Ogni domenica una parola del nostro mestiere, spiegata a chi fa impresa. Questa settimana non una parola sola ma un numero: il secondo.
Cosa vuol dire
Un fattore di autenticazione è un modo di dimostrare a un programma di essere chi dite di essere. Le famiglie sono tre, e conviene averle in testa perché tutto il resto discende da qui: qualcosa che sapete — la password; qualcosa che avete — il telefono in tasca, una chiavetta da infilare nel computer; qualcosa che siete — l’impronta, il volto. L’autenticazione a due fattori vuol dire chiedere due prove di famiglie diverse. Password più domanda di sicurezza non sono due fattori: sono due cose che sapete, e chi ha scoperto la prima di solito arriva anche alla seconda.
Il motivo per cui la seconda prova serve è semplice e sgradevole: una password può essere rubata senza che nessuno in azienda se ne accorga. Finisce in un elenco perché un sito qualunque dove era stata riusata ha subito una violazione, oppure viene consegnata a mano da chi la digita su una pagina che somiglia a quella vera. In tutti questi casi chi la possiede entra e si comporta esattamente come voi. Il secondo fattore rompe quella catena: chi ha la password, senza l’oggetto, resta fuori. Contro la pagina falsa regge però solo la chiavetta fisica: un codice, da SMS o da app, si digita lì come la password.
Cosa non è
Non è la password complicata. Maiuscole, numeri e simboli obbligatori non hanno reso nessuno più sicuro: hanno fatto nascere le password scritte sul foglietto sotto la tastiera. Una frase lunga e diversa per ogni sito vale di più di una sigla di otto caratteri, ma anche la frase migliore, se rubata, è rubata: la complicazione non è il rimedio, il secondo fattore lo è.
Non è il codice via SMS, quando si può scegliere altro. L’SMS è il secondo fattore più fragile, perché il numero di telefono può essere trasferito su un’altra scheda da qualcuno che si finge voi allo sportello. Dove è possibile, una chiavetta fisica o una app che genera i codici valgono molto di più. Detto questo: l’SMS è comunque meglio di niente, e su un servizio che non offre altro va acceso lo stesso.
Non è una cosa da fare «sugli account importanti». La casella di posta è la porta di tutte le altre: chi entra nella posta chiede il reimposta password ovunque e riceve i link lì dentro. Se in azienda si accende un secondo fattore solo, si accende sulla posta, e poi si continua.
Non è finita il giorno in cui si attiva. Restano i codici di recupero, che vanno stampati e messi dove qualcuno li ritrova; resta il telefono che si perde o si cambia; restano gli accessi di chi lascia l’azienda. Il secondo fattore è una procedura, non un interruttore.
Come si riconosce in azienda
Fatevi due domande. La prima: se domani qualcuno conoscesse la password della casella con cui sono stati registrati i fornitori, la banca e i programmi in abbonamento, cosa potrebbe fare prima che qualcuno se ne accorga? La seconda: quando una persona lascia l’azienda, chi chiude i suoi accessi, in quanto tempo, e come fa a sapere quali sono? Se per la seconda serve ricostruire a memoria, l’elenco degli accessi non esiste, e senza quell’elenco il primo problema non è risolvibile.
Un esempio
Un’azienda di trasporti della provincia — immaginaria, come tutti gli esempi di questa rubrica — usa un’unica casella di amministrazione, condivisa fra tre persone, con una password che non cambia da anni perché cambiarla vorrebbe dire avvisare tutti. Un giorno arriva a un cliente una comunicazione che sembra partita da lì, con coordinate bancarie nuove e il tono giusto. Non era partita da lì, ma non serviva: bastava che qualcuno avesse letto quella casella abbastanza a lungo da copiarne il modo di scrivere. La casella condivisa non era il comodo dell’ufficio: era la porta aperta.
Da lunedì
Fate l’elenco delle caselle di posta aziendali, segnate accanto a ognuna chi la usa, e accendete il secondo fattore su quelle, cominciando da quella dell’amministrazione. È mezza giornata di lavoro e chiude la porta più larga. Nella scheda Consulenza Imprese il lavoro comprende la revisione degli accessi: chi entra dove, e chi non dovrebbe più; se non sapete da quale parte cominciare, il check-up digitale serve a questo.
Il servizio collegato a questo articolo: Consulenza Imprese