Password aziendali: le regole minime per evitare violazioni

Le regole minime, in sette passi

1. Fai l’elenco degli accessi

   Posta, gestionale, cloud, banca, sito, social, portali della PA, router, disco di rete. Per ognuno annota chi entra e se c’è la verifica in due passaggi.

2. Scegli un gestore di password aziendale

   Conserva le password cifrate, le genera lunghe e casuali e le condivide per reparto. Tutti lo usano, nessuno tiene password su fogli o file.

3. Attiva la verifica in due passaggi

   Prima sulla posta, poi sugli accessi da remoto, sul cloud e sul gestionale, sulla banca e sul pannello del sito. Con un’app o una chiave fisica, meglio che con l’SMS.

4. Dai a ognuno un account personale

   Niente «ufficio» o «segreteria» con la stessa password per tutti. Dove l’account condiviso non si può evitare, passa dal gestore di password.

5. Separa gli account di amministratore

   Chi amministra i sistemi usa un account normale per lavorare e uno da amministratore solo quando serve. Cambia tutte le password di fabbrica degli apparecchi.

6. Scrivi la procedura di entrata e di uscita

   Chi crea gli account per un nuovo assunto, chi li chiude quando se ne va, entro quando. Vale anche per stagisti, collaboratori e fornitori.

7. Scrivi le regole e ricontrolla ogni sei mesi

   Una pagina consegnata ai dipendenti ed elenco degli account rivisto due volte l’anno: serve anche a dimostrare cosa fai, come chiede il GDPR.

Lunghezza più che complessità: cosa è cambiato

Per anni le regole aziendali hanno chiesto otto caratteri con maiuscola, numero e simbolo, da cambiare ogni pochi mesi. Il risultato sono password come Estate2026!, che diventa Autunno2026! al cambio successivo: i programmi dei criminali provano proprio questi schemi.

Il NIST, l’ente statunitense i cui standard tecnici sono seguiti in tutto il mondo, nella revisione del 2025 dice che:

• una password usata da sola deve avere almeno 15 caratteri; se c’è anche un secondo fattore, ne bastano 8;
• i sistemi devono accettare password lunghe e permettere di incollarle da un gestore, senza imporre regole come «almeno un simbolo»;
• non si deve imporre il cambio periodico: la password si cambia quando c’è il sospetto che sia stata scoperta;
• le password nuove vanno confrontate con gli elenchi di quelle già finite in rete e con le parole del dizionario.

L’ENISA, l’agenzia europea per la cybersicurezza, suggerisce alle piccole imprese le passphrase: almeno tre parole comuni scelte a caso, come trapano-nuvola-limone-sette. Vanno bene per le poche password da ricordare a memoria, come quella del computer e quella principale del gestore; tutte le altre le genera il gestore.

Il «cambio ogni tre o sei mesi» viene dal vecchio Allegato B del Codice privacy, abrogato nel 2018. Resta invece da cambiare subito la password quando c’è un sospetto: un clic su un link di phishing, un computer infetto, un avviso di accesso strano.

Il gestore di password aziendale

Nessuno ricorda cinquanta password lunghe e diverse: senza un gestore, le persone le riusano. Ed è il problema più grave: quando un sito qualsiasi subisce un furto di dati, i criminali provano la stessa email e la stessa password sulla posta aziendale e sulla banca.

Un gestore di password per aziende fa quattro cose:

• genera password lunghe e casuali, una per servizio;
• le conserva cifrate, protette da una password principale e dalla verifica in due passaggi;
• permette di condividerle per reparto senza che nessuno debba scriverle in chiaro;
• quando una persona se ne va, le togli l’accesso con un clic e sai quali password conosceva, così puoi cambiarle.

Da evitare: il file con l’elenco delle password, i biglietti sotto la tastiera, le password salvate nel browser di un computer usato da più persone, quelle mandate per email o in chat.

Verifica in due passaggi: dove attivarla prima

La verifica in due passaggi chiede, oltre alla password, una seconda prova: un codice da un’app, una conferma sul telefono, una chiave fisica. Una password rubata, da sola, non basta più.

I metodi, dal più al meno sicuro: chiave fisica o passkey, che non funzionano su un sito falso; app di autenticazione; SMS, meglio di niente ma esposto alle truffe. Una regola per tutti: una richiesta di conferma che non hai chiesto tu si rifiuta e si segnala. Conserva i codici di recupero nel gestore e non legare gli account aziendali solo al telefono personale di un dipendente.

Account condivisi: perché sono un problema

L’account «segreteria» usato da quattro persone sembra comodo, ma non sai chi ha fatto cosa, la password circola su fogli e chat e, quando una delle quattro se ne va, nessuno la cambia. La soluzione è un account personale per ognuno, con i permessi che servono al suo lavoro. Se un account condiviso è inevitabile, come la casella info@ o il profilo social dell’azienda:

• dove il servizio lo permette, usa caselle condivise o deleghe, accessibili con l’account personale di ciascuno;
• altrimenti la password sta solo nel gestore, condivisa con chi ne ha bisogno;
• la verifica in due passaggi è legata a un telefono o a un’app dell’azienda;
• quando cambia una delle persone che la conoscono, la password si cambia.

Le credenziali personali dell’identità digitale non si prestano: per i portali pubblici si usano le deleghe.

