Password in azienda: come gestirle bene, tra gestore di password, account condivisi e dipendenti che cambiano

In molte aziende piccole le password vivono in posti improbabili: un foglio sotto la tastiera, un file «password.xlsx» sul desktop, il blocco note del telefono, la memoria del browser di un solo collaboratore. Funziona finché tutto va bene. Poi un dipendente lascia l'azienda, il computer di un socio viene rubato, un fornitore chiede l'accesso al router e nessuno ricorda come si entra. A quel punto il problema non è più «che password scelgo», ma «chi può entrare dove, e come lo scopro e lo chiudo in fretta». Questa guida riguarda proprio questo: un metodo concreto per studi professionali, negozi, officine e piccole imprese che non hanno un reparto informatico. Non serve comprare una piattaforma costosa: servono poche regole chiare, uno strumento adatto e qualche abitudine. L'autenticazione a due fattori, che completa il discorso, è trattata nella guida su autenticazione a due fattori.

Perché le password restano il punto debole

Quasi nessuno «indovina» la password di un'azienda a forza di tentativi. Le strade più comuni sono altre, e conoscerle aiuta a capire quali regole servono davvero.

• Il riutilizzo. Se la stessa password serve per la posta, per un negozio online e per il portale di un fornitore, basta che uno di quei siti subisca una fuga di dati perché i criminali provino la stessa combinazione ovunque. Questa tecnica si chiama credential stuffing ed è automatizzata: nessuno ti sta guardando, un programma prova migliaia di account in poche ore.
• Il phishing. Una pagina falsa che somiglia a quella di accesso di Microsoft o della banca convince qualcuno a digitare la password. La sicurezza della password, in quel caso, non conta: l'ha data lui. Come riconoscere questi messaggi è spiegato nella guida su phishing in azienda.
• Le password banali o prevedibili. Nome dell'azienda con un numero, «Estate2026!», la data di nascita: sono le prime provate da chi tenta davvero.
• Gli accessi dimenticati. Il vecchio account di un ex dipendente, il profilo del consulente esterno, il router mai cambiato dopo l'installazione. Non sono password «deboli», sono porte rimaste aperte.
• I programmi installati dai ladri di dati. Un computer infetto può leggere le password salvate nel browser. Per questo la password da sola non basta mai e la prima difesa resta tenere i computer aggiornati e protetti, come spiegato in sicurezza informatica per le piccole aziende.

Se vuoi sapere che cosa succede quando una casella di posta viene presa, la guida su email aziendale hackerata descrive i passi da fare in ordine.

Le regole di oggi: meno complicazioni, più lunghezza

Per anni abbiamo ripetuto agli utenti di usare simboli, maiuscole e cambiare password ogni tre mesi. Il risultato era prevedibile: password come «Password1!» che a ogni scadenza diventavano «Password2!». Le indicazioni tecniche più recenti hanno cambiato direzione. Le linee guida del NIST americano sull'identità digitale (documento SP 800-63B, nella versione aggiornata) sono considerate un riferimento anche in Europa e vanno nella direzione seguente:

• La lunghezza conta più della complessità. Una frase lunga è più difficile da indovinare di una parola corta piena di simboli, ed è più facile da ricordare.
• Niente cambi periodici obbligati, salvo che ci sia motivo di credere che la password sia stata scoperta. Cambiare ogni 90 giorni induce a scegliere varianti prevedibili.
• Si controllano le password scelte confrontandole con elenchi di password note o già comparse in fughe di dati, e si bloccano quelle più comuni.
• Si possono incollare le password nei campi: bloccare l'incolla scoraggia l'uso dei gestori di password.

Sul piano legale non esiste una regola che fissi quante lettere deve avere la password di un'azienda. Il Regolamento europeo sulla protezione dei dati (GDPR), all'articolo 32, chiede misure di sicurezza «adeguate» al rischio, e tra queste rientrano un controllo degli accessi serio e, quando serve, la cifratura. Se in azienda trattate dati dei clienti, di pazienti, dei dipendenti, una gestione approssimativa degli accessi è difficile da giustificare davanti al Garante per la protezione dei dati personali. Per chi ricade nel perimetro della direttiva NIS2, la guida su NIS2: a chi si applica spiega come capire se è il tuo caso.

Come si crea una password robusta, senza impazzire

Nella pratica servono due tipi di segreti, e vanno trattati in modo diverso.

1. Quelle che devi ricordare a memoria. Sono poche: la password di accesso al computer, quella del gestore di password (la «password maestra») e il PIN del telefono. Per queste vale la frase lunga: quattro o cinque parole non collegate fra loro, magari con un numero inserito in mezzo, per esempio «tazza-lampone-cantiere-tredici» (esempio di formato, non usarlo). Più è lunga e insolita, meglio è.
2. Tutte le altre. Non vanno ricordate: le genera e le conserva il gestore di password, lunghe e casuali, diverse per ogni servizio. Non importa che siano leggibili: nessuno le digita.

