Complessa non significa imprevedibile

Partiamo da un esempio.

Una password costruita con il nome dell'azienda, l'anno corrente e un punto esclamativo può rispettare formalmente diverse regole: contiene lettere maiuscole e minuscole, numeri e un carattere speciale.

Il problema è che segue uno schema facilmente prevedibile.

Lo stesso vale per password costruite utilizzando nomi, date di nascita, squadre del cuore, città, parole comuni oppure semplici sostituzioni come

@ al posto della lettera “a” o 1 al posto della “i”.

Gli strumenti utilizzati per tentare di individuare le password non provano necessariamente combinazioni completamente casuali: possono partire anche da parole e schemi comunemente utilizzati dalle persone.

Aggiungere un punto esclamativo alla fine, quindi, non trasforma automaticamente una password debole in una password forte.

Perché la lunghezza della password è importante?

Più una password è lunga, maggiore può diventare il numero delle possibili combinazioni da provare per individuarla, soprattutto se non segue schemi prevedibili.

Per questo oggi è utile ragionare non soltanto in termini di “complessità”, ma anche di lunghezza.

Una possibilità è utilizzare una passphrase, cioè una sequenza sufficientemente lunga di parole non facilmente associabili tra loro.

L'obiettivo non è creare qualcosa di impossibile da digitare o ricordare, ma rendere la credenziale difficile da prevedere e da indovinare.

Una password diversa per ogni account

C'è poi una regola ancora più importante: non utilizzare la stessa password su servizi diversi.

Immaginiamo di utilizzare la stessa combinazione per la posta elettronica, un software aziendale e un servizio online.

Se uno di questi servizi subisce una violazione e le credenziali vengono compromesse, gli stessi dati possono essere provati automaticamente anche su altri account. È una tecnica nota come credential stuffing.

In questo caso il problema non è necessariamente la debolezza della password: anche una password molto lunga e complessa diventa rischiosa se viene utilizzata ovunque.

Per questo ogni account dovrebbe avere una password unica.

Ma come facciamo a ricordarle tutte?

È qui che entrano in gioco i password manager.

Sono strumenti progettati per generare e conservare credenziali diverse per i vari servizi, permettendo all'utente di non dover memorizzare decine di password.

In questo modo diventa molto più semplice utilizzare password lunghe, casuali e soprattutto differenti per ogni account.

Naturalmente anche il password manager deve essere scelto e configurato con attenzione e il suo accesso deve essere adeguatamente protetto.

Una password da sola non basta

Anche una buona password può essere compromessa.

Può accadere attraverso una violazione di un servizio, ma anche tramite un tentativo di phishing: una falsa e-mail o una pagina apparentemente autentica possono convincere l'utente a inserire volontariamente le proprie credenziali.

Per questo, dove disponibile, è importante attivare anche l'autenticazione a più fattori (MFA).

Il principio è semplice: per accedere non basta conoscere la password, ma viene richiesto un ulteriore elemento di verifica.

In questo modo, se qualcuno dovesse entrare in possesso della password, avrebbe comunque un ostacolo aggiuntivo da superare per accedere all'account.

E in azienda?

In ambito aziendale la gestione delle password non riguarda soltanto il singolo utente.

Account condivisi, credenziali utilizzate da più persone, password mai modificate dopo il cambio di un collaboratore o accessi non più necessari possono aumentare l'esposizione al rischio.

Per questo la sicurezza passa anche da una corretta gestione degli utenti e delle autorizzazioni: ogni persona dovrebbe poter accedere soltanto alle informazioni e agli strumenti necessari per il proprio lavoro, mentre gli account non più utilizzati dovrebbero essere tempestivamente disabilitati.

Tecnologia e organizzazione, anche in questo caso, devono procedere insieme.

La sicurezza informatica comincia dalle buone abitudini

Non esiste una password capace, da sola, di garantire la sicurezza di un sistema.

Possiamo però ridurre significativamente i rischi adottando alcune buone pratiche: password lunghe e uniche, password manager, autenticazione a più fattori e una gestione attenta degli accessi aziendali.

E soprattutto ricordando che la cybersecurity non riguarda soltanto firewall, antivirus e infrastrutture.

Riguarda anche i comportamenti quotidiani delle persone che utilizzano quegli strumenti.

Per questo in Data la sicurezza informatica viene affrontata considerando insieme tecnologia, organizzazione e persone.

Perché spesso la protezione di un'azienda comincia proprio da un gesto apparentemente semplice come accedere a un account.