La password è ancora il principale sistema con cui accediamo ai servizi aziendali: email, gestionale, cloud, home banking. Ed è anche uno dei punti più deboli della sicurezza informatica. Il motivo è semplice: le password le scelgono le persone, e le persone le fanno comode, brevi e sempre uguali. Così basta una fuga di dati da un singolo sito, o un’email di phishing ben costruita, per mettere a rischio l’intera azienda.
La buona notizia: ridurre drasticamente questo rischio è alla portata di chiunque, senza investimenti importanti. Servono due cose: password gestite nel modo giusto e l’autenticazione a due fattori.
In sintesi
- Contano lunghezza e unicità, non i simboli strani: una frase lunga batte “P@ssw0rd!”.
- Un gestore di password elimina riutilizzo, foglietti e file Excel di credenziali.
- La 2FA ferma l’attaccante anche se ruba la password: secondo Microsoft blocca oltre il 99,2% degli attacchi agli account (Microsoft Entra).
- Nel 2025 solo il 16% delle PMI italiane è “maturo” sulla sicurezza (ACN, Cyber Index PMI 2025).
Cosa rende una password davvero sicura?
Contrariamente a quanto si pensa, non contano tanto i simboli e i caratteri speciali, quanto la lunghezza e l’unicità. Una frase lunga, facile da ricordare ma difficile da indovinare, è più sicura di “P@ssw0rd!” usata su dieci servizi. Una password lunga richiede molto più tempo per essere forzata, e se è diversa per ogni servizio, la violazione di uno non trascina con sé tutti gli altri.
Perché serve un gestore di password?
L’obiezione è ovvia: “come ricordo decine di password lunghe e diverse?”. Non devi. Un gestore di password aziendale le genera, le conserva cifrate e le compila quando servono. Elimina di colpo il riutilizzo, i foglietti gialli sul monitor e i file Excel con le credenziali (pessima abitudine ancora diffusa). Ai dipendenti basta ricordare una sola password robusta: quella del gestore.
Come funziona l’autenticazione a due fattori (2FA)?
Anche la password più solida può essere rubata o intercettata. La 2FA aggiunge un secondo controllo oltre alla password: un codice temporaneo da un’app, una notifica da approvare sul telefono, una chiave fisica. Il principio è elegante: anche se un attaccante ruba la password, senza il secondo fattore — che è fisicamente nelle tue mani — non entra. È la singola misura con il miglior rapporto tra sforzo e protezione: secondo Microsoft, l’autenticazione a più fattori blocca oltre il 99,2% degli attacchi di compromissione degli account. Non a caso Microsoft l’ha resa obbligatoria per l’accesso ai propri portali di amministrazione.
Non tutte le 2FA sono uguali
Le forme di 2FA non offrono la stessa protezione. Le app di autenticazione e le chiavi fisiche sono nettamente più sicure dei codici via SMS, che in alcuni casi possono essere intercettati o dirottati con tecniche come lo scambio di SIM. Ecco un confronto a colpo d’occhio.
| Metodo 2FA | Sicurezza | Resistenza al phishing | Quando usarlo |
|---|---|---|---|
| SMS (codice via messaggio) | Bassa | Bassa (SIM swap, intercettazione) | Solo se non c’è alternativa |
| App di autenticazione (codici a tempo) | Alta | Media | Scelta consigliata per la maggior parte degli account |
| Chiave fisica (FIDO2 / security key) | Massima | Alta (resistente al phishing) | Account critici e amministrativi |
Dove possibile, preferisci app o chiavi fisiche, riservando l’SMS ai casi senza alternativa.
Il collegamento con il phishing
Password e 2FA sono la difesa diretta contro il furto di credenziali via email truffa, che nel 2025 è rimasto tra i vettori di accesso iniziale più diffusi (ENISA). Un attaccante che ti convince a inserire la password su un sito falso ha in mano metà del lavoro; la 2FA gli sbarra comunque la strada. Per questo vanno di pari passo con la capacità di riconoscere il phishing.
Da dove partire concretamente in azienda?
Non serve rivoluzionare tutto subito. Procedi per priorità: attiva la 2FA prima di tutto sugli account critici (email, accessi amministrativi, gestionale, home banking), introduci un gestore di password per il team, poi estendi progressivamente. Sono passi semplici che insieme alzano enormemente la sicurezza. Li trovi anche nella nostra checklist di sicurezza per PMI, e sono tra le misure di base richieste dalla NIS2.
Nella nostra esperienza sul campo, l’ostacolo alla 2FA non è quasi mai tecnico, ma di abitudine: i primi giorni qualcuno protesta per il passaggio in più. Dopo una settimana nessuno tornerebbe indietro — e, soprattutto, gli accessi con password rubata semplicemente smettono di funzionare.
Come ti aiuta Aeon Lab
Impostare password e 2FA su tutta l’azienda senza creare confusione tra i collaboratori richiede metodo. Con il nostro servizio di cybersecurity gestita, come MSP/MSSP di Roma lo facciamo per te, con un unico referente:
- Gestore di password aziendale configurato e formazione all’uso.
- 2FA attivata su tutti gli account critici, con app o chiavi fisiche.
- Gestione accessi e privilegi (principio del privilegio minimo).
- Revoca immediata degli account di ex dipendenti.
- Allineamento con NIS2 e compliance.
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Metti in sicurezza gli accessi — consulenza gratuita →
Domande frequenti
Ogni quanto vanno cambiate le password?
Le linee guida più recenti sconsigliano i cambi periodici forzati, che spingono a scegliere password deboli e prevedibili. Meglio password lunghe e uniche, cambiate solo se c’è il sospetto di una compromissione. La 2FA e un gestore contano più della scadenza fissa.
La 2FA via SMS è meglio di niente?
Sì, è meglio della sola password, ma è la forma più debole: l’SMS può essere intercettato o dirottato con lo scambio di SIM. Dove il servizio lo consente, passa a un’app di autenticazione o a una chiave fisica, molto più resistenti agli attacchi.
Un gestore di password è davvero sicuro?
Sì: conserva le credenziali cifrate e riduce rischi ben più gravi, come il riutilizzo e i file Excel con le password in chiaro. La chiave è proteggere l’account del gestore stesso con una password robusta e la 2FA. Il rischio residuo è molto inferiore a quello che elimina.
Password e 2FA bastano per la NIS2?
Sono misure di base fondamentali, ma la NIS2 richiede un quadro più ampio (gestione accessi, backup, notifica incidenti). Sono un ottimo punto di partenza: verifica prima se rientri nel perimetro con il nostro albero decisionale NIS2, poi completa le altre misure.
In breve
La password da sola non basta più. Puntare su credenziali lunghe e uniche gestite da un password manager, e attivare la 2FA (meglio app o chiave fisica) sugli account critici, alza enormemente la sicurezza aziendale con costi minimi. Sono i primi passi, e i più efficaci.
Fonti
- Microsoft Entra — Autenticazione a più fattori obbligatoria (99,2% degli attacchi bloccati): learn.microsoft.com
- ACN — Rapporto Cyber Index PMI 2025 (Confindustria–Generali–PoliMi): acn.gov.it
- ENISA, Threat Landscape 2025: enisa.europa.eu