Quante password ha il dipendente medio della tua azienda? Tra email, gestionale, CRM, portale banca, fatturazione e vari servizi SaaS, la risposta è: almeno 20-30. E nella maggior parte dei casi, usa la stessa password per tutto — o variazioni prevedibili.
La gestione delle password è il primo anello della cybersecurity aziendale. Se si rompe quello, tutto il resto crolla.
I Numeri del Problema
- L'81% dei data breach è causato da password deboli o rubate
- Il 65% delle persone riusa la stessa password su più servizi
- Il tempo medio per craccare "Password123" è inferiore a 1 secondo
- Il costo medio di un data breach causato da credenziali compromesse supera i 4 milioni di euro
Cosa NON Funziona
Il post-it sul monitor
Ancora oggi, in molte aziende, le password sono scritte su post-it attaccati al monitor o sotto la tastiera. È come lasciare la chiave nella serratura della porta blindata.
Il foglio Excel "condiviso"
"Passwords.xlsx" sulla rete condivisa. Niente crittografia, nessun controllo degli accessi. Basta un dipendente che copia il file su una chiavetta USB.
La stessa password ovunque
Se un servizio esterno subisce un data breach (succede ogni giorno) e il tuo dipendente usa la stessa password anche per l'email aziendale, l'hacker entra in azienda.
La password "complessa" mai cambiata
"Pr0v1nc14!2019" era una buona password nel 2019. Ma se la usi ancora nel 2026, è probabilmente in un database rubato da qualche parte.
La Soluzione: Password Manager Aziendale
Un password manager è un software che:
- Genera password uniche, lunghe e complesse per ogni servizio
- Archivia le password in un vault crittografato
- Compila automaticamente i form di login
- Condivide le credenziali in modo sicuro tra team
- Audita chi ha accesso a cosa
Come funziona in pratica
- L'utente ricorda UNA password master (lunga e complessa)
- Tutte le altre password sono generate e memorizzate dal password manager
- L'autofill compila login e form automaticamente
- Le password condivise (es. accesso al sito del fornitore) sono accessibili solo a chi ne ha bisogno
- L'admin vede chi ha accesso a quali credenziali
Tool consigliati
| Tool | Tipo | Ideale per |
|---|---|---|
| Bitwarden | Open source, self-hosted possibile | PMI che vogliono controllo completo |
| 1Password Business | Cloud, ottima UX | Team che usano Mac/iOS |
| LastPass Enterprise | Cloud, integrazione SSO | Ambienti enterprise |
| KeePass | Open source, offline | Chi vuole tutto locale |
MFA: Il Secondo Livello
Il password manager protegge le password. Ma cosa succede se la password master viene compromessa? Serve un secondo fattore.
Multi-Factor Authentication (MFA)
L'MFA richiede due o più fattori per l'autenticazione:
- Qualcosa che sai — La password
- Qualcosa che hai — Il telefono (app authenticator, SMS)
- Qualcosa che sei — Impronta digitale, riconoscimento facciale
Dove attivare l'MFA (priorità)
- Email aziendale — È la chiave di tutto (reset password)
- Password manager — Protegge tutte le altre credenziali
- CRM e gestionale — Dati sensibili dei clienti
- Accesso VPN/remoto — Porta d'ingresso alla rete aziendale
- Pannelli admin — Sito web, server, hosting
- Tutti gli altri servizi — Se supportano MFA, attivalo
SSO: Un Login per Tutto
Il Single Sign-On (SSO) permette agli utenti di autenticarsi una volta sola e accedere a tutti i servizi aziendali senza inserire altre credenziali.
Vantaggi:
- Meno password → meno rischio
- Esperienza utente migliore
- Gestione centralizzata degli accessi
- Revoca immediata (se un dipendente lascia, disattivi un solo account)
Protocolli: SAML, OAuth 2.0, OpenID Connect
Policy di Password Aziendale
Una policy chiara e applicata è essenziale:
Requisiti minimi
- Lunghezza minima: 14 caratteri (le passphrase sono migliori: "il-mio-gatto-mangia-troppe-crocchette")
- Nessuna password già esposta in data breach (verificabile con Have I Been Pwned)
- Unica per ogni servizio
- MFA obbligatoria sui servizi critici
Cosa NON richiedere
- Cambio password ogni 30 giorni (genera password peggiori, come "Gennaio2026!")
- Requisiti assurdi di complessità (meglio lunga e semplice che corta e complessa)
Offboarding: Quando un Dipendente Se Ne Va
Il momento più critico per le credenziali:
- Revocare l'accesso email immediatamente
- Cambiare le password condivise che conosceva
- Disattivare l'account SSO
- Revocare l'accesso VPN
- Revocare l'accesso al password manager del team
- Verificare accessi a servizi esterni
Con un password manager aziendale e SSO, l'offboarding richiede minuti, non giorni.
Conclusione
La gestione delle password non è un problema tecnico: è un problema organizzativo. Servono tool adeguati (password manager, MFA, SSO) e policy chiare. Il costo di implementazione è una frazione del costo di un singolo data breach.
Vuoi implementare una gestione password sicura nella tua azienda? Contattaci — ti aiutiamo a scegliere e configurare gli strumenti giusti.
Ti è piaciuto questo articolo?
Contattaci per scoprire come possiamo aiutare la tua azienda.
Richiedi una consulenza