Due errori da evitare: usare la password maestra anche altrove e scriverla in chiaro accanto al computer. Se vuoi tenerne una copia su carta, vale la pena conservarla in un posto chiuso a chiave, come la cassaforte dello studio, non sotto la tastiera.

Il gestore di password: cosa fa e come sceglierlo

Un gestore di password è un archivio cifrato in cui sono salvati tutti gli accessi, protetto da un'unica password maestra (e, meglio, da un secondo fattore). Compila da solo i campi di accesso nei siti e nelle app, genera password casuali e segnala quelle riutilizzate o comparse in fughe di dati. Rispetto alle alternative ha vantaggi concreti.

Quando si valuta un gestore per un'azienda, anche piccola, conviene controllare queste caratteristiche prima del prezzo.

• Versione per team o aziende, con archivi condivisi per gruppo (per esempio «amministrazione», «magazzino», «fornitori») e ruoli diversi: chi può solo usare una password e chi può modificarla.
• Cifratura dal lato dell'utente: i dati sono cifrati prima di lasciare il dispositivo, e il fornitore non dovrebbe poterli leggere.
• Secondo fattore per entrare nell'archivio, con app di autenticazione o chiave fisica.
• Procedura di recupero d'emergenza: se il titolare perde la password maestra, deve esistere un modo, deciso prima, per rientrare.
• Registro degli accessi e possibilità di revocare l'accesso a una persona in un colpo solo.
• Esportazione dei dati in un formato aperto, per non restare legati a un solo fornitore.
• Dove si trovano i dati: guarda dove il fornitore li conserva e che cosa dichiara sul trattamento, se nell'archivio finiscono credenziali riferite a dati personali.

Non è obbligatorio un servizio a pagamento per chi lavora da solo, ma per uno studio o per un'impresa con più persone la condivisione ordinata fa la differenza. Il gestore non sostituisce il buon senso: se un collaboratore lo apre da un computer infetto, il rischio resta. Per questo l'insieme (computer aggiornati, protezione, password gestite, secondo fattore) è più forte della somma delle parti.

Account condivisi: il caso più frequente e più rischioso

In ufficio capita spesso un account che usano in tre: il profilo del gestionale «amministrazione», l'accesso al portale di un fornitore, la casella «info@». Condividere una password per comodità ha costi nascosti: non sai chi ha fatto cosa, non puoi togliere l'accesso a una sola persona senza cambiare la password per tutti, e il segreto passa di bocca in bocca o per messaggi. Si può ridurre il problema in questo modo.

Il principio è sempre quello del privilegio minimo: ognuno ha l'accesso che gli serve per lavorare e non di più. In uno studio con dati dei clienti, la segretaria non ha bisogno dell'accesso amministrativo al server, e il collaboratore dell'amministrazione non deve poter entrare nelle cartelle del personale.

Password dei dispositivi: router, NAS, stampanti, telecamere

Le credenziali che nessuno ricorda sono spesso le più pericolose, perché sono quelle di fabbrica. Un elenco da controllare almeno una volta:

• Router e firewall. Cambia utente e password di amministrazione, e non lasciare il pannello raggiungibile da Internet se non serve. Per il firewall c'è la guida su firewall aziendale.
• NAS e server. Il NAS è il contenitore dei file di tutta l'azienda: l'utente amministratore predefinito va disattivato o rinominato e l'accesso da fuori va protetto con VPN, come spiegato nella guida su VPN aziendale.
• Stampanti e multifunzione. Hanno un pannello web con password iniziale nota a tutti: cambiala e disattiva le funzioni che non servi.
• Telecamere e videoregistratori. Le password di fabbrica sono tra le più note: va cambiata subito, ed è l'operazione più importante dopo l'installazione.
• Computer. Se ogni PC ha lo stesso utente amministratore locale con la stessa password, chi ne scopre una le ha tutte. Esistono strumenti, come Windows LAPS di Microsoft, che assegnano password diverse e le ruotano; per un'azienda con pochi PC basta una password lunga e diversa per ciascuno, tenuta nel gestore.
• Software gestionali e programmi di contabilità. Controlla utenti e permessi: spesso restano attivi account di collaboratori che non lavorano più.

Le passkey: cosa sono e quando usarle

Le passkey sono un modo di accedere ai servizi senza digitare una password. Funzionano con una coppia di chiavi crittografiche: una resta sul tuo dispositivo, l'altra è presso il servizio, e per usarla basta sbloccare il telefono o il computer con impronta, volto o PIN. Si basano sugli standard FIDO2 e WebAuthn, e aziende come Microsoft e Google le supportano per gli account. Il loro vantaggio principale è che non si possono «dare» a una pagina di phishing: la passkey è legata al sito vero, e su un sito falso semplicemente non funziona. Non tutti i servizi le offrono ancora: dove sono disponibili, conviene attivarle sugli account più importanti (posta, amministrazione del dominio, banca, portale del gestionale) tenendo un metodo di recupero ben protetto. Dove non ci sono, restano una password lunga nel gestore e un secondo fattore.

