Sebbene alle aziende si raccomandi sempre più spesso di utilizzare un password manager, da solo questo strumento non basta a garantire una sicurezza completa delle password. Serve una strategia globale che tenga conto non solo del software, ma anche delle strutture organizzative e di processi chiari. Oltre allo strumento, è necessario definire strutture organizzative e processi chiari e affidabili per assicurare una gestione responsabile dei dati sensibili. Nell’intervista di oggi voglio approfondire questo tema e scoprire come ALPEIN Software SWISS AG, che ha sviluppato il proprio password manager PassSecurium, affronta questa questione critica. Ne ho parlato con il CTO e CISO dell’azienda, Eugen Wiltowski.

Volker Strecker: Buongiorno, signor Wiltowski. Grazie per aver trovato il tempo per questa intervista. Oggi parliamo della gestione sicura delle password nella sua azienda. Può darci innanzitutto una panoramica di come ALPEIN Software garantisce che le password siano gestite in modo efficace e sicuro?

Eugen Wiltowski: Buongiorno, signor Strecker. Sono lieto di parlare con lei di gestione sicura delle password. In ALPEIN Software abbiamo una strategia chiara per garantire la sicurezza delle nostre password. Innanzitutto utilizziamo un password manager con autorizzazioni basate su ruoli e gruppi, che assicura che solo i collaboratori autorizzati abbiano accesso agli account e alle risorse loro assegnati. Il password manager che utilizziamo, PassSecurium™, è un nostro prodotto. Viene sviluppato costantemente sulla base dei requisiti dei nostri product manager ed esperti di sicurezza, nonché del feedback dei nostri clienti.

Volker: Sembra un metodo ben studiato. Può dirci di più sull’organizzazione delle password e sui ruoli all’interno della sua azienda?

Eugen: Abbiamo creato una nostra struttura organizzativa in cui le password sono ordinate in modo logico e comprensibile per reparto o tipologia e sono accessibili solo ai gruppi di collaboratori autorizzati. Ogni gruppo ha un collega con il ruolo di manager, che organizza il gruppo o il reparto e assegna diritti e ruoli per il proprio ambito di competenza.

Volker: Come vi assicurate che le password rispettino le policy di sicurezza richieste?

Eugen: Ogni area di archiviazione delle password è definita con specifiche policy di sicurezza. Le più critiche si trovano nella cosiddetta cartella con livello di sicurezza “Forte”, che impedisce di salvare password più deboli. I criteri dei livelli di sicurezza possono essere definiti dagli amministratori direttamente in PassSecurium™: un aspetto molto pratico, perché i requisiti di sicurezza crescono costantemente con l’aumento della criminalità informatica e i progressi dell’IT. Un tempo una password di 8 caratteri era considerata sicura; oggi dovrebbe averne almeno 10 o addirittura 12.

Volker: È un punto importante. Come garantite che i collaboratori utilizzino password complesse?

Eugen: I nostri collaboratori sono formati per creare nuovi accessi esclusivamente con il generatore di password integrato. In questo modo la complessità della password corrisponde sempre ai requisiti della relativa cartella. I collaboratori non devono ricordare nessuna password, perché la maggior parte viene inserita tramite le funzioni di copia e incolla integrate.

Volker: Capisco. Molte aziende usano estensioni del browser per la gestione delle password. Voi le utilizzate?

Eugen: No, non utilizziamo estensioni del browser. Per quanto comode, browser e JavaScript sono bersagli frequenti degli attacchi hacker. Gli hacker sfruttano vulnerabilità zero-day per manipolare le estensioni del browser. Per questo consigliamo di andare sul sicuro e suggeriamo ai nostri clienti di non utilizzarle. Offriamo invece metodi alternativi per recuperare le password in modo sicuro, ad esempio tramite la nostra app desktop. Il blocco delle estensioni del browser può essere impostato direttamente nelle impostazioni di PassSecurium™.

Volker: Come controllate lo scambio di password all’interno dell’azienda e verso l’esterno?

Eugen: Non permettiamo di condividere password al di fuori del password manager, né tramite la nostra chat interna crittografata né in altri modi, perché ciò lascia sempre tracce digitali. In generale, l’ideale è utilizzare le password in modo che non compaiano mai in chiaro sullo schermo. La condivisione delle password tra collaboratori avviene esclusivamente tramite l’assegnazione dei diritti e la funzione di sharing, gestite da amministratori o manager. La condivisione verso l’esterno avviene attualmente tramite il nostro CloudSecurium™, dove la condivisione dei file è limitata nel tempo e protetta da una password dedicata. Stiamo valutando anche la condivisione sicura delle password con clienti e partner direttamente tramite PassSecurium™.

Volker: Come proteggete l’accesso al password manager dall’esterno dell’azienda?

Eugen: L’accesso al nostro password manager avviene esclusivamente tramite VPN. Così ci assicuriamo che nessuno possa accedervi dall’esterno. Raccomandiamo vivamente anche ai nostri clienti di utilizzare almeno l’autenticazione a due fattori (2FA) con la nostra app AccessSecurium™, per proteggere ulteriormente l’accesso alla propria cassaforte delle password. Ancora meglio sarebbe usare più fattori di autenticazione contemporaneamente (la cosiddetta MFA), ad esempio combinando VPN e password monouso (OTP) oppure OTP con chiavette hardware YubiKey, che noi stessi utilizziamo attivamente. Purtroppo per molti clienti è troppo complesso: trovare il giusto equilibrio tra sicurezza e comodità è sempre una sfida.

Volker: Grazie per questi approfondimenti sulla gestione delle password in ALPEIN Software. È evidente che la sicurezza è la massima priorità per la sua azienda.

Eugen: È stato un piacere parlare delle nostre misure di sicurezza. In ALPEIN Software siamo consapevoli dell’importanza di una gestione delle password solida e facciamo tutto il possibile per garantire la sicurezza dei nostri dati e delle nostre risorse.

Ringrazio Eugen Wiltowski per questa interessante intervista sulla gestione sicura delle password nella sua azienda. Le pratiche e le policy presentate possono servire da modello per altre aziende che vogliono gestire le proprie password in modo migliore e più sicuro. Combinando un password manager, strutture organizzative chiare e policy di sicurezza ben pensate, le aziende possono ottimizzare la gestione e l’archiviazione di dati sensibili come le password.

Cordiali saluti, Volker Strecker.