Per molte PMI la sicurezza informatica viene percepita come un tema di firewall, antivirus, backup o server. Sono elementi importanti, ma spesso il punto piu fragile e molto piu quotidiano: gli account con cui dipendenti, collaboratori e fornitori entrano in email, gestionali, cloud, CRM, documenti condivisi e applicazioni operative.
Una password riutilizzata, un account condiviso, un ex collaboratore ancora abilitato o un amministratore senza autenticazione multifattore possono aprire la strada ad accessi non autorizzati, perdita di dati, blocchi operativi e problemi di compliance. La domanda non e solo "abbiamo password sicure?", ma "sappiamo chi puo accedere a cosa, con quale livello di protezione e con quali controlli nel tempo?".
Questa guida, verificata il 31 luglio 2026, aiuta imprenditori, manager e responsabili operativi a valutare password, MFA e accessi aziendali in modo pratico. Le indicazioni su GDPR e sicurezza dei dati sono generali: ogni scelta deve essere adattata al rischio specifico, ai sistemi utilizzati e ai dati trattati.
Perche gli accessi sono un punto critico per le PMI
Ogni account aziendale e una porta di ingresso. Alcune porte aprono solo informazioni limitate, altre permettono di leggere email, scaricare archivi, modificare dati clienti, approvare pagamenti, amministrare server o cambiare configurazioni di sicurezza.
Nelle PMI il rischio cresce per motivi molto concreti. Spesso le persone usano molti strumenti diversi, alcune applicazioni sono state introdotte in momenti differenti, l'IT interno e ridotto o esternalizzato, e le urgenze operative portano a creare accessi rapidi senza una revisione successiva. All'inizio sembra efficienza. Nel tempo diventa disordine.
Il problema non riguarda solo gli attacchi sofisticati. Le fonti istituzionali ricordano che credenziali rubate, phishing, password riutilizzate e privilegi eccessivi restano vettori molto comuni. Se un account viene compromesso, l'impatto dipende da quanto quell'account puo fare e da quanto velocemente l'azienda se ne accorge.
Password sicure: non basta chiedere combinazioni complicate
Per anni molte aziende hanno imposto password brevi ma complesse: maiuscole, numeri, simboli e cambi periodici. Questo approccio, da solo, spesso peggiora l'esperienza degli utenti e li spinge verso scorciatoie prevedibili: password simili tra loro, varianti progressive, fogli condivisi, note locali o riuso tra servizi personali e aziendali.
Un approccio piu maturo parte da tre criteri: password lunghe, uniche e gestite in modo sicuro. Lunghe, per ridurre la facilita di indovinare o automatizzare l'attacco. Uniche, per evitare che una violazione su un servizio esterno diventi una chiave per entrare anche nei sistemi aziendali. Gestite bene, per non chiedere alle persone di ricordare decine di credenziali impossibili.
Il cambio periodico non dovrebbe essere una regola cieca. Ha senso cambiare password quando esiste un sospetto di compromissione, quando una persona lascia l'azienda, quando un account condiviso viene dismesso o quando un fornitore non deve piu avere accesso. Imporre cambi continui senza segnali di rischio puo creare piu confusione che sicurezza.
MFA: dove attivarla prima
L'autenticazione multifattore, o MFA, aggiunge un secondo elemento oltre alla password. Puo essere un'app di autenticazione, una chiave di sicurezza, una notifica approvata su dispositivo, un fattore biometrico o altri strumenti disponibili nel servizio usato. Il punto e semplice: se la password viene rubata, l'attaccante non dovrebbe poter entrare solo con quella.
Per una PMI non sempre e realistico attivare tutto ovunque nello stesso giorno. Conviene partire dagli account piu esposti e piu critici: email aziendale, amministratori dei sistemi, strumenti cloud, gestionali, CRM, piattaforme di pagamento, accessi remoti, repository documentali, account dei fornitori e servizi che trattano dati personali o informazioni riservate.
