La password rappresenta da sempre uno dei principali sistemi utilizzati per proteggere gli account informatici, ma nel contesto aziendale moderno non può più essere considerata una barriera sufficiente contro gli accessi non autorizzati. Le credenziali possono essere sottratte attraverso phishing, malware, attacchi di credential stuffing, database compromessi o tecniche di social engineering e, quando un utente utilizza la stessa password su più servizi, la compromissione di un singolo account può avere conseguenze anche sugli altri sistemi. L'autenticazione multifattore, indicata comunemente con l'acronimo MFA, introduce quindi un ulteriore livello di verifica che rende molto più difficile accedere a un account utilizzando esclusivamente una password rubata.

L'MFA aziendale non sostituisce necessariamente la password, ma aggiunge uno o più fattori di autenticazione che devono essere verificati prima di concedere l'accesso. In questo modo la sicurezza dell'account non dipende più da un'unica informazione che può essere copiata, intercettata o indovinata, ma da una combinazione di elementi differenti che l'attaccante dovrebbe riuscire a compromettere contemporaneamente.

Come funziona l'autenticazione multifattore

Il principio alla base dell'MFA consiste nella verifica di più fattori appartenenti a categorie differenti. Un fattore può essere qualcosa che l'utente conosce, come una password o un PIN, qualcosa che possiede, come uno smartphone o un dispositivo hardware, oppure qualcosa che lo identifica fisicamente, come un'impronta digitale o il riconoscimento biometrico. L'autenticazione multifattore combina questi elementi per aumentare il livello di sicurezza durante il processo di accesso.

Un esempio tipico in ambito aziendale è l'accesso a Microsoft 365. L'utente inserisce il proprio nome account e la password, ma il sistema richiede successivamente una seconda verifica attraverso un'applicazione di autenticazione, una notifica sul dispositivo registrato, un codice temporaneo o un altro metodo configurato dall'organizzazione. Se un attaccante possiede soltanto la password, non dispone quindi automaticamente del secondo fattore necessario per completare l'autenticazione.

MFA e sicurezza degli account aziendali

L'utilizzo dell'MFA assume particolare importanza negli ambienti aziendali perché gli account possono consentire l'accesso a numerose risorse contemporaneamente. Una singola identità digitale può essere collegata alla posta elettronica, al gestionale, ai documenti condivisi, ai servizi cloud, alle applicazioni interne, alle VPN e ad altri sistemi utilizzati quotidianamente dall'organizzazione. La compromissione dell'account può quindi rappresentare il primo passaggio verso un attacco più ampio.

L'autenticazione multifattore riduce il rischio che una password sottratta sia sufficiente per ottenere l'accesso. Questo non significa che l'MFA renda un account completamente inattaccabile, ma aumenta significativamente la difficoltà necessaria per compromettere l'identità dell'utente. Per questo motivo l'MFA dovrebbe essere considerata una componente fondamentale di una strategia più ampia di gestione delle identità e degli accessi.

MFA contro il phishing

Uno degli scenari nei quali l'autenticazione multifattore può fornire un'importante protezione è il phishing. Un dipendente potrebbe infatti ricevere un'email fraudolenta e inserire inconsapevolmente le proprie credenziali all'interno di una pagina web controllata dall'attaccante. In assenza di ulteriori meccanismi di sicurezza, username e password potrebbero essere sufficienti per accedere al servizio reale.

Con l'MFA, l'attaccante deve invece superare anche il secondo livello di autenticazione. Il livello di protezione effettivo dipende tuttavia dal metodo utilizzato. Alcuni sistemi basati esclusivamente su codici o approvazioni tramite notifiche possono essere oggetto di tecniche di social engineering, come il cosiddetto MFA fatigue, nel quale l'attaccante genera numerose richieste di autenticazione fino a spingere l'utente ad approvarne una per errore. Per questo motivo le aziende devono scegliere metodi MFA adeguati al livello di rischio e configurare correttamente le policy di autenticazione.

I principali metodi di autenticazione multifattore

Tra i sistemi più utilizzati nelle aziende troviamo le applicazioni di autenticazione che generano codici temporanei oppure gestiscono richieste di approvazione direttamente sullo smartphone. Questi strumenti sono relativamente semplici da utilizzare e possono essere integrati con numerosi servizi aziendali. Esistono inoltre chiavi di sicurezza hardware che utilizzano standard moderni di autenticazione e permettono di verificare fisicamente la presenza dell'utente durante il processo di accesso.

Anche la biometria può essere utilizzata come fattore di autenticazione, attraverso caratteristiche come impronta digitale o riconoscimento facciale. In questi casi il dispositivo verifica una caratteristica fisica dell'utente e la utilizza come parte del processo di autenticazione. La scelta della tecnologia più appropriata deve essere effettuata considerando il tipo di account, il livello di rischio, i dispositivi disponibili e le applicazioni utilizzate dall'azienda.

MFA e accesso remoto

La diffusione dello smart working e dell'accesso remoto ha reso ancora più importante l'autenticazione multifattore. Quando un dipendente accede ai sistemi aziendali da una rete esterna, l'organizzazione non può fare affidamento sulle sole protezioni presenti all'interno della rete locale. L'identità dell'utente diventa quindi un elemento centrale del modello di sicurezza.

L'MFA può essere applicata agli accessi VPN, ai servizi cloud, ai portali aziendali, ai sistemi di gestione e alle piattaforme utilizzate dai dipendenti. In questo modo anche nel caso in cui un utente lavori da una rete non controllata direttamente dall'azienda, l'accesso alle risorse protette rimane subordinato alla verifica dell'identità attraverso più fattori.

