Un lunedì mattina, Sophie B. trova il taccuino accanto alla stampante: dentro c'è la password del software di contabilità, invariata da anni, nota a buona parte del team — inclusa una collaboratrice andata via lo scorso autunno. Non è mai «andato storto» nulla. Ma l'idea che un dossier cliente si possa aprire così facilmente la mette a disagio. La vera domanda non è trovare una password più contorta: è dotarsi di una politica delle password che regga nella vita reale dello studio.
A cosa serve davvero una politica delle password
Una politica delle password, detto in chiaro, è l'insieme di regole semplici che tutto il team segue per creare, custodire e proteggere le proprie password. Non un regolamento di dieci pagine: pochi principi che tutti capiscono e applicano davvero.
Il problema che risolve è molto concreto. In una piccola struttura, le stesse abitudini tornano ovunque: una password corta e «facile da ricordare», la stessa riutilizzata su più servizi, annotata su un post-it o condivisa via e-mail. Ognuna di queste abitudini apre una porta.
L'attacco più comune, del resto, non ha nulla di sofisticato. Quando una password trapela dalla violazione di un sito qualunque, gli aggressori la riprovano automaticamente, a migliaia, su altri servizi — posta elettronica, banca online, strumenti di lavoro. Si chiama «credential stuffing»: riutilizzare altrove una password rubata una volta. Se usi la stessa password ovunque, una sola fuga basta a far cadere il resto.
Una password condivisa e scritta su un taccuino accumula in realtà due debolezze. Primo, non si sa più chi la conosce: tra arrivi e partenze la lista si allunga senza che nessuno la tenga aggiornata. Secondo, non la si può togliere in modo pulito a una singola persona: quando qualcuno se ne va, o si tiene la password com'è — e l'ex collaboratore mantiene l'accesso —, oppure la si cambia per tutti, cosa che nessuno ha voglia di fare. Il risultato consueto: non si fa nulla.
Per uno studio fiduciario la posta in gioco va oltre la comodità. Custodite la contabilità, i salari e i dati fiscali di decine di clienti — informazioni di fatto coperte dal segreto professionale. La nuova legge svizzera sulla protezione dei dati (nLPD) si attende del resto che ogni impresa adotti misure di sicurezza «adeguate» per i dati che tratta. Una gestione seria delle password ne fa parte. Nessuno vi chiede un certificato: vi si chiede di essere in grado di dimostrare che ve ne occupate.
Cosa tenere a mente
La lunghezza conta più dei simboli. Per anni si sono pretese password piene di maiuscole, cifre e caratteri speciali, cambiate ogni tre mesi. Il risultato: password impronunciabili che nessuno ricorda — e che finiscono su un taccuino. Le raccomandazioni di riferimento (il NIST statunitense, a cui si è unito l'ufficio federale svizzero della cibersicurezza, UFCS) hanno cambiato idea: meglio una password lunga e facile da ricordare che una corta e complicata. Da qui l'idea della passphrase — una sequenza di più parole, per esempio quattro parole senza legame tra loro, che dà una password lunga, semplice da ricordare e molto difficile da indovinare.
Le password non si ricordano più: si archiviano. Con decine di servizi, memorizzare una password unica e lunga per ciascuno è impossibile. È il compito del gestore di password — una cassaforte digitale che crea, conserva e compila le vostre password al posto vostro, protetta da un'unica password principale. Vi resta una sola cosa da ricordare; al resto pensa il software.
La sola password non basta più. Anche lunga e unica, può essere intercettata. L'autenticazione a due fattori (spesso abbreviata in MFA) aggiunge una seconda prova al momento dell'accesso — di solito un codice temporaneo sul telefono, o una conferma in un'applicazione. Anche se qualcuno conosce la vostra password, gli manca questo secondo fattore. È il complemento più efficace, e spesso il più semplice, a una buona politica delle password.
I gesti da installare questa settimana
1. Adottate le passphrase per gli accessi sensibili
Cominciate dagli account che contano: la posta elettronica, il software di contabilità, l'accesso amministratore. Per ciascuno, sostituite la vecchia password con una passphrase: quattro parole scelte a caso, facili da visualizzare per voi, senza rapporto con il vostro nome o la vostra azienda. Ottenete un accesso ben più solido, senza il grattacapo dei simboli. E smettete, fin da ora, di riutilizzare la stessa password da un servizio all'altro. Buona notizia, tra l'altro: una passphrase lunga e unica non ha bisogno di essere cambiata ogni tre mesi. La si cambia solo se si sospetta che sia trapelata — è questa oggi la raccomandazione, e vi toglie un incombenza inutile.
2. Installate un gestore di password
Scegliete un gestore di password serio e installatelo prima per voi, su computer e telefono. Lasciate che generi e ricordi password uniche per ogni servizio. Una volta a vostro agio, estendetelo al team: è il modo più pulito per farla finita con le password sui post-it e gli invii via e-mail. Il modo in cui si organizzano le casseforti, gli accessi condivisi e le partenze va preparato — ed è proprio ciò che imposta un dispiegamento strutturato.
3. Attivate l'autenticazione a due fattori sull'essenziale
Attivate l'autenticazione a due fattori (MFA) almeno sulla posta elettronica e sugli strumenti che contengono dati dei clienti. Nella maggior parte dei servizi professionali — inclusa la suite d'ufficio che probabilmente usate — l'opzione esiste già: basta attivarla e registrare i telefoni del team. Prevedete anche una soluzione di riserva (un codice di recupero conservato al sicuro) per non restare bloccati in caso di smarrimento del telefono.
A che punto siete davvero?
Questi tre gesti riducono già nettamente il rischio. Ma una politica delle password che regge nel tempo chiede qualcosa in più: decidere quali account sono critici, condividere un accesso in modo pulito invece di sussurrarlo, e soprattutto togliere l'accesso a chi lascia l'azienda — proprio il punto che ha messo a disagio Sophie B. davanti al suo taccuino.
Cyber Passport non certifica nulla e non vi dichiara «conformi». Vi aiuta a fare un'autovalutazione strutturata: a che punto siete davvero su password, accessi e il resto, e da dove cominciare. È un punto di partenza onesto, che potrete poi condividere con un cliente o un revisore che vi ponga la domanda.
Per passare dai tre gesti a una politica completa — modello di regole, dispiegamento del gestore nel team, casseforti condivise e procedura di uscita — il blueprint dedicato vi guida passo dopo passo.
