In molte aziende la sicurezza digitale si interrompe spesso nello stesso punto: all’accesso. Non perché manchino firewall o antivirus, ma perché l’identità con cui si entra nei sistemi è più fragile di quanto si voglia ammettere. Password riutilizzate, password “aziendali” condivise, account generici, credenziali salvate in browser senza controllo, utenti che mantengono privilegi anche quando cambiano ruolo, accessi remoti concessi una volta e mai più rivisti. Poi succede l’evento che sembra “imprevedibile” e invece è la normalità del rischio moderno: una credenziale viene rubata con phishing o con una fuga di dati, e l’attaccante entra come un utente legittimo. A quel punto la rete non è sotto attacco nel senso cinematografico del termine: è semplicemente abitata da qualcuno che non dovrebbe esserci, con le stesse chiavi di chi lavora davvero.
Qui si innesta il punto critico che molte PMI non vogliono affrontare: se l’accesso si basa solo su “qualcosa che sai” (la password), allora la sicurezza dipende dalla perfezione umana, e la perfezione umana non esiste. L’autenticazione a più fattori, MFA, nasce per spostare la sicurezza da una promessa a una barriera concreta. Non è una moda, non è un’opzione “da grandi aziende”, non è un vezzo tecnico. È una misura di riduzione del rischio con un rapporto costo/beneficio tra i più favorevoli, perché spezza la catena più comune degli incidenti: credenziale rubata uguale accesso garantito. Con MFA, credenziale rubata non basta.
Quando si parla di MFA, però, si fanno due errori opposti: il primo è trattarla come un interruttore da attivare ovunque senza strategia; il secondo è rimandarla perché “complica la vita”. Entrambi sono sbagliati. Il metodo corretto è progettuale e parte da un’idea semplice: non tutti gli accessi hanno lo stesso rischio, e non tutti gli utenti hanno lo stesso impatto. L’MFA si implementa bene quando si decide dove serve in modo prioritario, con quali fattori, con quali eccezioni, e soprattutto con quale governance nel tempo, perché l’identità è un processo, non un’installazione.
Per capire perché è così efficace basta guardare lo scenario tipico. Un attaccante non ha bisogno di “bucare” firewall sofisticati se può ottenere una password plausibile. Il phishing moderno non chiede più “inserisci la password perché sì”, imita l’esperienza reale del login, spesso intercetta anche i codici SMS con tecniche di social engineering, e in alcuni casi utilizza proxy in tempo reale per catturare sessioni. Questo significa che la scelta del secondo fattore non è un dettaglio estetico: è parte della sicurezza. L’azienda che abilita MFA solo via SMS e poi si convince di essere al sicuro rischia di costruire una protezione più debole di quanto immagina. L’azienda che usa app di autenticazione o, meglio ancora, chiavi hardware o passkey dove ha senso, alza la soglia di attacco in modo sostanziale.
La soluzione completa, nella pratica, si sviluppa su tre strade principali, che vanno scelte con criterio e con una valutazione economica realistica. La prima strada è l’MFA tramite app di autenticazione (TOTP o push). È spesso il compromesso migliore per molte PMI: costi contenuti, buona sicurezza, implementazione abbastanza rapida. La seconda strada è l’uso di token hardware per ruoli critici, amministratori e accessi privilegiati: costa di più, richiede gestione fisica e procedure di sostituzione, ma riduce drasticamente il rischio di compromissione e di “fatigue” da notifiche push. La terza strada, sempre più rilevante, è l’adozione di passkey e autenticazione resistente al phishing dove il fornitore lo supporta: non è sempre possibile in ogni contesto, ma quando lo è, sposta la sicurezza su un livello più robusto perché lega l’autenticazione al dispositivo e rende molto più difficile l’intercettazione.
Qui entra l’aspetto imprenditoriale che va detto senza ambiguità: l’MFA ha un costo operativo, ma il costo di non averla è generalmente più alto e più imprevedibile. Il costo operativo è fatto di qualche secondo in più in login, di onboarding, di gestione recupero account, di supporto agli utenti nei primi giorni. Il costo di non averla è fatto di fermo, di ripristini, di incident response improvvisata, di dati persi, di reputazione danneggiata, e spesso di ore non fatturabili o di attività bloccate. Anche senza drammatizzare, basta ragionare con un criterio semplice: se un accesso email o un account cloud viene compromesso e l’attaccante inizia a inviare fatture false o a cambiare coordinate di pagamento, il danno economico può essere immediato. Se invece il problema è “solo” la cifratura di alcune cartelle condivise o l’esfiltrazione di documenti, il danno può emergere nel tempo e diventare difficile da misurare. In entrambi i casi, l’MFA è una riduzione del rischio misurabile.
Il metodo di implementazione che funziona, e che evita sia resistenze inutili sia falle pericolose, parte dalla mappatura degli accessi, non dalla tecnologia. Si guarda prima di tutto ai punti in cui una credenziale compromessa fa più danni: posta e collaborazione, gestione file, amministrazione del dominio o degli apparati, accesso remoto, gestionali in cloud, pannelli di videosorveglianza e controllo accessi, portali fornitori, VPN, RDP, console di backup. Si identificano i ruoli con privilegi elevati e gli account di servizio che spesso restano dimenticati. Si decide poi una politica chiara: quali sistemi richiedono MFA sempre, quali la richiedono fuori sede o fuori fascia oraria, quali la richiedono solo per operazioni sensibili. Questo approccio, oltre a essere più solido, rende più facile la comunicazione interna, perché la regola non appare come capriccio IT ma come protezione degli asset aziendali.
