Buone pratiche per le password nei settori regolamentati: una guida pratica alla sicurezza

Le best practice per le password si riducono a un elenco breve, quasi noioso, che però funziona davvero: usare un password manager per generare password lunghe e uniche per ogni account, attivare l'autenticazione a più fattori (MFA) e non riutilizzare mai la stessa password su servizi diversi. Per i team del settore sanitario, legale e finanziario, il rischio maggiore raramente è una password troppo semplice. È una password riutilizzata o rubata. Oggi la maggior parte delle violazioni di account parte da credenziali che l'autore dell'attacco possiede già, non da quelle che ha provato a indovinare: l'obiettivo reale è quindi eliminare il riutilizzo e aggiungere un secondo fattore.

‍

Punti chiave

• Un password manager insieme alla MFA blocca la grande maggioranza degli attacchi automatizzati di account takeover. Questa combinazione, e non la memorizzazione di stringhe ingegnose, è il cuore della sicurezza delle password.
• Il riutilizzo è la principale vulnerabilità. Le ricerche di settore rilevano in modo coerente che la maggior parte delle persone riutilizza le password, quindi una singola violazione può propagarsi a tutti gli account che condividono quella password.
• Le password deboli sono di solito prevedibili, non casuali. Variazioni stagionali, nomi di animali domestici e nomi aziendali sono esattamente ciò che gli attaccanti provano per primo.
• La minaccia si è spostata dall'indovinare le password al rubarle, ed è per questo che unicità e MFA contano più della semplice complessità dei caratteri.
• Le credenziali di lavoro e quelle personali non dovrebbero mai mescolarsi. Tenerle separate limita i danni quando una delle due viene compromessa.

‍

Cosa sono le best practice per le password?

Le best practice per le password sono l'insieme di abitudini e controlli che impediscono che le credenziali di un account vengano indovinate, decifrate, riutilizzate o rubate. Riguardano come si crea una password (lunghezza e casualità), come viene conservata (un password manager anziché un post-it, un foglio di calcolo o il browser), come viene protetta (MFA) e come viene condivisa (solo tramite canali sicuri). Le indicazioni moderne degli enti di normazione si sono allontanate dall'imposizione di regole complicate sui caratteri e da cambi frequenti, per puntare su lunghezza, unicità e un secondo fattore robusto.

‍

Perché la sicurezza delle password è più importante che mai

Il copione degli attaccanti è cambiato. Dieci anni fa la preoccupazione principale era che qualcuno forzasse una password debole provando molte combinazioni. Oggi la minaccia maggiore è il furto di credenziali: gli attaccanti ottengono password funzionanti tramite violazioni di dati, phishing e malware di tipo infostealer (software che raccoglie silenziosamente le password salvate e le sessioni di accesso da un dispositivo infetto), poi semplicemente effettuano l'accesso. Secondo il Verizon Data Breach Investigations Report, le credenziali rubate sono uno dei modi più comuni con cui gli attaccanti ottengono un primo punto d'appoggio, e IBM X-Force ha rilevato una quota elevata di intrusioni che usano credenziali valide rubate anziché un qualsiasi exploit.

‍

Questo conta per un motivo pratico. Se un attaccante può acquistare o rubare una password che già funziona, la robustezza di quella password non ti protegge più. Ciò che ti protegge è che la password sia unica (così non può sbloccare nient'altro) e che un secondo fattore si frapponga tra la password rubata e l'account. Per i team regolamentati che gestiscono dati sensibili, questo cambiamento è l'intero fondamento delle pratiche descritte di seguito.

‍

Cosa rende robusta una password?

Tre proprietà rendono robusta una password: lunghezza, casualità e unicità. La lunghezza è la più importante. Il National Institute of Standards and Technology (NIST) statunitense, nella Special Publication 800-63B-4, raccomanda un minimo di 15 caratteri per una password usata come unico fattore (e supporta lunghezze fino ad almeno 64), mentre la Cybersecurity and Infrastructure Security Agency (CISA) consiglia di puntare ad almeno 16 caratteri. Casualità significa evitare parole del dizionario e dati personali. Unicità significa una password diversa per ogni account.

‍

Un'alternativa utile a una stringa casuale è la passphrase: da quattro a sette parole non correlate unite tra loro, lunga, difficile da decifrare e molto più facile da ricordare. La CISA porta esempi come una manciata di parole non correlate combinate in un'unica frase.

‍

‍

Ecco la differenza in pratica:

‍

‍

Come creare una password robusta

Il metodo più rapido e affidabile è lasciare che sia un password manager a generarla. Quando invece serve crearne una a mano (ad esempio la password principale che sblocca il password manager), costruisci una passphrase:

‍

1. Scegli da quattro a sette parole casuali e non correlate. Evita qualsiasi riferimento a te, al tuo datore di lavoro o alla data.
2. Unisci le parole in un'unica frase. Puoi mantenere o eliminare gli spazi.
3. Punta sulla lunghezza anziché sulla complessità. Una frase lunga è meglio di una stringa corta piena di simboli.
4. Assicurati che sia usata in un solo posto e da nessun'altra parte.
5. Non conservarla mai in chiaro. Memorizza la password principale e lascia che sia il password manager a custodire tutte le altre.

