Bitle aveva una chiave nuova e bellissima, e la usava per tutto: la porta, la posta, il baule, il diario. Per non perderla la metteva sempre nello stesso posto, quello facile da ricordare, sotto lo zerbino. Una notte qualcuno ha guardato lì sotto.
Il problema non è la password debole, è la password ripetuta
Per anni ci hanno spiegato che una password deve avere maiuscole, numeri e simboli. È servito a creare password che ricordiamo male e che finiscono su un foglietto, mentre il rischio più concreto è un altro: usare la stessa in più posti.
Il motivo è meccanico. Quando un sito qualunque viene bucato, le credenziali rubate finiscono in liste che vengono rivendute e poi provate in automatico su centinaia di altri servizi: mail, banca, gestionali, social. Nessuno prova a indovinare la tua password; qualcuno la conosce già perché tu l'hai lasciata altrove, e la sta semplicemente riprovando dove può contare di più.
Quindi la domanda utile non è "la mia password è complicata?" ma "se domani scoprono questa, quante porte apre?". Se la risposta è più di una, il resto conta poco.
Il portachiavi
L'obiezione ragionevole è: non posso ricordare quaranta password diverse. È vero, infatti non devi. Serve un gestore di password, che è un programma che le genera tutte diverse, le conserva cifrate e le inserisce al posto tuo. Tu ne ricordi una sola, quella che apre il gestore.
Suona come mettere tutte le uova nello stesso paniere, ed è la prima cosa che chiede chiunque. La differenza è che quel paniere è costruito per essere un paniere: cifratura seria, nessun accesso in chiaro nemmeno per chi fornisce il servizio, e sopra la verifica in due passaggi. È esattamente il contrario del foglio Excel condiviso o del file di testo sul desktop, che invece sono panieri senza fondo.
Il secondo lucchetto
La seconda mossa vale più della prima: attivare la verifica in due passaggi dove conta. È la lucciola che nel cartone si accende solo per Bitle. Anche se qualcuno ha la chiave, senza il secondo segnale la porta non si apre.
Non tutti i secondi fattori sono uguali. Il codice via SMS è meglio di niente, ma è il più debole, perché il numero si può dirottare. Un'app di autenticazione sul telefono è il compromesso giusto per quasi tutti. Le chiavi fisiche e le passkey sono ancora più solide, e sempre più servizi le supportano.
Dove metterla per prima cosa, se parti da zero: la mail, sempre, perché è la porta che apre tutte le altre attraverso il recupero password. Poi la banca, poi i gestionali aziendali, poi il resto.
In azienda cambia una cosa sola, ma pesa
Nelle PMI il problema raramente è il singolo distratto. Sono tre abitudini organizzative.
Le password condivise, quelle dell'account unico che usano in cinque, di solito scritte in un file che sta su una cartella di rete. Non si può revocare a una persona sola, e quando qualcuno se ne va resta valida.
L'offboarding senza procedura. Un dipendente esce, si spegne il PC, ma l'accesso al gestionale, alla posta e ai servizi esterni resta lì per mesi.
Gli account personali usati per lavoro, dove le credenziali aziendali finiscono mescolate a quelle di casa, e la password del gestionale è la stessa del sito di e-commerce bucato tre anni fa.
Si risolvono con un gestore di password aziendale, un elenco scritto di cosa si revoca quando qualcuno esce, e la verifica in due passaggi resa obbligatoria invece che consigliata. È lavoro noioso e si fa una volta.
Cosa puoi fare stasera
Cambia la password della mail principale e rendila diversa da tutte le altre. Attiva su quella la verifica in due passaggi. Installa un gestore di password e comincia a metterci dentro i cinque servizi che useresti anche domani mattina. Il resto lo sistemi col tempo, ogni volta che accedi a un sito e ti chiede la password vecchia.
Non serve fare tutto oggi. Serve smettere di avere una chiave sola.
Se in azienda il quadro è quello di prima e non sai da dove cominciare, parliamone: la prima cosa che facciamo quando prendiamo in carico l'IT di una PMI è proprio mettere ordine tra chi accede a cosa.