Quando una persona entra o esce dall'azienda

La parte più trascurata. All'ingresso di un collaboratore si crea un account nominale con i permessi del suo ruolo; all'uscita si fa il contrario, subito. Una lista di controllo semplice per l'uscita:

1. Disattiva l'account di posta o convertilo in casella condivisa, con inoltro a chi gestirà i clienti. Non cancellare subito il contenuto: potrebbe servire.
2. Revoca l'accesso agli strumenti condivisi: gestionale, cloud dei file, portali dei fornitori, social aziendali, accessi remoti.
3. Cambia le password condivise che la persona conosceva (casella «info@», accessi a fornitori, Wi-Fi riservato) e aggiorna il gestore.
4. Ritira i dispositivi (computer, telefono aziendale, chiavette, token di firma) e togli l'accesso ai dati dal telefono personale, se usato per lavoro.
5. Rimuovi i dispositivi collegati all'account, per esempio le sessioni attive del telefono o del PC di casa.
6. Annota la data in un registro: in caso di controllo dimostra che la chiusura è stata fatta.

Lo stesso vale per i fornitori esterni: il consulente che ha lavorato sul sito o sul gestionale per un progetto non deve conservare l'accesso per sempre. Se la persona che gestisce le credenziali sei tu o un collaboratore fidato, scrivi chi autorizza le revoche. Nelle organizzazioni con un amministratore di sistema, la figura è disciplinata: ne parla la guida su amministratore di sistema e obblighi.

Se pensi che una password sia stata scoperta

1. Cambia subito la password dell'account interessato, da un dispositivo sicuro, non da quello che pensi infetto.
2. Cambia anche le altre dove era usata la stessa o una simile, partendo dalla posta e dai servizi finanziari.
3. Disconnetti tutte le sessioni attive, perché chi è già dentro non viene buttato fuori dal solo cambio di password.
4. Controlla regole di inoltro e accessi sospetti nella posta: i truffatori impostano spesso un inoltro nascosto.
5. Attiva il secondo fattore se non era presente.
6. Valuta gli obblighi privacy. Se sono stati esposti dati personali, il GDPR (articolo 33) prevede in molti casi la notifica al Garante entro 72 ore da quando se ne ha conoscenza: se sei in dubbio, parlane subito con chi ti segue sulla privacy.

Due esempi concreti (ipotetici)

Studio professionale con sei persone. Le credenziali dei portali istituzionali, delle banche dei clienti e del software gestionale stavano in un foglio condiviso. Il percorso ragionevole è partire da un gestore di password per il team, con archivi separati: «portali dei clienti» solo per i professionisti, «strumenti dello studio» per tutti. Poi si attiva il secondo fattore sulla posta e sul gestore, si crea un utente nominale per ogni persona sul gestionale e si fissa una regola sull'uscita dei collaboratori. In due o tre incontri lo studio ha un sistema che prima non c'era.

Negozio con due dipendenti e un titolare. Qui il bisogno è più contenuto: l'accesso alla posta, al gestionale di cassa, al sito e ai social. Basta un gestore con pochi archivi, un secondo fattore sulla posta del titolare e il cambio di password di fabbrica su router e telecamere. L'importante è sapere chi ha cosa e cambiarlo quando una persona se ne va.

Un piano in 30 giorni

Al termine, una breve riunione con i dipendenti: dieci minuti per spiegare che cosa cambia e perché, con la regola più importante su tutte: le password non si mandano per posta o messaggio. Se serve darne una a un collega, si condivide dal gestore.

Come ti aiutiamo noi

Per la parte informatica della tua azienda, cioè computer aggiornati e protetti, rete e assistenza, siamo a disposizione: molto del lavoro si fa da remoto. Lavoriamo in sede entro circa 100 km da Lodi Vecchio e da remoto nel Nord e nel Centro Italia; la tariffa è 43 € + IVA all'ora, uguale da remoto e in sede, più l'uscita in base ai chilometri quando serve venire da te. Se vuoi conoscerci prima, il primo incontro conoscitivo è gratuito entro 30 km su strada da Lodi Vecchio (oltre, si pagano le spese di uscita oppure lo facciamo in videochiamata): calcola la distanza. Chiamaci o scrivici su WhatsApp al 0371 464 186 o al 347 368 2954, oppure usa il modulo contatti. Gli altri servizi sono in Informatica e assistenza.

Domande frequenti