Che cos'è una password sicura oggi?

Una mattina, passando davanti alla reception del suo studio, Sophie B. nota un dettaglio che non vedeva più: un post-it giallo sotto lo schermo, con la password della casella di posta condivisa. La stessa da anni, nota a tutto il team – e probabilmente anche a ex colleghi andati via da tempo. Nessuno ha «violato» nulla. Eppure quel piccolo quadrato di carta riassume da solo perché una password sicura merita dieci minuti di attenzione.

Che cosa rende davvero sicura una password oggi?

Per molto tempo si è creduto che una buona password fosse una password complicata: maiuscole, cifre, uno o due simboli, il tutto impossibile da ricordare. Il risultato: tutti hanno finito per scrivere le proprie password da qualche parte, o per usare sempre la stessa cambiando solo una cifra alla fine. È esattamente ciò che un aggressore spera.

Perché un aggressore non si siede davanti al suo schermo per indovinare la password a mano. Usa programmi che provano milioni di combinazioni al secondo e, soprattutto, elenchi di password già rubate altrove – da un negozio online, un forum, un'app dimenticata. Quando i dati di un servizio vengono trafugati, vengono venduti, e degli strumenti li rigiocano automaticamente su altri account: si chiama «credential stuffing» (provare in massa coppie e-mail / password rubate finché una funziona).

Contro tutto questo, due criteri contano molto più della presenza di un punto esclamativo: la lunghezza e l'unicità. Il terzo criterio è non doverla ricordare – ci torniamo più avanti. Ciò che accomuna queste tre idee: nessuna richiede competenze tecniche, solo un cambio di abitudine.

La lunghezza batte la complessità. Una password corta piena di simboli come P@ss!2 è più facile da decifrare di una sequenza lunga e semplice. Ogni carattere in più moltiplica il numero di combinazioni da provare: è la lunghezza a fare davvero male agli strumenti di attacco. L'Ufficio federale della cibersicurezza (UFCS/NCSC), il riferimento svizzero in materia, raccomanda infatti di preferire password lunghe sotto forma di frasi anziché corte e contorte. Punti ad almeno dodici-sedici caratteri – e di più per gli account più sensibili.

L'unicità chiude le porte una dopo l'altra. Se la stessa password apre la sua posta, il suo software di contabilità e il suo account di spedizione, una sola fuga di dati basta a compromettere tutto. Una password forte ma riutilizzata ovunque è forte una volta sola: al primo servizio violato, diventa una chiave universale nelle mani di chiunque.

A proposito, una vecchia abitudine ha fatto il suo tempo: imporre il cambio della password ogni tre mesi. Oggi sappiamo che questo spinge soprattutto le persone a variare una cifra alla fine (Studio2024, poi Studio2025) – il che non porta alcuna sicurezza reale. Meglio una password lunga e unica, da cambiare solo in caso di dubbio o di fuga di dati accertata. È anche la posizione delle raccomandazioni attuali.

In parole semplici, con Camille. Non cerchi la password «perfetta» e illeggibile. Cerchi la password che i suoi collaboratori adotteranno davvero: lunga, propria di ogni account e generata da uno strumento anziché presa da un cassetto. La sicurezza che dura nel tempo è quella che non richiede uno sforzo eroico ogni mattina.

Cosa ricordare

• La lunghezza conta più dei caratteri complicati. Una frase lunga e facile da ricordare batte un guazzabuglio corto e illeggibile.
• Una password = un solo account. Il riutilizzo trasforma una fuga di dati lontana in un problema alla sua porta.
• Non si può ricordare tutto – ed è normale. Ricordare a memoria venti password uniche e lunghe è impossibile: è il compito di uno strumento dedicato, non della sua memoria né di un post-it. E per gli account chiave si aggiunge una seconda serratura: l'autenticazione a due fattori (MFA) – oltre alla password, una seconda prova, per esempio un codice usa e getta sul suo telefono.

Le abitudini da adottare questa settimana

1. Sostituisca le password con delle passphrase

Una passphrase è semplicemente una password fatta di più parole senza legame tra loro – per esempio cactus-bici-nebbia-caffè. È lunga, quindi solida; è evocativa, quindi facile da ricordare; ed evita le sostituzioni inutili come @ al posto di a che gli strumenti di attacco conoscono a memoria. Quattro o cinque parole scelte a caso bastano per ottenere qualcosa di molto lungo senza annotare nulla. Cominci dagli accessi che contano di più in uno studio fiduciario: la posta e il software gestionale, quelli che aprono la porta ai dati dei suoi clienti.

2. Un account, una password – e via i post-it

La password condivisa scritta sotto lo schermo deve sparire, a partire dalla casella comune. Ogni persona, ogni servizio critico ha il proprio accesso. Gli account condivisi hanno un altro difetto, invisibile nel quotidiano: quando un collaboratore se ne va, nessuno pensa a cambiare la password che conosceva – e l'accesso resta aperto. Un accesso nominativo, invece, si chiude con un gesto il giorno della partenza. Non è obbligata a rifare tutto in una volta: elenchi i suoi cinque account più sensibili e dia a ciascuno una password unica e lunga. Il resto seguirà.

3. Affidi la memoria a un gestore di password

Un gestore di password è una cassaforte digitale cifrata: lei ricorda solo una password principale, e lo strumento genera, conserva e compila tutte le altre al suo posto. Quella password principale merita di essere una vera passphrase lunga – è l'unica cosa che le resta da memorizzare. Del resto si occupa lo strumento su tutti i suoi dispositivi, telefono compreso. È questo che rende le due abitudini precedenti davvero sostenibili ogni giorno, senza tornare alla carta. Colga l'occasione per attivare l'autenticazione a due fattori sul gestore stesso e sulla sua posta. Organizzare tutto ciò su scala di un team – casseforti condivise, arrivi e partenze – richiede un po' di metodo: è proprio ciò che illustra il nostro blueprint dedicato.

A che punto è davvero?

La nLPD (la nuova legge federale svizzera sulla protezione dei dati, in vigore da settembre 2023) si aspetta che una PMI che detiene dati dei clienti adotti misure di sicurezza «adeguate». Una password sicura, unica e ben gestita ne fa parte – al pari dell'autenticazione a due fattori. Non sono temi riservati alle grandi imprese: in una struttura di poche persone senza informatico interno, sono proprio queste abitudini semplici a fare la differenza.

Cyber Passport non certifica nulla e non la dichiara «conforme». Le propone un'autovalutazione strutturata che le mostra, domanda dopo domanda, dove la sua organizzazione tiene e dove poggia ancora, oggi, su un semplice post-it. Per passare dalle buone intenzioni a una politica delle password e a un gestore realmente adottati nel suo team, il blueprint qui sotto le indica la strada.