Come gestire le password aziendali senza impazzire: guida pratica per uffici
Se nella tua azienda esiste un file Excel chiamato "password.xlsx" salvato sul server condiviso, questa guida è per te. Non sei l'unico: è la situazione più comune negli uffici italiani, dalle micro imprese alle PMI strutturate. Il problema è che quel file è anche il modo più veloce per farsi svuotare gli account aziendali.
In questa guida vediamo, passo dopo passo, come gestire le password aziendali in modo sicuro e senza complicarti la vita: quali regole seguire, come funziona un password manager aziendale, come attivare l'autenticazione a due fattori sui servizi che usi ogni giorno e una checklist finale per capire se la tua azienda è a posto.
Perché il file Excel con le password è una bomba a orologeria
Partiamo dal metodo che quasi tutti usano: un file Excel (o un documento Word, o un quaderno nel cassetto) con tutte le password aziendali. Sembra comodo, ma nasconde quattro problemi seri.
Chiunque può aprirlo. Un file salvato sul server condiviso o inviato via email è leggibile da chiunque vi abbia accesso, anche da chi non dovrebbe. E se il PC su cui è salvato viene infettato da un malware, il criminale informatico trova tutte le chiavi dell'azienda ordinate in una tabella.
Gli ex dipendenti conservano gli accessi. Quando un collaboratore lascia l'azienda, nessuno si ricorda mai di cambiare tutte le password che conosceva. Risultato: persone esterne all'azienda che, anche a distanza di anni, possono ancora entrare nella posta, nei gestionali o sui social aziendali.
Nessuna tracciabilità. Con un file condiviso non puoi sapere chi ha usato quale password e quando. Se succede qualcosa, è impossibile ricostruire l'accaduto.
Un solo furto compromette tutto. Se quel file finisce nelle mani sbagliate, non perdi un account: li perdi tutti insieme. Posta elettronica, home banking, gestionale, fornitori, social. In un colpo solo.
La buona notizia è che sistemare questa situazione richiede meno tempo di quanto pensi. Vediamo come.
Le 4 regole d'oro per password aziendali sicure
Prima degli strumenti, le regole. Sono quattro, semplici, e da sole eliminano la maggior parte dei rischi.
1. Una password diversa per ogni servizio
È la regola più importante di tutte. Se usi la stessa password per la posta aziendale, il gestionale e il sito del fornitore, basta che uno solo di questi servizi subisca una violazione perché il criminale provi la stessa combinazione ovunque. Si chiama "credential stuffing" ed è uno degli attacchi più diffusi proprio perché funziona quasi sempre.
Una password, un servizio. Sempre.
2. La lunghezza batte la complessità
Dimentica le password tipo "P@ssw0rd!" con simboli e maiuscole messi a caso: sono difficili da ricordare per te e facili da indovinare per un computer. Una passphrase composta da quattro parole comuni, ad esempio "divano-limone-treno-ombrello", è molto più lunga, molto più resistente agli attacchi e la ricordi al primo colpo.
Regola pratica: minimo 14-16 caratteri. Meglio quattro parole a caso che otto caratteri "complicati".
3. Mai condividere password via email o WhatsApp
Email e chat non sono canali sicuri: i messaggi restano archiviati per anni, sincronizzati su più dispositivi, e chiunque metta le mani su un telefono o una casella di posta li può leggere. Se proprio devi condividere un accesso con un collega, usa la funzione di condivisione di un password manager (ne parliamo tra poco), che permette di dare accesso a una credenziale senza nemmeno mostrarla in chiaro.
4. Cambia subito gli accessi quando un collaboratore lascia l'azienda
Deve diventare un automatismo, come restituire le chiavi dell'ufficio: il giorno in cui una persona esce dall'azienda, si disattiva il suo account personale e si cambiano tutte le password condivise che conosceva. Tienine un elenco aggiornato: al momento del bisogno saprai esattamente cosa cambiare, senza andare a memoria.
Come funziona un password manager (spiegato semplice)
Applicare le regole qui sopra a mano è impossibile: nessuno può ricordare trenta password diverse, lunghe e complesse. Ed è esattamente il lavoro del password manager.