‍

Evita del tutto gli elementi prevedibili. Gli attaccanti usano attacchi a dizionario (tentativi automatizzati basati su elenchi di parole comuni e password note) e il credential stuffing (il riutilizzo di coppie di nome utente e password trapelate da altre violazioni). Password molto comuni nelle violazioni, come 123456, admin e password (regolarmente segnalate nelle ricerche di NordPass), cadono all'istante, così come le scelte legate al contesto, ad esempio il nome di un animale domestico, il nome dell'azienda o una stagione seguita dall'anno.

‍

Smetti di riutilizzare le password: la correzione più importante

Se devi cambiare una sola abitudine, scegli questa. I sondaggi citati nelle ricerche sulla sicurezza mostrano che la maggior parte delle persone riutilizza le password su più account (Forbes Advisor ha riportato cifre intorno al 78 percento), e l'analisi delle violazioni di SpyCloud ha rilevato che una quota consistente delle persone coinvolte nelle violazioni aveva riutilizzato una password già esposta. Il riutilizzo trasforma una singola fuga di dati in una reazione a catena: un servizio violato consegna all'attaccante la chiave della tua email, e la tua email è il percorso di reimpostazione per tutto il resto.

‍

Ne derivano direttamente due regole. Prima: usa una password per ogni servizio, senza eccezioni. Seconda: mantieni completamente separate le credenziali di lavoro e quelle personali. La password del tuo servizio di streaming non ha nulla a che fare con i sistemi aziendali, e una password aziendale non dovrebbe mai proteggere un account personale. Considera la separazione un controllo di sicurezza, non una questione di buone maniere: limita il raggio d'azione (blast radius) di una violazione, in modo che la compromissione da un lato non si propaghi all'altro.

‍

Che cos'è un password manager e conviene usarlo?

Un password manager è un'applicazione che genera, conserva e compila automaticamente le tue password all'interno di un archivio crittografato. Tu ricordi una sola password principale robusta, e il password manager ricorda tutto il resto, comprese lunghe password casuali che non riusciresti mai a memorizzare. Segnala inoltre le password deboli o duplicate, così puoi correggerle. CISA e la maggior parte dei team di sicurezza considerano il password manager il modo più semplice per rendere realistiche password robuste e uniche per ogni account.

‍

Esistono due grandi categorie. I password manager personali sono pensati per singoli utenti e piccoli team. Le soluzioni Enterprise, spesso parte del Privileged Access Management (PAM, la pratica di proteggere e monitorare le credenziali amministrative di alto valore), aggiungono controllo centralizzato, restrizioni di accesso, audit e single sign-on (SSO, che consente di autenticarsi una sola volta per accedere a più applicazioni approvate). Un avvertimento: evita di affidarti all'archiviazione integrata del browser per le credenziali importanti, perché le password salvate nel browser possono essere più facili da estrarre da un dispositivo compromesso o rubato rispetto a quelle custodite in un password manager dedicato e crittografato.

‍

Attiva l'autenticazione a più fattori (MFA)

L'autenticazione a più fattori (MFA) richiede una seconda prova di identità oltre alla password, come un codice generato da un'app di autenticazione, una chiave hardware o un controllo biometrico. Poiché una password rubata o indovinata non basta da sola per accedere, l'MFA blocca la grande maggioranza degli attacchi automatizzati di massa, e sia CISA sia Microsoft la raccomandano come controllo di base.

‍

Non tutti i fattori sono uguali. Dove è supportato, preferisci i metodi resistenti al phishing basati sugli standard FIDO2 e WebAuthn, comprese le passkey (chiavi crittografiche legate al tuo dispositivo che sostituiscono completamente la password e funzionano come metodo di accesso autonomo, non solo come secondo fattore). I codici monouso inviati via SMS sono il fattore comune più debole, perché sono vulnerabili al SIM swapping e agli attacchi al protocollo SS7, che possono intercettare gli SMS a livello di rete; NIST e CISA sconsigliano entrambi di affidarsi a questi codici quando sono disponibili opzioni più sicure.

‍

Conviene cambiare regolarmente le password?

No, non a scadenza fissa, almeno per i normali account utente. NIST ora sconsiglia le modifiche periodiche obbligatorie delle password utente, perché la rotazione forzata spinge le persone verso schemi prevedibili (Summer2025 diventa Summer2026) e a scrivere le password su carta. Cambia invece una password quando c'è un motivo: una compromissione nota o sospetta, una notifica di violazione o una credenziale di cui non riesci più a ricostruire l'uso. Anche quando sei «quasi certo che vada bene», un'esposizione confermata è motivo sufficiente per sostituirla. (Le credenziali amministrative con privilegi elevati sono un'eccezione e spesso vengono sostituite periodicamente.)

