Una password condivisa via messaggio, un foglio Excel con gli accessi ai gestionali, la stessa credenziale usata per email e servizi cloud: basta una di queste abitudini per trasformare un errore ordinario in un blocco operativo. Creare policy password non significa imporre regole incomprensibili ai collaboratori. Significa stabilire criteri semplici, verificabili e proporzionati al rischio, così che ogni persona sappia come proteggere gli strumenti con cui l’azienda lavora.
Per una PMI, una policy ben progettata riduce la probabilità di accessi non autorizzati, furti di dati, frodi via email e ransomware. Riduce anche le chiamate urgenti al supporto: password dimenticate, account bloccati e permessi gestiti senza una regola comune sottraggono tempo ogni settimana.
Perché una policy password serve davvero
Le credenziali sono la chiave di accesso a posta elettronica, documenti, contabilità, CRM, VPN, portali fornitori e sistemi di backup. Un criminale non deve necessariamente forzare un server per entrare: spesso gli basta rubare una password attraverso una falsa email, riutilizzare credenziali già comparse in una violazione esterna o convincere un utente a comunicarle al telefono.
Il rischio aumenta quando l’azienda usa servizi diversi gestiti da persone diverse. Senza una policy, ogni reparto decide autonomamente: qualcuno crea password brevi per ricordarle, qualcuno le annota su un post-it, qualcuno conserva le credenziali dell’ex collega perché “potrebbero servire”. Il risultato è poca visibilità e nessuna certezza su chi possa accedere a cosa.
Una policy efficace mette ordine senza rallentare il lavoro. Definisce le regole minime per tutti e prevede controlli più severi per gli account che possono modificare dati, autorizzare pagamenti, accedere ai backup o amministrare la rete.
Come creare una policy password adatta a una PMI
Il punto di partenza non è il numero di caratteri. Prima occorre capire quali account esistono, chi li utilizza e quali conseguenze avrebbe il loro furto. L’account email dell’amministrazione, per esempio, può essere usato per intercettare fatture o inviare richieste di pagamento false. L’account di un tecnico con privilegi amministrativi può consentire di bloccare l’intera infrastruttura.
Partire dagli account, non dalle regole generiche
Create un elenco degli accessi aziendali: posta, dispositivi, applicazioni cloud, gestionali, portali bancari, sistemi di videosorveglianza, servizi di dominio, backup e account dei fornitori. Per ciascuno indicate il proprietario, il livello di autorizzazione e una persona responsabile della sua gestione.
Questa mappatura evidenzia subito i problemi più frequenti: account condivisi, utenti senza reale necessità di accesso, caselle email non più presidiate e credenziali amministrative usate per attività quotidiane. Non tutti gli accessi hanno lo stesso valore, quindi non tutti richiedono esattamente gli stessi controlli. Tuttavia, le regole di base devono essere comuni e facili da applicare.
Definire requisiti chiari per le password
Una buona regola pratica è chiedere password lunghe almeno 14 caratteri, meglio se composte da una frase facile da ricordare ma difficile da indovinare. Una sequenza come `Caffe!Treno?Luna_2026` è più sicura di una parola breve con una cifra finale, e non obbliga il personale a inventare combinazioni impossibili da memorizzare.
La policy deve vietare espressamente l’uso di informazioni facilmente ricavabili: nome dell’azienda, nome e cognome, date di nascita, stagione in corso, reparto o ruolo. Deve inoltre impedire il riuso della stessa password tra account aziendali e, soprattutto, tra servizi aziendali e personali. Se un sito esterno subisce una violazione, una password riutilizzata può diventare l’accesso alla posta aziendale.
Non è necessario costringere tutti a cambiare password ogni 30 o 60 giorni senza motivo. Cambi troppo frequenti spingono spesso le persone a usare variazioni prevedibili, come `Azienda2026!` e poi `Azienda2026!!`. È più sensato richiedere il cambio quando esiste un sospetto di compromissione, quando un dipendente cambia mansione, dopo un incidente o secondo le esigenze dei sistemi più critici.
Rendere obbligatoria l’autenticazione a più fattori
Una password lunga resta esposta a phishing, furti di cookie di sessione e fughe di dati. Per questo la policy deve prevedere l’autenticazione a più fattori, almeno per email, VPN, applicazioni cloud, portali amministrativi e accessi con privilegi elevati.
Quando possibile, preferite un’app di autenticazione o una chiave fisica rispetto agli SMS. Gli SMS sono meglio della sola password, ma possono essere intercettati o sfruttati attraverso truffe di sostituzione della SIM. Anche la richiesta MFA non è infallibile: un utente può approvare per errore una notifica ricevuta sul telefono. La formazione deve quindi spiegare una regola semplice: non approvare mai una richiesta di accesso che non si è avviata personalmente.
