Un dipendente lascia l’azienda, ma il suo account resta attivo per settimane. Un collaboratore esterno conserva l’accesso amministrativo ben oltre la fine dell’incarico. Sono situazioni comuni, eppure rappresentano vulnerabilità che un aggressore può sfruttare in pochi minuti. Proteggere gli accessi professionali non significa limitarsi a scegliere una buona password: richiede una serie di decisioni tecniche e organizzative che una guida digitale aiuta a strutturare.
Autenticazione a più fattori: non tutti i metodi offrono la stessa protezione
Vi è mai capitato di ricevere un codice via SMS per confermare un accesso? Questo meccanismo si chiama autenticazione a più fattori (MFA). Il principio è semplice: dimostrare la propria identità con almeno due elementi distinti, per esempio una password e un codice temporaneo ricevuto su un altro dispositivo.
Il rischio è credere che tutti i sistemi MFA offrano lo stesso livello di protezione. Nel marzo 2025, la CNIL ha pubblicato una raccomandazione che distingue le passkey dall’autenticazione a più fattori tradizionale. Una passkey non è automaticamente considerata un’autenticazione a più fattori. Questa distinzione cambia il modo in cui un’azienda valuta le opzioni proposte dai fornitori di software.
Nel suo rapporto sull’esperienza della DGFiP, l’ANSSI si spinge oltre. Sottolinea che un codice inviato via e-mail offre poca protezione se si può accedere alla casella di posta con le stesse credenziali compromesse. In altre parole, l’indipendenza tra i fattori di autenticazione determina l’effettiva robustezza dell’MFA. Un token fisico o un’app di autenticazione installata su un dispositivo distinto offre una protezione nettamente superiore rispetto a un semplice codice via e-mail.
Una guida alla sicurezza digitale ben strutturata aiuta proprio a fare questa distinzione. Invece di limitarsi a spuntare la casella «MFA attivata», invita a verificare che i due fattori siano davvero separati. Per approfondire questo tipo di verifica, la guida digitale di P U B illustra le fasi concrete di implementazione, pensate per le PMI.
Diritti di accesso ai dati: il problema non si ferma alla porta d’ingresso
Immaginiamo un commerciale che accede al CRM aziendale. Deve consultare i dati dei propri clienti, non l’intero database. Avere il diritto di accedere a un’applicazione non significa dover poter consultare tutti i suoi dati.
Questo principio ha un nome tecnico: il principio del privilegio minimo. Ogni utente riceve solo i diritti strettamente necessari per svolgere il proprio ruolo. Se un account viene compromesso, l’aggressore può accedere solo a un ambito limitato, non all’intero sistema informativo.
L’ANSSI raccomanda di andare oltre il semplice controllo degli accessi, introducendo limiti al numero di richieste e ai volumi di dati scambiati. Questi limiti proteggono da uno scenario specifico: l’estrazione massiva di dati da un account comunque autorizzato. Un dipendente (o un aggressore che utilizza il suo account) che tentasse di scaricare un intero database verrebbe bloccato da tali restrizioni.
Effettuare verifiche periodiche dei diritti di accesso
Assegnare i diritti non basta: occorre rivederli. Una guida alla sicurezza digitale consiglia in genere di pianificare verifiche degli accessi a intervalli regolari. Ecco cosa controllare durante queste verifiche:
- Gli account degli ex dipendenti o collaboratori vengono disattivati entro 24 ore dalla fine del contratto?
- I privilegi di amministrazione sono limitati a un numero ristretto di persone identificate, con la tracciabilità di ogni azione?
- Gli accessi temporanei concessi per un progetto o un intervento di assistenza sono stati revocati al termine dell’incarico?
Un account dimenticato è una porta sempre aperta. La maggior parte degli incidenti legati agli accessi non è causata da attacchi sofisticati, ma da una dimenticanza nella gestione.
Direttiva NIS 2 e obblighi di protezione degli accessi in Francia
La gestione degli accessi non è più soltanto una buona pratica: sta diventando un obbligo normativo. La direttiva europea NIS 2, attualmente in fase di recepimento in Francia, amplia la platea delle aziende soggette ai requisiti di cybersicurezza. Molte PMI che non rientravano nel campo di applicazione della prima versione saranno ora interessate.
Tra le misure previste, la gestione delle identità e degli accessi è esplicitamente inclusa nei requisiti della NIS 2. Le aziende interessate dovranno dimostrare di aver adottato procedure documentate per controllare chi accede a cosa e come vengono supervisionati gli accessi.
Per una PMI che si trova ad affrontare questi obblighi per la prima volta, una guida alla sicurezza digitale aiuta a tradurli in pratica. Trasforma requisiti normativi astratti in azioni concrete:
- Mappare i sistemi informativi e individuare gli accessi critici
- Documentare una politica di gestione delle password conforme alle raccomandazioni dell’ANSSI (lunghezza minima, rinnovo, divieto di riutilizzo)
- Creare un registro degli accessi con data e ora, che consenta di ricostruire un incidente a posteriori
- Nominare un responsabile della sicurezza dei sistemi informativi, anche part-time
Password aziendali: cosa raccomandano davvero le guide
Imporre il cambio della password ogni 90 giorni è stato a lungo considerato una buona pratica. Le attuali raccomandazioni dell’ANSSI invitano a riconsiderare questo approccio. Cambiare la password troppo spesso spinge gli utenti a sceglierne di deboli o ad annotarle su un post-it.
Una guida aggiornata alla sicurezza digitale consiglia invece di abbinare una password lunga (almeno 12 caratteri) a un gestore di password professionale. Il gestore genera e conserva password complesse, senza che il dipendente debba ricordarle.
Formare i team invece di moltiplicare i vincoli
La tecnologia da sola non basta a proteggere se gli utenti non capiscono perché viene chiesto loro di compiere questi sforzi. Le guide alla sicurezza digitale più efficaci includono brevi moduli di sensibilizzazione, incentrati su esempi concreti: un’e-mail di phishing ricostruita, una dimostrazione della rapidità con cui si può violare una password breve.
La protezione degli accessi professionali dipende tanto dalle abitudini delle persone quanto dagli strumenti. Una guida strutturata aiuta a concentrare gli sforzi: stabilisce le priorità in base ai rischi, indica da dove iniziare e fornisce criteri per misurare i progressi. Il prossimo passo per ogni azienda che non ha ancora formalizzato la gestione degli accessi è mappare gli account attivi e verificare, uno per uno, se hanno ancora motivo di esistere.
