Le migliori pratiche per le password nei settori regolamentati: una guida pratica alla sicurezza.

Le migliori pratiche per la gestione delle password si riducono a un elenco breve, quasi noioso, ma che funziona davvero: utilizzare un gestore di password per generare password lunghe e univoche per ogni account, attivare l'autenticazione a più fattori (MFA) e non riutilizzare mai la stessa password per servizi diversi. Per i team che operano nei settori sanitario, legale e finanziario, il rischio maggiore raramente è rappresentato da una password troppo semplice, bensì da una password riutilizzata o rubata. La maggior parte delle violazioni degli account oggi inizia con credenziali già in possesso dell'attaccante, non con credenziali indovinate, quindi l'obiettivo principale è eliminare il riutilizzo delle password e aggiungere un secondo fattore di autenticazione.

‍

Punti chiave

• Un gestore di password abbinato all'autenticazione a più fattori (MFA) blocca la stragrande maggioranza degli attacchi automatizzati di compromissione degli account. Questa combinazione, e non la memorizzazione di sequenze complesse, è il fulcro della sicurezza delle password.
• La vulnerabilità principale risiede nel riutilizzo delle password. Le ricerche di settore dimostrano costantemente che la maggior parte delle persone riutilizza le stesse password, pertanto una singola violazione può propagarsi a cascata a tutti gli account che le condividono.
• Le password deboli sono solitamente prevedibili, non casuali. Cambiamenti stagionali, nomi di animali domestici e nomi di aziende sono esattamente ciò che gli hacker testano per primi.
• La minaccia si è spostata dal tentativo di indovinare le password al furto delle stesse, ed è per questo che l'unicità e l'autenticazione a più fattori (MFA) contano più della semplice complessità dei caratteri.
• Le credenziali professionali e personali non dovrebbero mai mescolarsi. Mantenerle separate limita i danni qualora una delle due venga compromessa.

‍

Quali sono le migliori pratiche per la gestione delle password?

Le migliori pratiche per le password sono l'insieme di abitudini e controlli che impediscono che le credenziali di accesso vengano indovinate, violate, riutilizzate o rubate. Riguardano il modo in cui una password viene creata (lunghezza e casualità), come viene memorizzata (utilizzando un gestore di password anziché un post-it, un foglio di calcolo o il browser), come viene protetta (autenticazione a più fattori) e come viene condivisa (solo tramite canali sicuri). Le linee guida moderne degli enti di standardizzazione si sono allontanate dall'imposizione di regole complesse sui caratteri e di frequenti cambi, privilegiando invece lunghezza, unicità e un solido secondo fattore di autenticazione.

‍

Perché la sicurezza delle password è più importante che mai

Le tattiche degli hacker sono cambiate. Dieci anni fa la preoccupazione principale era che qualcuno riuscisse a forzare una password debole provando numerose combinazioni. Oggi la minaccia maggiore è il furto di credenziali: gli hacker ottengono password funzionanti tramite violazioni di dati, phishing e malware infostealer (software che raccoglie silenziosamente password e sessioni di accesso salvate da un dispositivo infetto), per poi semplicemente accedere. Secondo il Verizon Data Breach Investigations Report, le credenziali rubate sono uno dei metodi più comuni con cui gli hacker ottengono l'accesso iniziale, e IBM X-Force ha segnalato un'elevata percentuale di intrusioni che utilizzano credenziali valide rubate, piuttosto che exploit di alcun tipo.

‍

Questo è importante per una ragione pratica. Se un malintenzionato può acquistare o rubare una password già funzionante, la robustezza di quella password non è più sufficiente a proteggervi. Ciò che vi protegge è il fatto che la password sia univoca (quindi non può sbloccare nient'altro) e che un secondo fattore si frapponga tra la password rubata e l'account. Per i team che gestiscono dati sensibili e sono soggetti a normative specifiche, questo cambiamento rappresenta il fondamento delle pratiche descritte di seguito.

‍

Cosa rende una password sicura?