MFA e gestione centralizzata degli utenti

In un'azienda con numerosi dipendenti è importante che l'autenticazione multifattore venga gestita attraverso policy centralizzate. L'amministratore IT deve poter stabilire quali utenti devono utilizzare l'MFA, quali metodi sono consentiti, quali applicazioni richiedono una verifica aggiuntiva e come comportarsi in caso di perdita o sostituzione del dispositivo utilizzato per l'autenticazione.

La gestione centralizzata permette inoltre di intervenire rapidamente quando un dipendente lascia l'azienda, cambia ruolo o necessita di nuovi livelli di accesso. L'MFA deve quindi essere integrata all'interno del ciclo di vita dell'account, insieme alla gestione delle password, dei gruppi, dei ruoli e delle autorizzazioni. Questo approccio permette di ridurre il rischio che account non più utilizzati o configurazioni obsolete rimangano attivi all'interno dell'infrastruttura.

MFA e principio del minimo privilegio

L'autenticazione multifattore protegge l'identità, ma non determina automaticamente quali risorse l'utente possa utilizzare. Per ottenere una protezione completa è quindi necessario combinarla con una corretta gestione delle autorizzazioni e con il principio del minimo privilegio. Un utente dovrebbe disporre soltanto dei permessi necessari per svolgere le proprie attività e non di autorizzazioni amministrative non necessarie.

Questo approccio limita le conseguenze di un eventuale account compromesso. Se un utente con privilegi limitati viene attaccato, l'accesso dell'aggressore rimane circoscritto alle risorse disponibili per quell'identità. Se invece un account amministrativo viene compromesso, l'attaccante potrebbe avere la possibilità di modificare configurazioni, creare nuovi account, accedere a dati sensibili o intervenire direttamente sui sistemi aziendali. MFA e gestione delle autorizzazioni devono quindi essere considerate parti complementari della sicurezza delle identità.

MFA, monitoraggio e controllo degli accessi

L'adozione dell'MFA dovrebbe essere accompagnata dal monitoraggio degli accessi. Registrare informazioni relative a login, dispositivi utilizzati, posizione approssimativa, indirizzi IP, tentativi falliti e modifiche alle configurazioni permette di individuare comportamenti anomali. Un numero elevato di tentativi di accesso, autenticazioni provenienti da dispositivi insoliti o attività effettuate immediatamente dopo una modifica delle credenziali possono rappresentare segnali che richiedono un'analisi.

Il monitoraggio permette inoltre di verificare l'effettiva applicazione delle policy aziendali. Non è sufficiente attivare l'MFA e considerare conclusa la configurazione: è necessario verificare che tutti gli account interessati siano protetti, che non esistano modalità di accesso alternative prive di MFA e che i metodi di autenticazione configurati siano ancora validi e controllati dall'organizzazione.

Cosa succede se un dipendente perde il dispositivo MFA

La gestione degli incidenti deve considerare anche la perdita o il furto dello smartphone, della chiave hardware o del dispositivo utilizzato per l'autenticazione. L'azienda deve disporre di procedure precise per revocare rapidamente il metodo compromesso, registrare un nuovo dispositivo e verificare che non siano presenti accessi sospetti associati all'account.

Questa procedura deve essere progettata in modo da mantenere un equilibrio tra sicurezza e continuità operativa. Un sistema troppo rigido può rendere difficoltoso il recupero di un account legittimo, mentre un processo di recupero troppo semplice potrebbe diventare un punto debole sfruttabile da un attaccante. Le procedure di recovery devono quindi essere protette almeno quanto il normale processo di autenticazione.

Perché l'MFA dovrebbe essere una priorità per le aziende

L'autenticazione multifattore rappresenta oggi uno degli strumenti più importanti per ridurre il rischio di compromissione degli account aziendali. Password robuste, sistemi antivirus, firewall e strumenti di sicurezza degli endpoint rimangono fondamentali, ma non possono impedire che una credenziale valida venga utilizzata da un soggetto non autorizzato. L'MFA aggiunge un livello di verifica che rende molto più difficile utilizzare una password rubata come unica chiave di accesso.

Per un'azienda, implementare correttamente l'MFA significa quindi proteggere non soltanto le singole caselle di posta, ma l'intero sistema delle identità digitali che consente ai dipendenti di accedere alle risorse aziendali. La configurazione deve essere accompagnata da policy centralizzate, gestione delle autorizzazioni, monitoraggio degli accessi e procedure di recupero degli account. In questo modo l'MFA diventa parte integrante della sicurezza informatica e non semplicemente un passaggio aggiuntivo richiesto durante il login.

L'MFA come parte della sicurezza aziendale

La password continuerà a essere utilizzata in molti sistemi, ma non dovrebbe più rappresentare l'unico elemento sul quale basare la sicurezza di un account aziendale. Le credenziali possono essere rubate, riutilizzate, intercettate o ottenute attraverso tecniche di phishing e social engineering, mentre l'autenticazione multifattore introduce un ulteriore controllo che rende più difficile trasformare una password compromessa in un accesso effettivo.

La corretta implementazione dell'MFA deve quindi essere inserita all'interno di una strategia complessiva che comprenda gestione delle identità, controllo degli accessi, protezione degli endpoint, sicurezza della posta elettronica, monitoraggio e formazione degli utenti. Per le aziende che vogliono ridurre concretamente il rischio di accessi non autorizzati, l'MFA rappresenta uno dei primi livelli di protezione da implementare, soprattutto per gli account amministrativi, i servizi cloud e tutte le applicazioni che gestiscono dati e processi critici.