Password, MFA e il post-it sul monitor: sicurezza spiegata a chi guida l'azienda

Quando si parla di sicurezza informatica, l'immaginario corre agli hacker incappucciati e ai firewall di ultima generazione. La realtà è meno cinematografica: la stragrande maggioranza delle violazioni nelle piccole imprese passa da una porta lasciata aperta, non da una serratura forzata. E le porte, in azienda, sono gli accessi delle persone.

Tre storie che vediamo continuamente, e che non richiedono un hacker per finire male.

La password del gestionale è «azienda2019». La usa mezzo ufficio, è scritta su un post-it, e non viene cambiata da quando è stata creata — l'anno è nel nome. Chiunque sia passato di lì in sei anni, compresi fornitori, stagisti e l'ex dipendente andato via male, può entrare nel cuore dei dati aziendali da casa propria.

L'ex magazziniere ha ancora l'accesso. Se n'è andato a marzo, ma la sua utenza di posta è attiva, la VPN pure, e nessuno se n'è accorto perché nessuno ha il compito di accorgersene. Le utenze fantasma sono la falla più diffusa nelle PMI: non servono competenze per sfruttarle, basta ricordarsi la propria vecchia password.

Il titolare ha la stessa password ovunque. Posta aziendale, home banking, il portale del fornitore, il sito dove si è registrato nel 2015 e che nel frattempo è stato violato. Quando quella password finisce in una delle liste che circolano — e prima o poi succede — chi la trova non prova solo il sito violato: prova tutto.

La contromisura che vale più di tutte

Se un'azienda potesse fare una sola cosa per la propria sicurezza, dovrebbe essere questa: attivare l'autenticazione a più fattori (MFA) ovunque sia possibile — posta elettronica prima di tutto, poi VPN, gestionale, banking.

Il principio è semplice: per entrare non basta più la password, serve anche una conferma sul telefono di chi entra. Il ladro con la password rubata resta fuori, perché il telefono non ce l'ha. Le statistiche dei grandi provider concordano da anni: l'MFA blocca la quasi totalità dei furti di account. Costa poco o niente — è inclusa in Microsoft 365, in Google Workspace, nei principali gestionali — e si attiva in giorni, non in mesi. Il fastidio per gli utenti dura una settimana; la protezione, per sempre.

Le altre tre cose, in ordine

Dopo l'MFA, la lista è corta.

Un gestore di password. Le password devono essere lunghe, uniche e non ricordabili — quindi non devono stare in testa alle persone, né sui post-it: stanno in un gestore, che le crea e le custodisce. La persona ricorda una password sola, quella del gestore, protetta da MFA.

Un rito per chi entra e per chi esce. Quando arriva un collaboratore si crea quello che serve; quando esce, si spegne tutto lo stesso giorno — posta, VPN, gestionale, cloud. Non è un progetto, è una checklist di dieci righe con un responsabile. La sua assenza è il motivo per cui esistono le utenze fantasma.

Un momento di formazione l'anno. Le truffe via mail — la finta fattura, il finto capo che chiede un bonifico urgente — funzionano sulla fretta, non sull'ingenuità. Un'ora l'anno passata a guardare esempi veri abbassa il rischio più di molti prodotti a listino.

Niente di tutto questo richiede investimenti importanti. Richiede una cosa più rara: qualcuno che ne sia responsabile, e che una volta l'anno controlli che sia ancora vero.

Questo blog è curato da 4ZEIT, consulenza informatica indipendente per le PMI di Treviso e Venezia. Maggiori informazioni su www.4zeit.it