Un collaboratore lascia l'azienda. Il suo laptop aziendale viene restituito, l'account utente disattivato e i diritti di accesso revocati. Ma che fine fanno le passkey sincronizzate tramite dispositivi privati o account cloud personali? E chi garantisce che le password ancora in uso, gli accessi condivisi e le informazioni di ripristino restino protetti?

Domande come queste dimostrano che l'autenticazione moderna va ben oltre la semplice procedura di accesso. Se da un lato le passkey riducono determinati rischi di sicurezza legati alle password tradizionali, dall'altro pongono alle aziende nuove esigenze in termini di organizzazione e controllo degli accessi digitali.

La sfida, quindi, non consiste nello scegliere tra passkey e password manager, ma nell'integrarli entrambi in modo sensato in una strategia di accesso sicura.

Le passkey cambiano il modo di accedere, ma non l'intero concetto di sicurezza

Le password tradizionali accompagnano le aziende da decenni. Consentono l'accesso ad applicazioni, servizi cloud e sistemi interni. Allo stesso tempo, le password rubate, riutilizzate o archiviate in modo non sicuro figurano tra i rischi di sicurezza più noti.

Le passkey offrono un approccio moderno a questo problema. Al posto di una password tradizionale vengono utilizzate coppie di chiavi crittografiche. La chiave pubblica viene registrata presso il rispettivo servizio, mentre la chiave privata rimane protetta sull'autenticatore utilizzato.

L'accesso viene autorizzato, ad esempio, tramite impronta digitale, riconoscimento facciale o PIN del dispositivo. Il segreto vero e proprio non deve essere trasmesso al servizio online.

Un vantaggio essenziale è la resistenza al phishing. Le passkey sono legate al rispettivo servizio e non possono quindi essere semplicemente intercettate e riutilizzate su una pagina di accesso contraffatta.

Un accesso sicuro, tuttavia, non significa automaticamente che tutti gli accessi all'interno di un'azienda siano organizzati in modo sicuro.

Le passkey rispondono in primo luogo alla domanda su come un utente si autentica presso un servizio. Quali informazioni possa poi consultare o modificare continua a essere stabilito dalle rispettive autorizzazioni.

Quando il login sicuro diventa una sfida organizzativa

Nella vita privata quotidiana, le passkey possono essere particolarmente comode. A seconda del fornitore, possono essere sincronizzate su più dispositivi e consentono di accedere senza digitare manualmente una password.

In ambito aziendale, tuttavia, entrano in gioco ulteriori fattori.

Le passkey aziendali possono essere salvate su dispositivi di proprietà dell'azienda o privati. Alcune sono vincolate in modo permanente a un determinato autenticatore, altre vengono sincronizzate in forma cifrata tra più dispositivi.

Si pone quindi una domanda decisiva: quanto controllo ha l'azienda sui metodi di accesso utilizzati?

Se le passkey aziendali vengono gestite tramite account privati, ad esempio il cambio di dispositivo, le procedure di ripristino o l'uscita di collaboratori possono risultare più difficili da controllare.

Con le passkey sincronizzate, inoltre, non in ogni ambiente è del tutto visibile su quali dispositivi si trovino delle copie. Le aziende dovrebbero quindi stabilire quali dispositivi e fornitori sono ammessi per gli accessi aziendali.

Al tempo stesso devono esistere procedure che consentano di revocare le passkey registrate presso i rispettivi servizi. In questo modo si evita che un metodo di accesso non più ammesso continui a essere utilizzato per l'account in questione.

Smarrimento di dispositivi, cambi di personale e offboarding: chi mantiene la visione d'insieme?

Uno smartphone smarrito o un laptop danneggiato non devono far sì che i collaboratori restino esclusi in modo permanente da applicazioni critiche per l'attività.

Allo stesso modo, il ripristino di un account non deve trasformarsi in una falla di sicurezza.

Se un'azienda utilizza passkey robuste ma verifica l'identità in modo insufficiente durante il ripristino dell'account, gli aggressori possono tentare di sfruttare questa via alternativa.

Per questo motivo, procedure di ripristino sicure fanno parte dell'introduzione delle passkey tanto quanto la registrazione stessa.

Particolarmente importante è inoltre un offboarding ben regolamentato.

Quando un collaboratore viene rimosso dal sistema centrale di gestione delle identità, gli accessi collegati possono essere bloccati. Tuttavia, non tutte le applicazioni, gli account creati separatamente o gli accessi condivisi sono necessariamente collegati a questo sistema.

Le aziende devono quindi verificare anche se occorre revocare metodi di accesso aggiuntivi, terminare sessioni attive, rimuovere autorizzazioni o modificare password condivise.

Lo stesso vale per i cambi di ruolo interni. Chi assume nuovi compiti all'interno dell'azienda dovrebbe ricevere esclusivamente i diritti di accesso necessari per svolgerli.

Le passkey migliorano l'autenticazione. Una gestione strutturata delle autorizzazioni e degli accessi resta comunque indispensabile.

Perché una gestione professionale delle password è ancora necessaria

La crescente diffusione delle passkey non significa che le password tradizionali scompariranno a breve.

Numerose applicazioni aziendali, sistemi IT meno recenti e soluzioni software specializzate continuano a basarsi su nome utente e password. A ciò si aggiungono account aziendali condivisi, accessi tecnici e informazioni di ripristino.

