di Lavinia Rossi, Women for Security

Ogni primo giovedì di maggio si celebra il Password Day—una tradizione che potrebbe sembrare superata nell’era della biometria e dell’autenticazione senza password. Eppure, le password restano un elemento centrale, soprattutto negli ambienti aziendali, dove rappresentano ancora la prima linea di difesa, anche in presenza di strumenti avanzati come l’autenticazione a più fattori (MFA).

Le password non sono solo strumenti tecnici: sono radicate nella cultura aziendale e nelle operazioni quotidiane. Per questo, riflettere seriamente sulla loro robustezza è oggi più attuale che mai.

Una password forte non è semplicemente complessa: deve essere imprevedibile, unica per ogni account, archiviata in modo sicuro e soggetta a monitoraggio. Il riutilizzo delle credenziali rimane uno dei rischi maggiori, frequentemente sfruttato negli attacchi informatici. Per prevenirlo, è fondamentale verificare le nuove password rispetto a database di credenziali compromesse.

Il cambio frequente delle password (ogni 60–90 giorni) si è dimostrato inefficace. Oggi, gli esperti consigliano di modificarle solo in presenza di evidenze di compromissione, supportati da sistemi di analisi comportamentale e di alerting.

Gli account con privilegi elevati richiedono misure aggiuntive: password più lunghe, rotazione regolare e strumenti dedicati per l’archiviazione e la gestione sicura.

Infine, il comportamento umano resta un fattore cruciale: password scritte su foglietti, condivise o eccessivamente semplici sono ancora diffuse. Formazione realistica e strumenti come il Single Sign-On (SSO) o metodi passwordless aiutano a ridurre la dipendenza e il rischio.

Le password non scompariranno tanto presto. Ma possono—e devono—essere gestite con attenzione, trattate come asset strategici all’interno della postura di sicurezza dell’azienda.