Autenticazione a più fattori in azienda: come attivarla senza bloccare il lavoro

L'autenticazione a più fattori (MFA) richiede, oltre alla password, un secondo elemento di verifica: un codice generato da un'app, una notifica da approvare, una chiave di sicurezza fisica. È una delle misure con il miglior rapporto tra costo e riduzione del rischio, perché rende inutili le password rubate con il phishing o trapelate da altri servizi. Per un'azienda l'ordine delle priorità è chiaro: prima posta elettronica e account di amministrazione, poi VPN e accessi remoti, poi tutte le applicazioni cloud con dati rilevanti. Con un piano in quattro fasi l'attivazione richiede poche settimane e crea pochi disagi.

Perché la password da sola non basta

Le credenziali vengono sottratte in molti modi: email di phishing che imitano pagine di accesso, malware che ruba le password salvate nel browser, riutilizzo della stessa password in servizi poi violati, attacchi automatici che provano combinazioni note. Con l'MFA, avere la password non basta per entrare. Non è una protezione assoluta (esistono attacchi che aggirano alcuni metodi), ma alza molto il livello di difficoltà. Nelle indicazioni di molte autorità di cybersicurezza, compresi i documenti europei collegati alla direttiva NIS2, l'autenticazione a più fattori è citata tra le misure attese.

I metodi a confronto

Metodo	Come funziona	Vantaggi	Limiti
Codice via SMS	Un codice arriva al telefono	Semplice da usare	Vulnerabile a SIM swap e intercettazioni; da evitare per account critici
App di autenticazione (codici temporanei)	Codice a sei cifre che cambia ogni 30 secondi	Gratuita, funziona senza rete	Può essere carpito con phishing in tempo reale
Notifica push con numero da confermare	Approvazione dal telefono, con abbinamento di un numero	Comoda	Rischio di "stanchezza da notifiche" se non c'è il controllo del numero
Chiave di sicurezza fisica (standard FIDO2)	Dispositivo USB o NFC che conferma l'accesso	Resistente al phishing	Costo di acquisto, gestione di smarrimenti
Passkey	Credenziale legata al dispositivo, con biometria o PIN	Resistente al phishing, senza password	Richiede servizi compatibili e una gestione ordinata dei dispositivi
Biometria locale più PIN (accesso al computer)	Verifica sul dispositivo	Comoda per le postazioni	Protegge il dispositivo, non sempre l'accesso ai servizi

La scelta pratica per una PMI: app di autenticazione o notifiche con abbinamento numero per la maggioranza degli utenti, chiavi FIDO2 o passkey per amministratori, direzione e chi tratta dati o pagamenti sensibili, SMS solo come ripiego temporaneo.

Quali account proteggere per primi

Account amministrativi dei sistemi (console cloud, domini, firewall, backup, gestione dei pagamenti).
Posta elettronica di tutti, in particolare di amministrazione, contabilità e vertici: è la via d'accesso a molti recuperi password e alle truffe alle fatture.
VPN e desktop remoti.
Servizi cloud con dati di clienti: gestionale, CRM, archiviazione documenti, firma digitale.
Home banking e portali dei fornitori di pagamento, secondo le procedure della banca.
Social network aziendali e account pubblicitari, spesso bersaglio di furti.

Piano di attivazione in quattro fasi

Preparazione (una o due settimane): elenca servizi e utenti, scegli i metodi, scrivi una breve guida con schermate, individua chi fornirà assistenza. Verifica che ogni utente abbia un telefono utilizzabile; per chi non può usare quello personale, valuta una chiave fisica o un dispositivo aziendale.
Pilota (una settimana): attiva l'MFA per un gruppo ristretto (IT, amministrazione, due utenti "normali") e raccogli i problemi.
Estensione: attiva per tutti, partendo dalla posta, dando una data chiara e un periodo di registrazione assistita. Evita il venerdì e i periodi di chiusura contabile.
Chiusura e controllo: elimina le eccezioni, blocca i protocolli di accesso obsoleti che non supportano l'MFA (autenticazione di base di vecchi client di posta), verifica i report di adesione.