Immaginalo come una cassaforte digitale: dentro ci metti tutte le password aziendali, e per aprirla ti serve una sola chiave, la "master password". È l'unica che devi ricordare. Il password manager fa tre cose per te:
- Genera password lunghe e casuali per ogni nuovo servizio, senza che tu debba inventarle.
- Salva tutto in forma cifrata, sincronizzato tra computer e smartphone.
- Inserisce automaticamente le credenziali quando visiti un sito, così non devi nemmeno digitarle.
In più, le versioni aziendali permettono di condividere le credenziali tra colleghi in modo controllato: puoi dare a un collaboratore l'accesso all'account del fornitore senza mai mostrargli la password, e revocarlo con un clic quando serve.
Come attivare l'autenticazione a due fattori (2FA) sui servizi che usi ogni giorno
L'autenticazione a due fattori è la cintura di sicurezza degli account: anche se qualcuno ruba la password, senza il secondo codice (generato dal tuo telefono) non entra. Da sola blocca la stragrande maggioranza dei tentativi di accesso non autorizzati, e attivarla richiede pochi minuti.
Prima di iniziare, scarica un'app authenticator sul telefono: Microsoft Authenticator o Google Authenticator vanno benissimo ed entrambe sono gratuite.
Su Microsoft 365
- Accedi al tuo account su account.microsoft.com (o portal.office.com per gli account aziendali).
- Vai su "Sicurezza" e poi "Verifica in due passaggi" (o "Informazioni di sicurezza" per gli account aziendali).
- Scegli "Aggiungi metodo di accesso" e seleziona "App di autenticazione".
- Inquadra il codice QR con l'app authenticator e conferma con il codice a sei cifre.
Su Google Workspace / Gmail
- Accedi al tuo account Google e vai su myaccount.google.com.
- Apri la sezione "Sicurezza" e cerca "Verifica in due passaggi".
- Clicca "Attiva" e segui la procedura guidata.
- Come metodo, scegli l'app authenticator (voce "App Authenticator") e inquadra il codice QR.
Sui social aziendali (LinkedIn, Meta)
- Su LinkedIn: Impostazioni → "Accesso e sicurezza" → "Verifica in due passaggi" → scegli l'app di autenticazione.
- Su Facebook/Instagram aziendali: entra nel Centro gestione account Meta → "Password e sicurezza" → "Autenticazione a due fattori" → seleziona l'app di autenticazione.
- In entrambi i casi, inquadra il codice QR con l'app e conferma.
Salva i codici di backup che ti vengono proposti: serviranno se perdi il telefono.
Un consiglio: attiva la 2FA partendo dagli account più critici, cioè la posta elettronica (da cui si possono resettare tutte le altre password) e l'home banking.
Checklist finale: la tua azienda è a posto?
Fai questo controllo rapido. Se rispondi "sì" a tutte le domande, sei messo meglio del 90% delle aziende italiane.
- Non esiste più nessun file Excel o documento con le password in chiaro
- Ogni servizio aziendale ha una password diversa, di almeno 14 caratteri
- L'azienda usa un password manager e tutti i collaboratori lo utilizzano
- La 2FA è attiva almeno su posta elettronica, home banking e social aziendali
- Esiste un elenco aggiornato di chi ha accesso a cosa
- C'è una procedura per revocare gli accessi quando un collaboratore lascia l'azienda
- Le password non vengono mai condivise via email o WhatsApp
E se non hai tempo di occupartene?
Mettere in sicurezza gli accessi aziendali è una di quelle attività che tutti sanno di dover fare "prima o poi", e che nel frattempo restano lì. Il problema è che i criminali informatici non aspettano il momento giusto.
Delta Infor affianca le PMI proprio in questo: analizziamo come vengono gestiti oggi gli accessi in azienda, configuriamo il password manager più adatto, attiviamo l'autenticazione a due fattori sui servizi critici e formiamo il personale perché le buone abitudini restino nel tempo. Tu continui a lavorare, alla sicurezza pensiamo noi.
Richiedi una consulenza gratuita