Tre caratteristiche rendono una password sicura: lunghezza, casualità e unicità. La lunghezza è la più importante. Il National Institute of Standards and Technology (NIST) degli Stati Uniti, nella pubblicazione speciale 800-63B-4, raccomanda un minimo di 15 caratteri per una password utilizzata come singolo fattore di autenticazione (e supporta lunghezze fino ad almeno 64 caratteri), mentre la Cybersecurity and Infrastructure Security Agency (CISA) raccomanda di puntare ad almeno 16 caratteri. La casualità significa evitare parole del dizionario e dati personali. L'unicità significa utilizzare una password diversa per ogni account.

‍

Un'alternativa utile a una stringa casuale è una passphrase: da quattro a sette parole non correlate, unite tra loro, che risultano lunghe, difficili da decifrare e molto più facili da ricordare. La CISA fornisce esempi come una manciata di parole non correlate combinate in un'unica frase.

‍

‍

Ecco la differenza nella pratica:

‍

‍

Come creare una password sicura

Il metodo più rapido e affidabile è quello di lasciare che un gestore di password ne generi una per te. Quando invece devi crearne una manualmente (ad esempio, la password principale che sblocca il tuo gestore), costruisci una passphrase:

‍

1. Scegli da quattro a sette parole casuali e non correlate tra loro. Evita qualsiasi parola che ti riguardi, il tuo datore di lavoro o la data.
2. Uniscili in un'unica frase. Puoi mantenere o rimuovere gli spazi.
3. Meglio allungare che complicare. Una frase più lunga è preferibile a una breve sequenza di simboli.
4. Assicurati che venga utilizzato in un solo punto e in nessun altro.
5. Non memorizzarla mai in chiaro. Impara a memoria la password principale e lascia che il responsabile conservi le altre.

‍

Evitate completamente gli elementi costitutivi prevedibili. Gli aggressori utilizzano attacchi a dizionario (tentativi automatici basati su elenchi di parole comuni e password note) e credential stuffing (riutilizzo di coppie di nome utente e password trapelate da altre violazioni). Le password comunemente violate, come 123456, admin e password (rilevate regolarmente nelle ricerche di NordPass), cadono all'istante, così come le scelte contestuali come il nome di un animale domestico, il nome di un'azienda o una stagione e un anno.

‍

Smettere di riutilizzare le password: la soluzione più efficace.

Se devi cambiare un'abitudine, cambia anche questa. I sondaggi citati nella ricerca sulla sicurezza mostrano che la maggior parte delle persone riutilizza le password per più account (Forbes Advisor ha riportato cifre intorno al 78%), e l'analisi delle violazioni di SpyCloud ha rilevato che una grande percentuale di persone colpite aveva riutilizzato una password precedentemente compromessa. Il riutilizzo è ciò che trasforma una singola falla in una reazione a catena: un servizio violato fornisce a un aggressore la chiave per accedere alla tua email, e la tua email diventa il punto di accesso per tutto il resto.

‍

Due regole fondamentali derivano direttamente da queste. Primo, usa una sola password per ogni servizio, senza eccezioni. Secondo, mantieni le credenziali di lavoro e quelle personali completamente separate. La password del tuo servizio di streaming non deve avere nulla a che fare con i sistemi aziendali e una password aziendale non dovrebbe mai proteggere un account personale. Considera questa separazione come una misura di sicurezza, non come una questione di etichetta: limita il raggio d'azione in modo che una violazione da un lato non possa estendersi all'altro.

‍

Cos'è un gestore di password e dovresti usarne uno?

Un gestore di password è un'applicazione che genera, memorizza e compila automaticamente le password all'interno di un archivio crittografato. Tu ricordi una password principale sicura, mentre il gestore memorizza tutto il resto, incluse password lunghe e casuali che non saresti mai in grado di ricordare. Inoltre, segnala le password deboli o duplicate in modo che tu possa correggerle. La CISA e la maggior parte dei team di sicurezza considerano un gestore di password il metodo più semplice per creare password sicure e univoche per ogni account.

