Nell’era digitale, quasi ogni attività quotidiana – dal lavoro alle comunicazioni personali, dagli acquisti online alla gestione dei conti bancari – richiede l’uso di una password. Queste credenziali rappresentano la nostra prima linea di difesa contro accessi non autorizzati, ma troppo spesso vengono gestite in modo inadeguato.
I dati più recenti evidenziano una realtà allarmante: la quasi totalità degli attacchi alle identità digitali ha origine da password deboli, prevedibili o riutilizzate.
Per aiutare a restare sicuri online e proteggere i propri dati, le esperte di Women For Security hanno condiviso questa serie di best practices per gestire in modo efficace le password, sia personali che aziendali.
Creare una password
- «Scegli combinazioni complesse e preferisci Passphrase: una combinazione di parole casuali come “Mare!rossO$ole19” è più sicura rispetto a una password tradizionale.
- Non riutilizzare le password: se una password viene compromessa, tutti gli account che la utilizzano associata al medesimo utente diventano vulnerabili.
- Escludi informazioni personali: nomi, date di nascita, animali domestici sono facili da individuare a causa dell’esposizione di dati e informazioni online (ad es. social media).
- Valuta con attenzione i suggerimenti automatici: molti siti web suggeriscono la creazione di password considerando regole obsolete. Analizza i parametri suggeriti e ignorali creando password più complesse, se non ti sembrano sufficientemente esigenti.
- Utilizza Passkeys. Si tratta di un sistema di autenticazione avanzato che permette di accedere ai servizi online senza utilizzare password tradizionali, basate su crittografia asimmetrica che utilizza una coppia di chiavi: una pubblica memorizzata dal servizio e una privata conservata in modo sicuro sul dispositivo dell’utente tramite Biometria (impronta digitale, riconoscimento facciale) oppure PIN.
Gestire una password
- Evita la condivisione di password: anche con persone fidate. Mantieni le credenziali private e se proprio devi condividerle non farlo in chiaro esponendo utente e password nello stesso messaggio ma separatamente e con mezzi differenti. Esistono sistemi di condivisione credenziali protetti da crittografia, con scadenza temporale per la visualizzazione e limite di accessi.
- Utilizza un Password manager: uno strumento di gestione password che aiuta a memorizzare e generare credenziali sicure. Questi sistemi conservano le credenziali tramite crittografia accessibile solo con master password e sono una sorta di cassaforte virtuale, che sostituisce l’uso di pericolosi file excel di riepilogo password o annotazioni cartacee.
- Aggiorna le password: stabilisci una frequenza di aggiornamento delle credenziali, senza cambiarle troppo spesso. Cambiare le password è importante per evitare rischi di compromissione ma una frequenza troppo elevata potrebbe portarti a generare password deboli.
- Verifica le compromissioni. Esistono strumenti online e applicazioni per controllare se le nostre password sono trapelate in un data breach.
Gestire gli accessi
- Molti browser permettono di memorizzare le password ma i dati potrebbero essere esposti se non è presente un sistema di crittografia: non salvare mai le password nel browser per velocizzare l’accesso a servizi.
- Utilizza sistemi di autenticazione a due fattori (2FA) o autenticazione multi-fattore (MFA). Applicazioni di autenticazione o token temporanei sono le soluzioni più sicure, il metodo tramite SMS è invece più facile da intercettare. Usare questi metodi offre un livello di protezione aggiuntivo per gli account in caso di furto della password;
- Elimina applicazioni inutilizzate: tutto ciò che è superfluo comporta un’esposizione e un rischio evitabile. Disattiva accessi, applicazioni, utenze non più necessarie.
Le normative, gli standard di sicurezza vigenti e organizzazioni preposte supportano le aziende con linee guida riguardo la gestione dei dati in sicurezza. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato delle indicazioni sulla gestione e conservazione delle password, in collaborazione con il Garante per la Protezione dei Dati Personali. Standard internazionali come ISO/IEC 27001 includono requisiti e raccomandazioni per impostare e gestire la sicurezza delle informazioni in azienda.
Il rischio informatico non è solo una tematica aziendale e spesso viene sottovalutato in ambito personale. Siamo stanchi di dover ricordare password complesse, di gestirne molte e sempre diverse, di imparare nuovi metodi sicurezza e documentarci rispetto a tecnologie in costante evoluzione e così si crea un grande divario tra teoria e pratica.
Tutti sappiamo cosa dovremmo fare ma la comodità vince sulla sicurezza, fino a quando perdiamo i nostri dati e di conseguenza la nostra privacy e sicurezza vengono compromesse.
La vera sfida è cambiare mentalità: abituiamoci a strumenti sicuri, impariamo ad utilizzarli, proteggiamo i nostri dati personali e aziendali».
https://womenforsecurity.it/dettaglio/101