Una volta definita la politica, la parte operativa deve essere sequenziale e governata, altrimenti si crea caos. Il rollout efficace prevede un pilot controllato su un gruppo ristretto, tipicamente IT e direzione o utenti tecnicamente più pronti, non per privilegio ma per ridurre attriti e correggere le frizioni prima dell’estensione. Serve preparare subito il tema del recupero account, perché è lì che molte implementazioni falliscono: se perdi il telefono o cambi numero, cosa succede? Chi autorizza il reset? Con quali verifiche? In che tempi? Se il recupero è troppo facile, diventa una porta per l’attaccante; se è troppo difficile, blocca il lavoro e genera resistenza. Questo equilibrio non si ottiene a parole: si ottiene con una procedura concreta, con un responsabile, e con un registro delle eccezioni.
Le eccezioni sono un’altra area dove è facile fare brutta figura. Ogni azienda ha casi particolari: macchine condivise, reparti con turni, fornitori esterni, account applicativi, apparati che non supportano MFA. Se si gestiscono male, le eccezioni diventano “la regola vera” e la sicurezza diventa finta. La versione migliorativa rispetto al modo classico di gestirle è questa: non si accetta l’eccezione per comodità, si accetta solo se si compensa con controlli equivalenti. Se un apparato non supporta MFA, allora si valuta una segregazione di rete, un accesso solo da segmenti dedicati, un jump server controllato, un logging più rigoroso, un limite di orari, oppure un account con privilegi ridotti. In altre parole, la domanda non è “possiamo evitare MFA qui?”, ma “qual è il rischio che stiamo accettando e come lo riduciamo in modo concreto?”.
C’è poi un rischio specifico spesso sottovalutato: l’MFA non sostituisce la disciplina sui privilegi. Se un utente ha permessi eccessivi, l’MFA non risolve il problema, lo rende solo più difficile da attaccare dall’esterno. Se un attaccante ottiene l’accesso con una sessione già autenticata, oppure se l’utente approva una richiesta push perché stanco o confuso, i privilegi eccessivi amplificano il danno. Quindi l’MFA va inserita in una logica più ampia: permessi minimi, segmentazione, monitoraggio, e gestione del ciclo di vita degli account. Senza questa cornice, si rischia di vendere internamente una sicurezza “totale” che non è reale.
Anche la scelta tecnica del secondo fattore va fatta con onestà. L’SMS è meglio di niente in alcuni casi, ma non è l’obiettivo quando si parla di sicurezza solida; è vulnerabile a SIM swap e a intercettazioni sociali. Le app di autenticazione sono un buon livello per la maggioranza degli utenti. Il push è comodo ma va protetto dal rischio di approvazioni impulsive, e richiede formazione. I token hardware hanno un costo unitario, ma per amministratori e ruoli critici spesso sono economicamente sensati: un token costa meno di ore di fermo e riduce la probabilità di incidente grave. Le passkey, quando disponibili, riducono moltissimo la superficie di phishing, ma richiedono compatibilità e una gestione corretta dei dispositivi. La scelta “giusta” non è unica: la scelta giusta è quella coerente con rischio, processi e budget, e soprattutto con la capacità dell’azienda di mantenere la soluzione nel tempo senza degradare in eccezioni e scorciatoie.
Un’altra implicazione economica concreta è il tempo di gestione. Se l’azienda non ha un IT strutturato, l’MFA deve essere configurata in modo da ridurre le chiamate di supporto: procedure di onboarding chiare, guida al cambio dispositivo, policy per i nuovi assunti, e una gestione delle emergenze definita. Il costo di implementazione non è solo “configurare l’opzione”, è progettare una piccola infrastruttura di identità e governance. Il vantaggio è che questa infrastruttura produce valore anche oltre la sicurezza: ordine, tracciabilità, audit, minor dipendenza da persone singole e maggiore continuità nei passaggi.
Gli errori da evitare, perché sono quelli che creano incidenti o resistenze distruttive, sono pochi e ricorrenti: attivare MFA senza prima aver sistemato account generici e password condivise; lasciare account privilegiati senza secondo fattore perché “poi lo facciamo”; affidarsi solo a SMS; non preparare il recupero account e quindi generare blocchi operativi; concedere troppe eccezioni senza compensazioni; non formare le persone sul phishing e sul significato delle richieste push; non monitorare gli accessi e quindi non accorgersi di tentativi sospetti. La sicurezza che non è monitorata tende a essere una sicurezza che non esiste, perché non si misura e non si corregge.
Se l’obiettivo del tuo articolo è “7 passi reali”, l’MFA è uno dei passi più reali perché è immediatamente applicabile e porta risultati rapidi, ma va presentata nel modo giusto: non come una spunta, bensì come una componente di un disegno. Se l’azienda la adotta con criterio, vede benefici concreti: riduzione drastica delle compromissioni via credenziali, minor rischio su email e cloud, maggiore controllo sugli accessi remoti, e una base più solida per segmentazione e governance di rete. Se la adotta male, produce solo fastidio e un falso senso di sicurezza. La differenza la fa il metodo, non il prodotto.
Per NetCabling, il valore aggiunto nel raccontare MFA non è “abilitiamo l’opzione”, ma “progettiamo accessi governabili”: integrazione con rete e segmentazione, gestione dei privilegi, protezione degli accessi remoti, tracciabilità degli eventi, procedure nel tempo. È la versione adulta della sicurezza per PMI: meno promesse e più disciplina, meno tecnologia messa a caso e più architettura.
