Sai qual è la causa più frequente dei data breach nelle PMI italiane?
Non sono attacchi sofisticati. Non sono vulnerabilità zero-day. Non sono hacker che bucano firewall con tecniche da film.
Sono credenziali mal gestite.
Password condivise, mai cambiate, scritte su post-it. Certificati scaduti. Accessi non revocati a ex dipendenti. Account con privilegi eccessivi.
La gestione delle credenziali è forse l’aspetto più sottovalutato della sicurezza informatica. Tutti sanno che è importante, nessuno se ne occupa seriamente.
Eppure è il punto da cui passa la maggior parte degli attacchi. È la chiave che apre la porta.
Gli errori più comuni nella gestione delle password aziendali
Vediamo gli errori che troviamo più frequentemente nelle PMI italiane. Probabilmente ne riconoscerai qualcuno.
Password condivise
“La password del gestionale la sanno tutti in amministrazione.” È comodo, certo. Ma significa che se uno di quei “tutti” viene compromesso, o lascia l’azienda in malo modo, o semplicemente la scrive dove non deve, tutti i dati sono esposti.
Password mai cambiate
“Questa password ce l’abbiamo da quando abbiamo aperto l’azienda.” Nel frattempo è stata digitata migliaia di volte, vista da decine di persone, forse finita in qualche data breach. Ma è ancora lì, immutabile.
Password deboli
“123456”, “password”, “nomeditta2024”. Sembrano caricature, ma sono la realtà. I criminali provano prima le password più comuni. E spesso funzionano.
Password scritte su post-it
Attaccate al monitor. Sotto la tastiera. Nel cassetto. Qualsiasi visitatore, addetto alle pulizie, o collega malintenzionato può vederle.
Stessa password ovunque
La password dell’email è la stessa del gestionale, che è la stessa del conto in banca, che è la stessa di Netflix. Basta che uno di questi servizi venga compromesso e l’attaccante ha le chiavi di tutto.
Account generici
“admin”, “segreteria”, “magazzino”. Account usati da più persone, senza tracciabilità di chi fa cosa. Impossibile capire chi ha fatto un’operazione, impossibile revocare l’accesso a una singola persona.
I certificati digitali: il grande dimenticato
Se le password sono sottovalutate, i certificati digitali sono completamente ignorati.
Cos’è un certificato digitale?
È un file che serve a dimostrare un’identità o a crittografare comunicazioni. Il tuo sito web ha un certificato SSL. La PEC ha un certificato. Le firme digitali hanno certificati. Molti software usano certificati per autenticarsi.
Il problema è che i certificati scadono. E quando scadono, o smettono di funzionare, o — peggio — il sistema continua a funzionare ma senza la protezione che il certificato garantiva.
Errori comuni sui certificati:
Certificati scaduti
Nessuno tiene traccia delle scadenze. Il certificato scade, il servizio smette di funzionare, è il panico. Oppure il servizio continua ma non è più protetto.
Certificati self-signed in produzione
Certificati “fai da te” usati per sistemi critici. Non offrono garanzie di identità e vengono spesso ignorati dai controlli di sicurezza.
Chiavi private non protette
La chiave privata di un certificato deve essere custodita come una password. Spesso invece è salvata in chiaro su server accessibili.
Nessun inventario
Quanti certificati ha la tua azienda? Chi li gestisce? Quando scadono? Se non sai rispondere, sei in buona compagnia — e in cattiva sicurezza.
Il password manager: perché è obbligatorio nel 2026
La soluzione a gran parte dei problemi di password esiste ed è semplice: il password manager aziendale.
Cos’è? Un software che genera, memorizza e compila automaticamente le password. L’utente deve ricordare una sola password (quella del password manager), e il software si occupa di tutto il resto.
Perché è fondamentale:
Password uniche per ogni servizio
Il password manager genera una password diversa per ogni account. Lunga, complessa, impossibile da indovinare. Se un servizio viene compromesso, gli altri restano al sicuro.
Niente più post-it
Le password sono memorizzate in modo sicuro e crittografato. Non servono foglietti.
Condivisione controllata
Devi condividere l’accesso a un servizio con un collega? Lo fai attraverso il password manager, con tracciabilità e possibilità di revocare in qualsiasi momento.
Cambio password semplice
Cambiare una password diventa un’operazione di 10 secondi. Non ci sono più scuse per non farlo.
Audit e reportistica
Sai chi ha accesso a cosa. Puoi vedere quando una password è stata usata l’ultima volta. Puoi identificare password deboli o riutilizzate.
I password manager aziendali più diffusi sono Bitwarden, 1Password Business, LastPass Enterprise, Keeper. Il costo è di pochi euro per utente al mese. Il costo di un data breach è incomparabilmente maggiore.
MFA: il secondo lucchetto che salva tutto
Anche con password perfette, c’è un rischio: qualcuno potrebbe rubarle. Phishing, keylogger, data breach di terze parti. Le password, per quanto forti, possono essere compromesse.
La soluzione è l’autenticazione a più fattori (MFA): oltre alla password, serve qualcos’altro. Qualcosa che hai (il telefono, una chiavetta fisica) o qualcosa che sei (impronta digitale, riconoscimento facciale).
Come funziona in pratica:
Inserisci la password. Poi il sistema ti chiede un codice generato da un’app sul telefono (Google Authenticator, Microsoft Authenticator), oppure ti manda una notifica da approvare, oppure ti chiede di inserire una chiavetta fisica.
Anche se un attaccante ruba la tua password, non può entrare senza il secondo fattore.
