Le regole che conosci producono post-it
Almeno una maiuscola, un numero e un simbolo. Cambio obbligatorio ogni tre mesi. Mai uguale alle ultime cinque. Sono regole ancora diffuse, e ottengono quasi sempre lo stesso risultato: Primavera#2025 diventa Estate#2025, poi Autunno#2025, e la versione in uso finisce su un foglietto attaccato al monitor dell'amministrazione.
Le linee guida sull'identità digitale del NIST, l'istituto statunitense per gli standard tecnologici (pubblicazione SP 800-63B, "Digital Identity Guidelines"), sono un riferimento citato ben oltre gli Stati Uniti, e su diversi punti vanno nella direzione opposta. Privilegiano la lunghezza rispetto alla complessità, sconsigliano le regole di composizione obbligatorie e il cambio periodico forzato senza motivo. Chiedono invece di cambiare la password quando c'è evidenza che sia stata compromessa, e di confrontare quelle nuove con elenchi di password già trapelate o troppo comuni.
Regola di una volta, cosa si fa oggi
| Regola di una volta | Cosa si fa oggi |
|---|---|
| Maiuscola, numero e simbolo obbligatori | Password lunghe, anche frasi di più parole, senza schemi di composizione imposti |
| Cambio forzato ogni pochi mesi | Cambio quando c'è un sospetto o una prova di compromissione |
| Nessun controllo sulle password scelte | Confronto con gli elenchi di password trapelate o troppo comuni |
| Vietato incollare la password nel campo di accesso | Incolla consentito, così il password manager può fare il suo lavoro |
| Domande di sicurezza, come il nome del primo animale | Recupero dell'accesso verificato, con un secondo fattore |
| Foglio Excel con le credenziali condivise | Cassaforte condivisa nel password manager, con permessi per reparto |
| Password come unica protezione | Password più MFA sugli accessi che contano |
Lunga batte complicata
Una password è difficile da indovinare se è lunga e imprevedibile, non se ha un cancelletto sempre nello stesso punto. Una passphrase, cioè una frase di più parole slegate tra loro, è più lunga di qualsiasi password "complessa" e si ricorda meglio. È la scelta giusta per le poche password che vanno tenute a memoria: quella del computer e quella del password manager. Non funziona se le parole sono una citazione famosa, il nome dell'azienda o la squadra del cuore.
Il password manager aziendale, e come si introduce
Nessuno ricorda decine di password lunghe e diverse: senza uno strumento, le persone le riusano o le scrivono. Il password manager le genera, le conserva cifrate e le compila al posto tuo. Ha anche un effetto collaterale utile: associa ogni password al sito giusto, e non la propone su una pagina falsa con un indirizzo diverso.
- Scegli una soluzione aziendale, non le estensioni personali di ciascuno: l'azienda deve poter gestire utenti, gruppi e uscite.
- Proteggi l'accesso al password manager con una passphrase e l'MFA: è la chiave di tutte le altre.
- Parti dalle credenziali condivise: il portale della banca usato dall'amministrazione, il sito del corriere usato dal magazzino, i pannelli dei fornitori. Escono dal foglio Excel ed entrano in una cassaforte condivisa per reparto, visibile solo a chi ne ha bisogno.
- Accompagna le persone: mezz'ora di introduzione e qualcuno a cui chiedere nelle prime settimane valgono più di una circolare.
- Elimina il foglio vecchio, con le sue copie nella posta e nelle cartelle condivise, quando la migrazione è finita.
Riuso, account di servizio, password di fabbrica
- Mai riusare la password aziendale altrove. Quando un sito di acquisti online o un forum subisce una violazione, gli attaccanti provano le stesse coppie di email e password su Microsoft 365 e sulle VPN aziendali. La password del lavoro serve solo al lavoro.
- Credenziali condivise e account di servizio. L'utenza "magazzino" usata da quattro persone e l'account con cui il gestionale esegue il backup non hanno un proprietario naturale, e per questo restano uguali per anni. Ognuno va intestato a un responsabile, conservato nel password manager e cambiato quando chi lo conosce cambia ruolo.
- Password di default. Stampanti, router, telecamere e centralini escono di fabbrica con credenziali note, scritte nei manuali che chiunque può scaricare. Vanno cambiate all'installazione, e verificate sui dispositivi che sono già in rete da tempo.
Quando una persona esce
Il giorno in cui un collega lascia l'azienda si disattiva il suo account, ma spesso si dimentica quello che conosceva: le credenziali condivise del reparto, gli account di servizio, i pannelli dei fornitori. Con un password manager si sa a quali casseforti aveva accesso, e quindi quali password cambiare. La procedura completa è nella guida su ingressi, cambi di ruolo e uscite.
La password è solo il primo livello
Anche la password migliore può essere rubata con una pagina falsa o da un computer infetto. Per questo sugli accessi che contano (posta, accesso remoto, account amministrativi) va affiancata da un secondo fattore: come sceglierlo e da dove cominciare è spiegato nella guida sull'autenticazione a più fattori. E poiché uno dei modi più comuni per rubare una password resta l'inganno, vale la pena leggere anche come si riduce il phishing.
In sintesi
Le regole più diffuse, composizione obbligatoria e cambio ogni pochi mesi, sono superate: oggi contano lunghezza, password mai riusate e un cambio solo quando c'è un motivo. Un password manager aziendale rende tutto questo sostenibile e sostituisce il foglio Excel delle credenziali condivise, mentre l'MFA protegge quando la password finisce comunque nelle mani sbagliate.