Gestire le eccezioni senza creare buchi

Account di servizio e applicazioni che non possono fare MFA: usa credenziali dedicate molto lunghe, limita gli accessi per indirizzo di rete, conserva i segreti in un gestore protetto, ruotali periodicamente.
Account condivisi: sono un rischio. Dove possibile crea account personali; se è inevitabile, usa un gestore di password aziendale con registro degli accessi.
Utenti senza smartphone: chiavi fisiche o dispositivi aziendali; evita eccezioni permanenti.
Collaboratori esterni e consulenti: stesse regole degli interni, con account a scadenza.

Il recupero dell'account: il punto debole

Un MFA robusto vanifica se la procedura di recupero è debole. Definisci in anticipo:

come un utente che perde il telefono recupera l'accesso (identificazione da parte dell'IT con una procedura di verifica, non solo una telefonata);
dove si conservano i codici di recupero degli account amministrativi (in un luogo sicuro e protetto, non nella stessa casella di posta);
chi può autorizzare un reset e come viene registrato;
più di un amministratore con accesso di emergenza, per non restare bloccati.

Gli attacchi all'MFA e come ridurli

Fatica da notifiche: l'attaccante invia ripetute richieste finché l'utente accetta. Si riduce con l'abbinamento del numero e con la formazione: una richiesta che non hai avviato va rifiutata e segnalata.
Phishing con proxy in tempo reale: la pagina falsa inoltra il codice al sito vero. Si riduce con metodi resistenti al phishing (FIDO2, passkey).
SIM swap: dirottamento del numero di telefono. Evita gli SMS per gli account critici.
Furto del token di sessione: malware che sottrae il cookie dopo l'accesso. Ricorrono protezioni delle postazioni e durata limitata delle sessioni.

Privacy e lavoro

Se chiedi ai dipendenti di installare un'app sul telefono personale, spiega cosa raccoglie (in genere solo il segreto per generare i codici), non imporre l'installazione di software invasivo e valuta alternative. Le regole su strumenti di lavoro e controllo a distanza dello Statuto dei lavoratori (articolo 4) vanno considerate se vengono raccolti dati di localizzazione o altri dati sui dispositivi.

Misurare i risultati

Dopo l'attivazione monitora: percentuale di utenti con MFA attivo, numero di richieste di reset, tentativi di accesso falliti da località insolite, account senza MFA ancora aperti. Inserisci questi controlli nella checklist di sicurezza di base. Per capire il rapporto costo-beneficio di misure come questa guarda anche quanto costa la sicurezza informatica per una PMI.

Domande frequenti

L'MFA rallenta il lavoro?

Un poco, ma le sessioni di lavoro possono rimanere attive per periodi ragionevoli su dispositivi aziendali affidabili. Il disagio è molto inferiore ai giorni di fermo di un account compromesso.

Meglio l'app o l'SMS?

L'app è più sicura dell'SMS e non dipende dalla rete mobile. Gli SMS vanno considerati un ripiego.

Cosa succede se un dipendente perde il telefono?

Serve una procedura di recupero con verifica dell'identità da parte dell'IT, la revoca del vecchio dispositivo e la registrazione del nuovo.

L'MFA è obbligatoria per legge?

Non esiste una norma che la imponga a tutte le aziende, ma è inclusa tra le misure di sicurezza adeguate da valutare ai sensi del GDPR (articolo 32) e fra quelle richieste ai soggetti rientranti nella NIS2.

Fonti ufficiali

Agenzia per la Cybersicurezza Nazionale — misure di sicurezza e indicazioni sugli accessi.
ENISA — guide europee sull'autenticazione e le buone pratiche di sicurezza.
FIDO Alliance — standard per le chiavi di sicurezza e le passkey.