Sicurezza delle password in azienda: guida ai due passaggi
Una routine di password per un piccolo team: password robuste, gestore, account condivisi, verifica in due passaggi, persone che escono e phishing.
Team rabbitclipPubblicato: 7 min di lettura
In breve
La sicurezza delle password in azienda significa proteggere ogni account con una propria password lunga, conservare queste password in un gestore, attivare la verifica in due passaggi sugli account che contano e chiudere con tempestività l'accesso di una persona quando lascia il team. Per un piccolo team, queste quattro abitudini evitano la maggior parte delle prese di controllo degli account. La parte difficile non è la tecnologia, ma far seguire la routine a tutti: gli account condivisi, le password riutilizzate e i vecchi permessi dimenticati formano la maggior parte del rischio reale.
Quando un account viene preso, lei perde più di un accesso. Posta, dominio, hosting, account pubblicitari e social sono collegati, e chi entra in uno può reimpostare le password degli altri. Per questo conta anche l'ordine in cui protegge gli account.
Il generatore di password sul nostro sito può produrre una password robusta, ma il vero lavoro sta nel decidere dove vivono le password e chi le gestisce. Di seguito trova una routine che un piccolo team può davvero mantenere.
Da dove inizia la sicurezza delle password in azienda?
Inizi elencando gli account che sono le vere chiavi dell'attività. La posta aziendale viene per prima, perché la maggior parte dei servizi vi invia il link per reimpostare la password. Seguono la registrazione del dominio, l'hosting e il pannello di amministrazione del sito, gli account pubblicitari, i social, la contabilità e la banca.
Una volta fatto l'elenco, controlli tre cose per ogni account: chi lo gestisce, che cosa lo protegge e se esiste un secondo passaggio di verifica. La maggior parte delle aziende scopre la prima falla rispondendo a queste tre domande.
- Una password diversa per ogni account
- Una password lunga invece di una corta e complicata
- Un gestore di password che le custodisca
- Verifica in due passaggi sugli account che contano
- Una lista di controllo che chiuda gli accessi quando qualcuno se ne va
Come si crea una password robusta?
Una password robusta ha due qualità: è lunga e non viene usata da nessun'altra parte. La lunghezza vale più di una manciata di caratteri complicati. Una frase lunga fatta di poche parole senza legame tra loro è facile da ricordare e difficile da indovinare. Compleanni, nomi di aziende, numeri di telefono e sequenze di tasti sono le prime cose che chiunque proverebbe.
Per gli account che non ha bisogno di ricordare, la cosa migliore è una password lunga e casuale prodotta da un gestore di password o dal generatore. Non usi mai la stessa password su due account. Le password trapelate da un servizio vengono provate su altri, e una password riutilizzata funziona ovunque sia stata riutilizzata.
Perché serve un gestore di password e come si trattano gli account condivisi?
Un gestore di password conserva le password in un archivio cifrato, ne genera di nuove a caso e le inserisce quando lei arriva al sito giusto. Ognuno ricorda una sola password principale e l'archivio porta il resto. I gestori pensati per i team offrono anche archivi condivisi, così la password di un account condiviso sta lì e non in un'app di messaggistica o in un foglio di calcolo.
Gli account condivisi, cioè un accesso usato da più persone, vanno ridotti al minimo. Se il servizio permette di creare utenti nominali, ne dia uno a ciascuno: si vede chi ha fatto che cosa e quando, e quando qualcuno se ne va si chiude solo il suo accesso. In caso contrario, conservi la password nell'archivio condiviso e la cambi ogni volta che qualcuno lascia il team.
Il salvataggio delle password integrato nel browser è meglio di niente, ma un gestore dedicato è più ordinato per l'amministrazione e la condivisione nel team. Se la password principale viene dimenticata, l'archivio non si può aprire, perciò decida fin dall'inizio il metodo di recupero e lo conservi in modo sicuro.
Che cos'è la verifica in due passaggi e quale metodo scegliere?
La verifica in due passaggi chiede una seconda prova oltre alla password: un codice da un'app sul telefono, una chiave di sicurezza o una richiesta di approvazione. Anche se la password viene rubata, serve il secondo elemento per entrare nell'account.
I metodi non sono tutti uguali. Un messaggio di testo è meglio di niente, ma un'app di autenticazione o una chiave di sicurezza fisica sono considerate in generale più forti. La scelta dipende da ciò che il servizio offre e da ciò che il team userà davvero.
