più necessari vanno rimossi. Quando termina una collaborazione, la disattivazione degli account deve avvenire subito, non alla fine della settimana.
È utile mantenere un inventario aggiornato degli account critici, degli amministratori, delle licenze e dei dispositivi assegnati. Non serve trasformare una piccola impresa in una grande struttura burocratica: basta sapere chi accede a cosa, con quale livello di autorizzazione e chi interviene in caso di emergenza.
Per gli studi professionali e le aziende che trattano dati personali, queste procedure supportano anche gli obblighi di protezione previsti dal GDPR. La conformità non deriva da un singolo documento, ma dalla capacità di dimostrare che accessi, autorizzazioni e misure tecniche sono gestiti in modo ragionato e proporzionato.
Da dove partire in una PMI
Il primo passo concreto è un controllo degli account più esposti: email, cloud, VPN, firewall, NAS e gestionali. Si verifica chi possiede privilegi amministrativi, si eliminano gli utenti non più attivi, si attiva l’MFA e si introduce un password manager dove manca. Successivamente si definisce una policy breve, la si comunica al personale e si pianificano verifiche periodiche.
MacWin 2005 può affiancare aziende e studi di Roma nella revisione delle credenziali, nella configurazione degli accessi remoti, nella protezione di reti, NAS e servizi cloud, con interventi mirati all’infrastruttura realmente presente. La scelta più efficace non è quella con più regole, ma quella che il personale riesce a rispettare ogni giorno e che continua a proteggere il lavoro quando serve davvero.