Usare un password manager aziendale
Chiedere a un collaboratore di ricordare decine di password uniche non è realistico. Un password manager aziendale risolve questo problema: genera credenziali complesse, le conserva in modo protetto, permette condivisioni controllate e riduce la necessità di inviare password via email o chat.
La scelta dello strumento dipende dall’organizzazione e dai servizi già utilizzati. Ciò che conta è la gestione: ogni persona deve avere il proprio account nominativo, le credenziali condivise devono essere assegnate solo a chi ne ha bisogno e l’azienda deve poter revocare gli accessi immediatamente. Una cassaforte digitale condivisa senza ruoli, approvazioni e tracciabilità non risolve il problema.
Le regole operative che non possono mancare
La policy deve stare in poche pagine ed essere comprensibile anche a chi non si occupa di IT. Non serve un documento teorico che nessuno leggerà. Servono istruzioni concrete, coerenti con i dispositivi e le applicazioni effettivamente usati in azienda.
In particolare, deve indicare che le password sono personali e non vanno comunicate a colleghi, fornitori o presunti operatori del supporto. Deve vietare l’invio di credenziali in email, chat non protette e documenti non cifrati. Deve spiegare come richiedere un nuovo accesso, come segnalare una password sospetta e a chi rivolgersi in caso di smarrimento del telefono usato per l’MFA.
Prevedete anche una procedura precisa per entrate, cambi di ruolo e uscite del personale. Quando una persona lascia l’azienda, non basta ritirare il computer: occorre disattivare tempestivamente gli account, revocare le sessioni attive, trasferire le caselle e modificare le credenziali condivise a cui aveva accesso. Questo passaggio è spesso trascurato e crea accessi residui che restano aperti per mesi.
I privilegi amministrativi richiedono una regola separata
L’account usato ogni giorno per email e documenti non dovrebbe avere privilegi di amministrazione. Chi gestisce server, PC, utenti o applicazioni deve avere un account nominativo standard per il lavoro quotidiano e un secondo account amministrativo usato solo quando necessario.
Questa separazione limita i danni se l’account ordinario viene colpito da phishing o malware. Vale anche per i fornitori esterni: gli accessi remoti devono essere nominativi, limitati nel tempo e autorizzati solo per le attività necessarie. Le credenziali generiche come `assistenza` o `adminazienda`, condivise da più persone, rendono difficile capire chi abbia effettuato un’operazione e impediscono di revocare un solo accesso senza bloccare tutti.
Far rispettare la policy senza trasformarla in burocrazia
Una policy funziona se viene applicata dai sistemi, non solo dichiarata in un documento. Le piattaforme di identità e i dispositivi aziendali possono imporre requisiti di lunghezza, MFA, blocco degli account dopo tentativi sospetti e disattivazione automatica degli utenti non più attivi. Il monitoraggio degli accessi anomali permette inoltre di intervenire prima che un tentativo diventi un incidente.
Serve però equilibrio. Regole eccessivamente rigide possono spingere le persone a cercare scorciatoie. Prima di attivare controlli severi, verificate che il personale disponga di password manager, procedure di recupero semplici e un riferimento rapido per l’assistenza. La sicurezza migliora quando la strada corretta è anche quella più comoda.
La formazione va ripetuta con esempi realistici: una falsa richiesta del titolare, una pagina Microsoft contraffatta, una telefonata di un tecnico inesistente. Non occorrono lezioni lunghe. Bastano richiami periodici e una comunicazione chiara su cosa fare davanti a un dubbio: interrompere l’azione e chiedere supporto.
Quando rivedere le regole
La policy password va verificata almeno una volta l’anno e ogni volta che cambiano gli strumenti, il personale o il modello di lavoro. L’introduzione dello smart working, di un nuovo gestionale cloud o di un fornitore con accesso remoto modifica la superficie di rischio e richiede controlli aggiornati.
Per molte PMI, il punto critico non è scrivere il documento ma trasformarlo in configurazioni corrette, account ordinati e procedure che continuino a funzionare nel tempo. Un partner IT come Helpwebnet può affiancare l’azienda nella mappatura degli accessi, nell’attivazione dell’MFA e nel controllo continuativo delle regole, evitando che la sicurezza dipenda dalla memoria o dalla buona volontà delle singole persone.
Una password sicura non deve essere un ostacolo al lavoro. Deve essere una barriera silenziosa: presente ogni giorno, semplice da usare e pronta a fermare un problema prima che arrivi a fermare l’azienda.