‍

Esistono due grandi categorie. Personal I gestori di password sono utili a singoli utenti e piccoli team. Enterprise Le soluzioni, spesso parte della gestione degli accessi privilegiati (PAM, la pratica di proteggere e monitorare le credenziali amministrative di alto valore), aggiungono controllo centralizzato, restrizioni di accesso, audit e single sign-on (SSO, che consente agli utenti di autenticarsi una sola volta per accedere a più applicazioni approvate). Un avvertimento: evitate di affidarvi alla memoria integrata del browser per le credenziali importanti, poiché le password memorizzate nel browser possono essere più facili da estrarre da un dispositivo compromesso o rubato rispetto a quelle in un gestore dedicato e crittografato.

‍

Attiva l'autenticazione a più fattori (MFA)

L'autenticazione a più fattori (MFA) richiede una seconda prova di identità oltre alla password, come un codice generato da un'app di autenticazione, una chiave hardware o un controllo biometrico. Poiché una password rubata o indovinata da sola non è sufficiente per accedere, l'MFA blocca la maggior parte degli attacchi automatizzati e di massa, ed è raccomandata sia dalla CISA che da Microsoft come misura di sicurezza di base.

‍

Non tutti i fattori di autenticazione hanno la stessa importanza. Laddove supportato, è preferibile utilizzare metodi resistenti al phishing basati sugli standard FIDO2 e WebAuthn, inclusi i passkey (chiavi crittografiche associate al dispositivo che sostituiscono completamente la password e funzionano come metodo di accesso autonomo, non solo come secondo fattore). I codici monouso inviati tramite SMS rappresentano il fattore di autenticazione più debole, poiché sono vulnerabili agli attacchi di SIM swapping e al protocollo SS7, che possono intercettare i messaggi SMS a livello di rete. Sia il NIST che la CISA sconsigliano di utilizzarli quando esistono opzioni più sicure.

‍

È consigliabile cambiare regolarmente le password?

No, non con una cadenza fissa, almeno non per gli account utente ordinari. Il NIST ora sconsiglia il cambio periodico obbligatorio delle password degli utenti, perché la rotazione forzata spinge le persone ad adottare schemi prevedibili (Estate 2025 diventa Estate 2026) e ad annotarle. È preferibile cambiare la password quando c'è un motivo valido: una compromissione nota o sospetta, una notifica di violazione dei dati o una credenziale di cui non si ha più traccia. Anche quando si è "abbastanza sicuri che vada bene", una comprovata esposizione al rischio è un motivo sufficiente per cambiarla. (Le credenziali amministrative con privilegi elevati costituiscono un'eccezione e vengono spesso cambiate regolarmente.)

‍

Come condividere le password in modo sicuro

A volte è davvero necessario condividere una credenziale. In questi casi, il canale di comunicazione è importante quanto la password stessa. Non inviare mai una password tramite Slack, e-mail o SMS, poiché potrebbe rimanere nella cronologia di ricerca, essere inoltrata o essere esposta in caso di compromissione di uno dei due account. Condividila invece tramite la funzione di condivisione sicura di un gestore di password, che mantiene la credenziale crittografata e consente di revocare l'accesso in un secondo momento. Se una password viene inviata tramite chat o e-mail, considerala come potenzialmente a rischio e cambiala regolarmente.

‍

Procedure consigliate per la gestione delle password nei settori regolamentati.

Le organizzazioni sanitarie, legali e finanziarie hanno un obbligo aggiuntivo, perché gli account in questione spesso proteggono dati regolamentati. Nel settore sanitario, ciò include le informazioni sanitarie protette (PHI, dati sanitari individualmente identificabili). I framework stabiliscono aspettative che l'igiene delle credenziali aiuta a soddisfare. La HIPAA Security Rule, ad esempio, richiede controlli di accesso e misure di sicurezza per l'autenticazione per i sistemi che gestiscono PHI, e le credenziali univoche più l'autenticazione a più fattori (MFA) sono modi pratici per supportare tali requisiti. (HIPAA regola anche i rapporti con i fornitori attraverso un Business Accordo di affiliazione, o BAA (Associate Agreement, ovvero il contratto che rende un fornitore di servizi responsabile della salvaguardia delle informazioni sanitarie protette).

