Password in azienda: perché un password manager conviene più di un foglio Excel

Il file Excel condiviso con tutte le password dell’ufficio. Il post-it sotto la tastiera. La stessa password, con un numero diverso alla fine, usata per la posta, il gestionale, il portale della banca e il sito del corriere. Sono abitudini comuni, e ognuna è un regalo per chi cerca un modo per entrare.

Il vero problema è il riutilizzo

Ogni anno vengono violati siti e servizi di ogni tipo, e gli elenchi di email e password rubate finiscono in vendita. Chi li compra li prova in automatico su altri servizi: posta, accessi remoti, piattaforme di e-commerce. Se un collaboratore usa la stessa password per un sito di acquisti e per la casella aziendale, la violazione del primo diventa un accesso al secondo.

Per questo la regola più importante è anche la più semplice: una password diversa per ogni servizio. Nessuno può ricordarne cinquanta, ed è qui che entra in gioco il password manager.

Cosa dicono oggi le linee guida

Le raccomandazioni internazionali più seguite, come quelle del NIST statunitense, sono cambiate rispetto a dieci anni fa:

• conta soprattutto la lunghezza: una frase di quattro o cinque parole è più robusta e più facile da ricordare di otto caratteri con simboli;
• le password vanno controllate contro gli elenchi di quelle già violate o troppo comuni;
• il cambio obbligatorio a scadenza fissa non è più consigliato, perché spinge a variazioni prevedibili come “Estate2025!” e “Autunno2025!”: la password si cambia quando c’è il sospetto che sia stata compromessa;
• dove possibile, si aggiunge l’autenticazione a più fattori.

Cosa fa un password manager

È un archivio cifrato che genera e conserva password lunghe e diverse per ogni servizio e le compila al posto tuo. Ricordi una sola password principale, robusta e protetta dal secondo fattore, e il resto lo gestisce lo strumento.

Nella versione aziendale offre funzioni che un foglio Excel non avrà mai:

• cartelle condivise per reparto, con permessi diversi: l’amministrazione vede le credenziali della banca, il magazzino no;
• registro di chi ha visto o modificato una credenziale;
• avvisi se una password salvata compare in una violazione nota o è usata in più servizi;
• revoca immediata degli accessi quando un collaboratore lascia l’azienda.

Come introdurlo in azienda

1. Scegli una soluzione pensata per le aziende, con gestione centralizzata e possibilità di recupero dell’accesso se qualcuno dimentica la password principale.
2. Parti dalle credenziali condivise più delicate: banca, PEC, portali fiscali, accessi amministrativi ai sistemi.
3. Elimina il vecchio file condiviso solo dopo aver migrato tutto, e cambia le password che vi erano scritte.
4. Spiega ai colleghi come usare l’estensione del browser e l’app sul telefono: se è comodo, lo usano.

Le credenziali dei sistemi

Un capitolo a parte sono le password di amministratore di server, firewall, NAS e router. Devono essere uniche, conservate in modo sicuro e note a più di una persona di fiducia, così l’azienda non dipende da un solo tecnico. Se a gestirle è un fornitore esterno, il contratto deve prevedere che restino di tua proprietà, come spieghiamo nell’articolo su come scegliere un consulente IT.

Se vuoi rivedere la gestione delle credenziali nella tua azienda, possiamo aiutarti a scegliere e configurare lo strumento giusto. Trovi i nostri servizi di cybersecurity qui.