Non tutte le forme di MFA hanno lo stesso livello di robustezza. Codici via SMS o email possono essere meglio della sola password, ma sono piu deboli rispetto a metodi resistenti al phishing come chiavi FIDO2/WebAuthn o autenticatori integrati nei dispositivi quando supportati. La scelta deve bilanciare rischio, usabilita, costo e continuita operativa: una protezione troppo difficile da usare verra aggirata, una protezione troppo debole puo non bastare sugli account critici.
Permessi, ruoli e account condivisi
La sicurezza degli accessi non si esaurisce nel login. Dopo l'autenticazione conta l'autorizzazione: cosa puo fare quella persona dentro il sistema? Puo solo leggere? Puo modificare? Puo esportare dati? Puo creare utenti? Puo cambiare impostazioni o cancellare archivi?
Il principio utile per una PMI e il minimo privilegio: ogni persona dovrebbe avere solo gli accessi necessari per svolgere il proprio lavoro. Non significa bloccare l'operativita, ma evitare che permessi accumulati negli anni restino attivi senza motivo. I privilegi amministrativi, in particolare, dovrebbero essere pochi, personali, tracciabili e protetti con MFA.
Gli account condivisi sono un altro punto delicato. Quando piu persone usano lo stesso utente, diventa difficile capire chi ha fatto cosa, revocare l'accesso a una singola persona, applicare controlli differenziati e gestire responsabilita. Se una condivisione e davvero necessaria, meglio usare funzioni di delega, gruppi, ruoli o password manager aziendali con tracciamento, invece di scambiarsi credenziali in chat o documenti.
Onboarding e offboarding: gli accessi vanno gestiti nel tempo
Molti problemi nascono non quando un account viene creato, ma quando non viene piu rivisto. Una persona cambia ruolo, un consulente termina il progetto, un fornitore non lavora piu con l'azienda, un dipendente lascia l'impresa, ma le autorizzazioni restano aperte.
Una gestione sicura degli accessi richiede procedure semplici per tre momenti: ingresso, cambio ruolo e uscita. All'ingresso bisogna creare account personali, assegnare gruppi coerenti, attivare MFA dove serve e spiegare le regole minime. Quando il ruolo cambia, i permessi vanno aggiornati: non basta aggiungere nuovi accessi, bisogna rimuovere quelli non piu necessari. All'uscita, l'azienda deve revocare o sospendere tempestivamente gli account, recuperare dispositivi e token, trasferire proprieta di documenti e verificare eventuali accessi esterni.
Questo processo dovrebbe essere documentato, anche in forma leggera. Una checklist condivisa tra direzione, amministrazione, IT e responsabili di funzione puo ridurre dimenticanze costose. Se l'azienda tratta dati personali, la revisione dei permessi e anche parte delle misure organizzative da valutare nel quadro GDPR.
Password manager, SSO e strumenti: tecnologia al servizio del processo
Un password manager aziendale puo aiutare a generare password uniche, conservarle in modo piu ordinato, gestire condivisioni controllate e ridurre l'abitudine a salvare credenziali in file non protetti. Non elimina tutti i rischi, perche anche il password manager va configurato e protetto, ma puo rendere piu facile seguire comportamenti corretti.
Il single sign-on, o SSO, puo semplificare l'accesso a piu applicazioni con un'identita centrale. E utile quando l'azienda usa molti servizi cloud o vuole gestire meglio utenti e permessi. Proprio perche centralizza molti accessi, pero, deve essere protetto con MFA, monitoraggio e buone regole sugli amministratori.
Gli strumenti non risolvono da soli un processo confuso. Prima di scegliere una piattaforma, conviene chiarire quali sistemi sono davvero critici, chi li usa, quali dati contengono, quali accessi sono esterni, quali account sono privilegiati e quali procedure mancano. La tecnologia deve rendere piu semplice applicare le regole, non sostituire le decisioni organizzative.
