Una password rubata da un sito qualsiasi può aprire la posta aziendale, il pannello del sito, l’home banking o il gestionale, se viene usata ovunque. Gli attaccanti provano automaticamente le combinazioni trapelate da altri servizi. Proteggere gli accessi è il primo e più economico investimento in sicurezza.
Le regole per le password
- Una password diversa per ogni servizio.
- Lunghezza prima della complessità: una frase di più parole è più robusta di una parola breve con simboli.
- Nessun dato personale facilmente indovinabile.
- Cambio immediato quando si sospetta una compromissione.
- Nessuna condivisione via e-mail o messaggi.
Il gestore di password
Ricordare decine di password diverse è impossibile senza aiuto. Un gestore di password genera password robuste, le conserva cifrate e le inserisce automaticamente. Le versioni aziendali permettono di condividere in modo controllato le credenziali comuni, come quelle dei social, e di revocare l’accesso quando un collaboratore lascia l’azienda.
L’autenticazione a due fattori
Oltre alla password, viene richiesto un secondo elemento: un codice generato da un’app sullo smartphone, una notifica da approvare, una chiave fisica. Anche se la password viene rubata, l’accesso resta bloccato senza il secondo fattore.
Posta elettronica, home banking, pannello del sito, registrar del dominio, account pubblicitari, social aziendali, gestore di password e servizi in cloud con dati dei clienti. Sono gli accessi che, se compromessi, causano i danni maggiori.
Codici via SMS o app
Il codice via SMS è meglio di niente, ma è più vulnerabile a frodi come il trasferimento del numero su un’altra SIM. Le app di autenticazione o le chiavi fisiche offrono una protezione maggiore. Conviene conservare in luogo sicuro i codici di recupero forniti al momento dell’attivazione.
Gli account condivisi
Molte aziende hanno account usati da più persone con la stessa password. È una pratica rischiosa: non si sa chi ha fatto cosa e non si può revocare l’accesso a una sola persona. Dove possibile, conviene creare utenti personali con i permessi adeguati.
Quando un collaboratore lascia l’azienda
Serve una procedura: disattivare i suoi account, cambiare le password condivise che conosceva, trasferire la posta e i documenti, recuperare dispositivi e chiavi. Senza procedura, ex collaboratori conservano accessi per mesi.
Un esempio
Una ditta di autotrasporti ha subito l’accesso alla casella e-mail dell’amministrazione, da cui sono partite fatture con un IBAN falso ai clienti. Dopo l’incidente ha introdotto un gestore di password, l’autenticazione a due fattori su tutti gli account e la regola di confermare per telefono ogni cambio di coordinate bancarie.
Domande frequenti
Il gestore di password è sicuro?
I gestori affidabili cifrano i dati; la password principale va scelta con cura e protetta con il secondo fattore.
Ogni quanto cambiare le password?
Le indicazioni attuali privilegiano password robuste e uniche, da cambiare in caso di sospetta compromissione.
Cosa fare se perdo lo smartphone con l’app?
Usare i codici di recupero o le procedure di ripristino del servizio.
I siti CMXD WebStart vengono consegnati con accessi personali e indicazioni per proteggerli. La gestione centralizzata di accessi e procedure può essere impostata con CMXD SmartFlow. Scrivici.