Le aziende si troveranno quindi ancora per molto tempo a gestire in parallelo diversi tipi di credenziali.

È proprio qui che un password manager professionale per aziende resta rilevante.

Invece di conservare le password in file Excel, appunti personali o profili privati del browser, una gestione centralizzata delle password consente di mettere a disposizione le credenziali aziendali in modo protetto e strutturato.

Le moderne soluzioni aziendali supportano ad esempio l'organizzazione per team e reparti, diritti di accesso basati sui ruoli e la condivisione controllata delle password necessarie.

Ciò riduce la dipendenza da singoli collaboratori e semplifica la gestione degli accessi condivisi.

Anche l'amministrazione IT ne trae vantaggio: le autorizzazioni di accesso possono essere organizzate in modo più trasparente e, in caso di cambiamenti nel personale, le condivisioni possono essere adeguate in modo mirato.

La gestione delle password non è quindi soltanto una misura di protezione tecnica, ma anche una componente importante di processi aziendali efficienti.

Vale comunque un principio: un password manager non sostituisce né un sistema completo di Identity and Access Management né la gestione dei dispositivi aziendali. I diversi sistemi si completano a vicenda all'interno di una strategia di sicurezza globale.

Passkey e password manager: complementari, non concorrenti

Il dibattito sull'autenticazione senza password dà talvolta l'impressione che in futuro i password manager diventeranno superflui.

Nella pratica aziendale, però, questa visione è riduttiva.

Le passkey risolvono determinati problemi dell'accesso tramite password tradizionale. I password manager, invece, aiutano le aziende a organizzare in modo sicuro le password e le informazioni di accesso aziendali ancora necessarie.

I due approcci svolgono quindi compiti diversi.

Mentre le passkey proteggono la procedura di accesso ai servizi supportati, una gestione professionale delle password offre una base strutturata per l'amministrazione degli accessi esistenti.

A seconda della soluzione, i moderni password manager possono supportare anche il salvataggio e l'utilizzo delle passkey. Questa funzione, tuttavia, non è disponibile presso tutti i fornitori.

Per le aziende, quindi, non è decisivo abolire il più rapidamente possibile tutte le password. Molto più importante è una strategia di accesso che tenga conto sia delle applicazioni esistenti sia dei nuovi metodi di autenticazione.

Cinque misure per una gestione sicura degli accessi

Le aziende non devono convertire completamente dall'oggi al domani la propria infrastruttura IT esistente alle passkey. Un approccio graduale riduce i rischi organizzativi e consente un'introduzione controllata.

Le seguenti misure offrono una base solida:

1. Censire gli accessi esistenti: verificate quali applicazioni supportano già le passkey e dove sono ancora necessarie le password tradizionali. Tenete conto anche degli account tecnici e degli accessi condivisi.
2. Definire direttive chiare sui dispositivi: stabilite se le passkey aziendali possono essere salvate su dispositivi privati, quali fornitori sono ammessi e quando sono necessarie passkey vincolate al dispositivo.
3. Regolamentare ripristino e offboarding: definite processi vincolanti per lo smarrimento di dispositivi, il ripristino degli account, i cambi di ruolo e l'uscita dei collaboratori. Verificate in questo contesto anche i metodi di accesso alternativi.
4. Organizzare centralmente la gestione delle password: assicuratevi che le password ancora necessarie siano archiviate in modo protetto, condivise in modo controllato e gestite in modo affidabile in caso di cambiamenti nel personale.
5. Verificare l'introduzione per gradi: iniziate con gruppi di utenti idonei e controllate regolarmente se procedure di accesso, autorizzazioni e direttive di sicurezza corrispondono alle esigenze operative.

Altrettanto importante è la verifica delle opzioni di fallback esistenti. Se accanto a una passkey resta attivo un metodo di accesso nettamente più debole, il guadagno in termini di sicurezza può risultarne limitato.

Conclusione: il futuro appartiene a una gestione controllata degli accessi

Le passkey rappresentano un importante passo avanti per la sicurezza digitale. Semplificano l'accesso, riducono la dipendenza dalle password tradizionali e rendono notevolmente più difficili determinate forme di phishing.

Per le aziende, tuttavia, la vera sfida non risiede soltanto nell'introduzione di nuove tecnologie. Ciò che conta è poter gestire gli accessi aziendali in modo controllato, indipendentemente da singoli dispositivi, collaboratori o metodi di accesso.

Una gestione professionale delle password resta una componente importante della sicurezza IT. Finché esisteranno password tradizionali, accessi condivisi e altre informazioni di accesso sensibili, le aziende avranno bisogno di regole chiare per la loro archiviazione, il loro utilizzo e la loro condivisione.

Passkey e password manager non dovrebbero quindi essere considerati come alternative contrapposte. Insieme alla gestione delle identità, alla gestione dei dispositivi e a concetti di autorizzazione coerenti, costituiscono elementi importanti di un'IT aziendale sicura.

Con PassSecurium le aziende possono gestire in modo centralizzato e protetto le password e gli accessi aziendali di cui hanno ancora bisogno. Le autorizzazioni basate sui ruoli e le condivisioni controllate supportano una gestione strutturata delle password, anche durante l'introduzione graduale di metodi di autenticazione moderni.