L’MFA blocca il 99% degli attacchi automatizzati. Eppure la maggior parte delle PMI non lo usa ancora.
L’MFA non è più un’opzione. È uno standard minimo. Deve essere attivo su tutto: email, gestionale, CRM, accessi remoti, VPN, cloud. Nessuna eccezione, neanche per il titolare.
Il principio del minimo privilegio
Ogni utente deve avere accesso solo a ciò che serve per il suo lavoro. Niente di più.
Sembra ovvio, ma nella pratica troviamo situazioni come queste:
Il magazziniere ha accesso ai dati contabili. “Così se serve può controllare.”
La segretaria ha privilegi di amministratore sul gestionale. “È più comodo.”
Tutti usano lo stesso account admin. “Altrimenti dobbiamo creare troppi utenti.”
Ogni accesso in più è un rischio in più. Se il magazziniere viene compromesso e ha accesso ai dati contabili, l’attaccante ha i dati contabili. Se avesse accesso solo al magazzino, il danno sarebbe limitato.
Come applicare il minimo privilegio:
Mappatura dei ruoli
Definisci quali ruoli esistono in azienda e di quali accessi ha bisogno ciascun ruolo.
Profilazione degli accessi
Configura i sistemi in modo che ogni utente abbia solo gli accessi previsti per il suo ruolo.
Account nominativi
Ogni persona ha il suo account, con le sue credenziali, con i suoi permessi. Basta account generici.
Revisione periodica
Ogni 6 mesi, verifica che gli accessi siano ancora appropriati. Le persone cambiano ruolo, lasciano l’azienda, assumono nuove responsabilità.
La gestione degli ex dipendenti
C’è un momento critico nella vita di ogni azienda: quando un dipendente se ne va.
In quel momento, tutti i suoi accessi devono essere revocati. Immediatamente. Non domani, non quando c’è tempo, non quando qualcuno se ne ricorda.
Eppure è una delle cose più trascurate. Nel nostro lavoro, troviamo regolarmente:
Ex dipendenti con accesso alla mail aziendale
A volte anche mesi dopo aver lasciato l’azienda.
Account attivi di persone che non lavorano più lì
L’account è lì, con tutti i suoi accessi, pronto per essere usato da chiunque ne conosca la password.
Accessi a sistemi cloud mai revocati
Google Workspace, Microsoft 365, CRM, tool vari. Tutti ancora accessibili.
Procedura di offboarding:
Al termine del rapporto di lavoro, lo stesso giorno:
- Disattivare l’account email
- Cambiare le password di tutti gli account condivisi
- Revocare gli accessi ai sistemi cloud
- Recuperare dispositivi aziendali
- Verificare che non ci siano accessi residui
Deve essere una checklist, non un’improvvisazione.
Come fare un audit delle credenziali aziendali
Il primo passo per risolvere un problema è sapere di averlo. Ecco come fare un audit delle credenziali.
- Inventario degli account
Elenca tutti i sistemi che richiedono autenticazione. Email, gestionali, CRM, cloud, NAS, router, firewall, software vari. Per ciascuno: quanti account esistono? Chi li usa? - Verifica delle password
Controlla se ci sono password deboli, condivise, mai cambiate. I password manager aziendali hanno funzioni di audit che lo fanno automaticamente. - Controllo degli accessi attivi
Per ogni sistema, chi ha accesso? È ancora appropriato? Ci sono ex dipendenti o collaboratori non più attivi? - Verifica MFA
Su quali sistemi è attivo l’MFA? Su quali manca? Ci sono eccezioni? - Inventario certificati
Quali certificati digitali esistono? Quando scadono? Chi li gestisce? - Documentazione
Le credenziali di emergenza (account admin, recovery keys) sono documentate e custodite in modo sicuro?
Questo audit dovrebbe essere fatto almeno una volta all’anno, e a ogni cambio significativo nell’organizzazione.
Checklist: sei in controllo delle tue credenziali?
Verifica la tua situazione:
1. Ogni dipendente ha credenziali personali (niente account condivisi)
2. Le password sono gestite con un password manager aziendale
3. L’MFA è attivo su tutti i sistemi critici
4. Le password vengono cambiate almeno una volta all’anno
5. Gli accessi degli ex dipendenti vengono revocati immediatamente
6. Esiste un inventario dei certificati digitali con le date di scadenza
7. Gli accessi sono profilati per ruolo (minimo privilegio)
8. Le credenziali di emergenza sono documentate e custodite in modo sicuro
9. Viene fatto un audit delle credenziali almeno una volta all’anno
10. Nessuna password è scritta su post-it o file non protetti
Meno di 7 spunte? Le tue credenziali sono un punto debole che un attaccante può sfruttare.
La gestione delle credenziali non è un compito dell’IT. È una responsabilità aziendale.
Ogni password debole, ogni account condiviso, ogni accesso non revocato è una porta aperta. E prima o poi qualcuno la troverà.
La buona notizia è che sistemare la gestione delle credenziali non richiede investimenti enormi. Un password manager costa pochi euro al mese. L’MFA è spesso gratuito. Le procedure di offboarding sono solo questione di disciplina.
Il costo di non farlo, invece, può essere devastante.
Vuoi sapere se la gestione delle credenziali nella tua azienda è adeguata?
Exasys offre un assessment gratuito: analizziamo la tua situazione, identifichiamo i punti deboli, e ti forniamo un piano di azione concreto per mettere in sicurezza le tue credenziali.
→ Richiedi l’assessment gratuito su exasys.it/consulenza
Vuoi scoprire il livello di sicurezza della tua azienda? Contatta il team di Exasys per una consulenza personalizzata.