Come Zanettistudios puo aiutare
Zanettistudios presenta la Gestione Servizi IT come un'area dedicata a soluzioni tecnologiche per crescita e innovazione, includendo cybersecurity e protezione dei dati, data management, infrastrutture IT, virtualizzazione, soluzioni ibride, datacenter, server e continuita operativa. In questo perimetro, la gestione degli accessi e un tema trasversale: tocca sicurezza, operativita, protezione dei dati e affidabilita dei sistemi.
Per una PMI, il supporto puo partire da una fotografia dell'esistente: account attivi, strumenti usati, ruoli, privilegi, MFA, accessi dei fornitori, procedure di ingresso e uscita, rischi principali e priorita. Da li si puo costruire un piano graduale, evitando interventi troppo teorici o sproporzionati rispetto alla dimensione aziendale.
Il valore non e solo tecnico. Una buona gestione degli accessi riduce dipendenze informali, rende piu chiara la responsabilita interna, aiuta a proteggere dati e documenti e prepara l'azienda a crescere con sistemi piu ordinati.
Checklist operativa per partire
Il primo controllo e fare l'inventario degli account critici: email, cloud, gestionali, CRM, amministrazione, strumenti finanziari, repository documentali, server, VPN, backup, piattaforme di marketing e servizi usati dai fornitori.
Il secondo controllo e verificare dove MFA e gia attiva e dove manca. La priorita dovrebbe andare agli account amministrativi, agli accessi remoti, alla posta elettronica, ai servizi cloud e agli strumenti che contengono dati personali o dati aziendali sensibili.
Il terzo controllo e cercare account condivisi, utenti non personali, permessi eccessivi e accessi di persone non piu coinvolte. Ogni eccezione deve avere una ragione, una responsabilita e una revisione periodica.
Il quarto controllo e definire una procedura minima per ingresso, cambio ruolo e uscita. Anche una lista breve, se applicata sempre, e meglio di una gestione affidata alla memoria.
Il quinto controllo e stabilire cosa monitorare: tentativi di accesso insoliti, login da Paesi inattesi, fallimenti MFA, account inattivi, privilegi elevati e modifiche agli amministratori.
FAQ
La MFA va attivata su tutti gli account aziendali? Idealmente si dovrebbe estendere il piu possibile, ma in una PMI conviene partire dagli account piu critici: email, amministratori, cloud, accessi remoti, gestionali e sistemi che trattano dati personali o informazioni riservate.
Un password manager aziendale e sufficiente per essere sicuri? No. Aiuta molto nella gestione di password uniche e condivisioni controllate, ma deve essere protetto con MFA, procedure di recupero sicure, ruoli corretti e formazione degli utenti.
Ogni quanto bisogna cambiare le password? Non e utile imporre cambi periodici solo per abitudine. E piu sensato cambiare password quando c'e un sospetto di compromissione, quando un account condiviso viene dismesso, quando cambia un fornitore o quando una persona lascia l'azienda.
Gli account condivisi sono sempre vietati? Sono da evitare quando possibile, perche riducono tracciabilita e controllo. Se un'esigenza di condivisione esiste davvero, e meglio usare deleghe, gruppi, ruoli o strumenti che permettono controllo e revisione.
Che cosa deve fare una PMI quando un dipendente lascia l'azienda? Deve sospendere o revocare gli account, recuperare dispositivi e token, trasferire documenti o caselle operative, rimuovere accessi a strumenti esterni e verificare eventuali permessi condivisi.
La gestione degli accessi riguarda anche il GDPR? Si, quando gli account permettono di accedere a dati personali. Le misure devono essere adeguate al rischio e includere identificativi personali, autorizzazioni coerenti, revisione dei permessi e rimozione degli accessi non piu necessari.
Fonti
- Zanettistudios - Gestione Servizi IT
- Zanettistudios - Servizi
- Zanettistudios - Contatti
- ACN - Cybersicurezza per PMI
- EDPB - Secure personal data, guida per piccole imprese
- ENISA - Tips for secure user authentication
- NIST - Multi-Factor Authentication per small business
- NIST SP 800-63B - Digital Identity Guidelines
- NCSC - Password policy: updating your approach