‍

Un aspetto fondamentale da tenere a mente è che conformità e sicurezza sono correlate, ma non identiche. Una policy per le password può tecnicamente soddisfare una vecchia checklist pur lasciando un rischio reale, e una policy che sembra rigida (cambi frequenti e obbligatori, regole complesse sui caratteri) può rivelarsi più debole nella pratica rispetto a una più semplice basata su lunghezza, unicità, un gestore di password e l'autenticazione a più fattori (MFA). L'obiettivo per un team soggetto a normative è una policy che sia al contempo difendibile da un revisore e realmente efficace contro le attuali modalità operative degli hacker. Credenziali robuste e univoche, MFA, condivisione sicura e un vault crittografato supportano i controlli riconosciuti da framework come HIPAA, SOC 2 e ISO 27001 senza compromettere l'usabilità.

‍

FAQ

‍

Qual è il tipo di password più sicuro?

La password più sicura è una password lunga e casuale, generata e memorizzata da un gestore di password, perché non è necessario ricordarla o digitarla. Per l'unica password che si deve memorizzare, una frase composta da quattro a sette parole non correlate offre lunghezza e facilità di memorizzazione allo stesso tempo. In entrambi i casi, la password dovrebbe essere univoca per ogni singolo account.

‍

Quali sono le password più comuni da evitare?

Le ricerche sulle credenziali violate, come l'analisi annuale di NordPass, individuano ripetutamente gli stessi responsabili ai primi posti: 123456, admin e password. Qualsiasi singola parola del dizionario, un nome o un animale domestico, il nome di un'azienda o una stagione seguita da un anno cade nella stessa trappola. Questi sono i primi tentativi di un attacco automatizzato, quindi è fondamentale evitarli completamente.

‍

I gestori di password sono sicuri?

Sì, per quasi tutti un gestore di password affidabile è di gran lunga più sicuro delle alternative, ovvero il riutilizzo di password deboli e l'uso di post-it. Il vault è crittografato e basta proteggere una sola password principale robusta (idealmente una passphrase) con l'autenticazione a più fattori (MFA) abilitata. La praticità è anche ciò che rende realisticamente possibile utilizzare password complesse e univoche per decine di account.

‍

Quanto deve essere lunga una password?

Più lunga è, più sicura è. Il NIST raccomanda un minimo di 15 caratteri per una password a singolo fattore e supporta lunghezze fino ad almeno 64, mentre la CISA suggerisce di puntare ad almeno 16. Una passphrase è un modo semplice per raggiungere tale lunghezza senza creare qualcosa di impossibile da ricordare.

‍

Devo cambiare regolarmente le mie password?

Non è previsto un cambio di password a intervalli fissi per gli account normali. Il NIST sconsiglia i cambi periodici obbligatori, perché incoraggiano la prevedibilità dei comportamenti. Cambiate la password solo in presenza di un evento reale, come una notifica di violazione dei dati o qualsiasi altro segnale di compromissione.

‍

È sicuro memorizzare le password nel mio browser?

Per gli account importanti, un gestore di password dedicato è più sicuro della memoria integrata del browser. Le password memorizzate nel browser possono essere più facili da recuperare da un dispositivo smarrito, rubato o infetto da malware. Utilizza la funzione di salvataggio delle credenziali di accesso del browser solo per gli account di scarso valore, se proprio devi evitarla.

‍

Come posso condividere una password con un collega?

Utilizza la funzione di condivisione sicura del tuo gestore di password, che mantiene le credenziali crittografate e ti consente di revocare l'accesso in un secondo momento. Non inviarle tramite Slack, e-mail o SMS. Se una password è mai transitata attraverso uno di questi canali, cambiala.