Quando la configura, raccolga sempre i codici di recupero e li conservi in una nota protetta nel gestore di password. Se un telefono va perso, possono essere l'unico modo per rientrare. Dia la priorità agli account di posta, dominio, hosting, pubblicità e finanza.
Come si chiude l'accesso di chi se ne va?
Chiuda l'accesso il giorno in cui la persona se ne va e lavori con una lista di controllo invece che a memoria. Una trappola comune sono gli account aziendali aperti con l'indirizzo email privato di una persona. L'azienda deve essere la titolare dell'account.
Anche quando l'addio è cordiale, questi passi non esprimono sfiducia verso la persona. Servono perché un permesso dimenticato non diventi in seguito una porta aperta.
- Chiudere l'account di posta aziendale o affidare ad altri il suo inoltro
- Cambiare le password degli account condivisi
- Rimuovere o trasferire i diritti di amministratore su hosting, pubblicità, social e pannello del sito
- Spostare su un nuovo dispositivo la verifica in due passaggi legata al telefono della persona
- Confermare che gli account di dominio, hosting e abbonamenti siano registrati a nome dell'azienda
Come si riconosce un'email di phishing?
Il phishing è un messaggio che la convince a digitare la sua password o un codice di verifica su una pagina falsa. Le mette fretta, dice che il suo account sarà chiuso o che un pagamento è sospeso, e arriva con le sembianze di un marchio noto o di un superiore. Anche qui un gestore di password aiuta: inserisce la password solo sull'indirizzo autentico salvato, perciò se non la inserisce, si fermi e guardi l'indirizzo.
Nel dubbio, non clicchi sul link nel messaggio. Raggiunga il servizio dai suoi segnalibri o digitando l'indirizzo. Non comunichi mai un codice di verifica a nessuno; i servizi autentici di solito non lo chiedono per telefono o per messaggio. Se qualcuno del team ha cliccato su qualcosa di sospetto, gli renda facile segnalarlo subito invece di dargli la colpa. La rapidità limita il danno.
Quali errori sono comuni e quali scelte sono sbagliate?
Gli errori comuni sono questi: password conservate in un foglio di calcolo o in un gruppo di chat, la stessa password su più account, una verifica in due passaggi legata al telefono di una sola persona, così l'account si blocca quando quella persona se ne va, e opzioni di recupero che puntano ancora a una vecchia email o a un vecchio numero.
Anche alcune scelte sono sbagliate. I cambi di password periodici imposti non sono più raccomandati da molte linee guida attuali, perché spingono le persone verso piccole modifiche prevedibili. Colleghi invece il cambio a un evento: qualcuno lascia il team, oppure lei sospetta una compromissione. Un'attività di una sola persona può non aver bisogno di un piano per team; un gestore personale e la verifica in due passaggi possono bastare. Una politica severa che nessuno segue protegge meno di una routine semplice che le persone seguono davvero.
Per un piccolo team, la sicurezza delle password si riduce a quattro passi: un elenco degli account, un gestore di password, la verifica in due passaggi e una lista di controllo per chi se ne va. Inizi da posta e dominio, poi passi a pubblicità e social. In una chiamata conoscitiva, rabbitclip può rivedere con lei lo stato attuale dei suoi account.
Domande frequenti
Che cos'è la verifica in due passaggi?
È un metodo di accesso che chiede una seconda prova oltre alla password, come un codice da un'app di autenticazione, una chiave di sicurezza o una richiesta di approvazione. Rende più difficile entrare in un account anche se la password viene rubata.
Un gestore di password è sicuro?
Con un gestore affidabile e una password principale robusta è in generale più sicuro che tenere le password in un foglio di calcolo o in un quaderno. Gran parte del rischio sta in quanto bene è protetta la password principale.
Quando va cambiata la password di un account condiviso?
In base agli eventi, non al calendario: quando qualcuno lascia il team, quando sospetta che la password sia stata esposta o quando un servizio che usa annuncia una fuga di dati.
Quanto deve essere lunga una password robusta?
Non c'è un numero fisso. Deve essere lunga quanto il servizio consente e non essere usata da nessun'altra parte. Una frase di poche parole senza legame tra loro, o una lunga password generata a caso, è un buon inizio.