‍

Come condividere le password in modo sicuro

A volte una credenziale deve davvero essere condivisa. In quel caso, il canale conta quanto la password. Non inviare mai una password tramite Slack, email o SMS, dove può restare in una cronologia consultabile, essere inoltrata o risultare esposta se uno dei due account è compromesso. Condividila invece tramite la funzione di condivisione sicura di un password manager, che mantiene la credenziale crittografata e ti permette di revocare l'accesso in seguito. Se una password transita anche solo una volta in chat o via email, considerala esposta e sostituiscila.

‍

Best practice per le password nei settori regolamentati

Le organizzazioni sanitarie, legali e finanziarie hanno un obbligo in più, perché gli account in questione spesso proteggono dati regolamentati. In ambito sanitario, rientrano tra questi le informazioni sanitarie protette (PHI, dati sanitari individualmente identificabili). I framework di riferimento stabiliscono requisiti che una buona igiene delle credenziali aiuta a soddisfare. La HIPAA Security Rule, ad esempio, richiede controlli di accesso e misure di autenticazione per i sistemi che gestiscono PHI, e le credenziali uniche insieme all'MFA sono modi pratici per supportare tali requisiti. (HIPAA disciplina inoltre i rapporti con i fornitori tramite un Business Associate Agreement, o BAA, il contratto che rende un fornitore di servizi responsabile della salvaguardia delle PHI.)

‍

Vale la pena tenere a mente un principio: conformità e sicurezza sono collegate ma non identiche. Una policy sulle password può soddisfare formalmente una vecchia checklist lasciando comunque un rischio reale, e una policy che sembra rigida (cambi forzati frequenti, regole complesse sui caratteri) può risultare nella pratica più debole di una più semplice basata su lunghezza, unicità, password manager e MFA. L'obiettivo per un team di un settore regolamentato è una policy che sia al tempo stesso difendibile davanti a un auditor e davvero efficace contro i metodi che gli attaccanti usano oggi. Credenziali robuste e uniche, MFA, condivisione sicura e un archivio crittografato supportano controlli riconosciuti da framework come HIPAA, SOC 2 e ISO 27001 senza sacrificare l'usabilità.

‍

FAQ

‍

Qual è il tipo di password più sicuro?

La password più sicura è lunga, casuale, generata e archiviata da un password manager, perché non devi mai ricordarla né digitarla. Per l'unica password che devi memorizzare, una passphrase composta da quattro a sette parole non correlate offre allo stesso tempo lunghezza e facilità di memorizzazione. In entrambi i casi, la password deve essere unica per un solo account.

‍

Quali sono le password più comuni da evitare?

Le ricerche sulle credenziali violate, come l'analisi annuale di NordPass, trovano ripetutamente gli stessi "colpevoli" in cima alla classifica: 123456, admin e password. Cadono nella stessa trappola qualsiasi parola singola del dizionario, un nome di persona o di animale domestico, il nome di un'azienda o una stagione seguita da un anno. Sono i primi tentativi di un attacco automatizzato, quindi evitale del tutto.

‍

I password manager sono sicuri?

Sì, per quasi tutti un password manager affidabile è molto più sicuro delle alternative, cioè riutilizzo, password deboli e foglietti adesivi. L'archivio è crittografato e basta proteggere un'unica password principale robusta (idealmente una passphrase) con l'MFA attivata. La comodità è anche ciò che rende realistiche password robuste e uniche su decine di account.

‍

Quanto dovrebbe essere lunga una password?

Più è lunga, più è sicura. Il NIST raccomanda un minimo di 15 caratteri per una password a fattore singolo e supporta lunghezze fino ad almeno 64, mentre la CISA suggerisce di puntare ad almeno 16. Una passphrase è un modo semplice per raggiungere questa lunghezza senza creare qualcosa di impossibile da ricordare.

‍

Devo cambiare regolarmente le password?

Non a scadenza fissa per gli account normali. Il NIST sconsiglia i cambi periodici obbligatori, perché favoriscono schemi prevedibili. Cambia una password quando c'è un motivo concreto, come una notifica di violazione o qualsiasi segnale di compromissione.

‍

È sicuro salvare le password nel browser?

Per gli account importanti, un password manager dedicato è più sicuro dell'archiviazione integrata nel browser. Le password salvate nel browser possono essere più facili da estrarre da un dispositivo smarrito, rubato o infettato da malware. Usa la proposta del browser di salvare gli accessi solo per account di scarso valore, se proprio vuoi usarla.

‍

Come condividere una password con un collega?

Usa la funzione di condivisione sicura di un password manager, che mantiene la credenziale crittografata e permette di revocare l'accesso in seguito. Non inviarla tramite Slack, email o SMS. Se una password è mai passata da uno di questi canali, cambiala.