Ex dipendenti e fornitori: chiudere gli accessi

Gli account rimasti attivi dopo un’uscita sono una porta aperta. Prepara una lista di uscita da seguire l’ultimo giorno di lavoro, non la settimana dopo:

• disattivare l’account personale, togliere l’accesso al gestore di password e al cloud, ritirare chiavi fisiche e badge;
• cambiare le password condivise che la persona conosceva, comprese quelle di social e portali;
• scollegare i telefoni personali dalla posta e controllare che non ci siano inoltri verso indirizzi esterni.

Sulla casella email il Garante privacy è stato chiaro in più provvedimenti, con sanzioni di decine di migliaia di euro: la casella nominativa dell’ex dipendente va disattivata in tempi brevi. Si può impostare per un periodo limitato una risposta automatica che indica gli indirizzi a cui scrivere, ma non tenerla attiva per mesi né inoltrare i messaggi a un collega. Queste regole vanno scritte prima, nel regolamento informatico e nell’informativa ai dipendenti.

Per i fornitori: account personali per ogni tecnico, accesso da remoto aperto solo quando serve e chiuso a fine contratto; vedi responsabile esterno del trattamento.

Credenziali di amministratore e password di fabbrica

L’account di amministratore può installare programmi, creare utenti e cancellare backup: è quello che i criminali cercano.

• chi lavora usa un account normale; l’account da amministratore è separato, si usa solo per amministrare e mai per leggere la posta o navigare;
• gli amministratori sono pochi, con nome e cognome, e la verifica in due passaggi è sempre attiva;
• la password di amministratore dei computer è diversa su ogni macchina: se è uguale ovunque, chi ne prende uno li prende tutti;
• un account di emergenza, con le credenziali in cassaforte o nel gestore, se l’amministratore non è raggiungibile.

Cambia anche le password di fabbrica di router, disco di rete, telecamere, stampanti e centralino: spesso sono uguali per tutti e scritte nei manuali.

Chi ha credenziali di amministratore su sistemi con dati personali, dipendente o tecnico esterno, va designato per iscritto e i suoi accessi vanno registrati: le regole sono in amministratore di sistema.

Cosa chiedono GDPR e NIS2

Il GDPR non fissa una lunghezza minima: l’articolo 32 chiede misure adeguate al rischio e l’articolo 5 di poterle dimostrare. Per quasi ogni azienda significa account personali, password robuste, verifica in due passaggi sugli accessi importanti, chiusura degli accessi di chi esce e regole scritte. Chi tratta dati sanitari, bancari o di molte persone deve fare di più.

Se gestisci un sito o un programma in cui i tuoi clienti hanno una password, valgono anche le linee guida dell’Agenzia per la cybersicurezza nazionale (ACN) e del Garante sulla conservazione delle password, del dicembre 2023: mai in chiaro, con funzioni crittografiche adatte, cancellate quando l’account viene chiuso. Se un attacco porta via password conservate bene e nessun altro dato, la notifica al Garante può non servire, ma la violazione va annotata: vedi data breach: cosa fare.

Per le aziende nella NIS2 la legge indica espressamente l’autenticazione a più fattori tra le misure obbligatorie: chi è coinvolto lo spiega la guida alla sicurezza informatica in azienda.

La checklist finale

• Elenco degli accessi aziendali e gestore di password usato da tutti.
• Password lunghe, almeno 15 caratteri se non c’è un secondo fattore, mai riutilizzate.
• Verifica in due passaggi su posta, accessi remoti, cloud, gestionale, banca e sito.
• Nessun account condiviso senza necessità; quelli inevitabili solo nel gestore.
• Account di amministratore separati, pochi, con nome e cognome.
• Password di fabbrica cambiate su router, disco di rete, telecamere e stampanti.
• Lista di uscita applicata l’ultimo giorno, anche per i fornitori.
• Regole scritte, consegnate ai dipendenti, riviste ogni sei mesi.

Un esempio concreto

Lo studio tecnico di Federica, otto persone, usa una sola password per la posta di tutti, scritta su un foglio in segreteria. Un geometra se ne va a marzo; a maggio un cliente segnala un’email con un IBAN diverso partita dalla casella dello studio. La password era stata riusata dall’ex collega su un sito violato.

• In una settimana: caselle personali, verifica in due passaggi con app, gestore di password con una cartella per l’amministrazione, account separato per il tecnico esterno.
• Lista di uscita scritta; la casella dell’ex collega resta solo con una risposta automatica per trenta giorni.
• Poiché sono coinvolti dati dei clienti, lo studio valuta la violazione e la annota nel registro.

Costo: qualche euro al mese per persona e mezza giornata del tecnico.

Cosa fa il consulente su Intervento

Descrivi come lavorate: quante persone, quali servizi usate, se ci sono account condivisi, chi amministra i sistemi e cosa succede quando qualcuno se ne va. L’orientamento gratuito ti indica i punti deboli più probabili. Con l’Analisi ottieni una lettura automatica dei documenti che carichi, come il regolamento informatico. Con l’Esperto un consulente privacy e sicurezza verificato ti risponde per iscritto: quali regole mancano, cosa scrivere per il GDPR, come gestire la casella di un ex dipendente e, se rientri nella NIS2, cosa ti riguarda. Con il livello Soluzione, su preventivo, prepara la politica delle password, il regolamento per i dipendenti e la procedura di entrata e uscita.