La maggior parte delle aziende non si rende conto di avere un problema con le password finché un problema non la costringe a prenderne atto, come una password di amministratore conservata in un foglio di calcolo o credenziali di login che rimangono attive per membri del team che hanno lasciato la tua azienda anni fa.

Questa è un’occorrenza comune. Nel Regno Unito, l’indagine del governo Cyber Security Breaches Survey 2024(nuova finestra) ha rilevato che il 50% delle imprese ha identificato una violazione o un attacco alla sicurezza informatica nei 12 mesi precedenti, una percentuale che sale al 70% delle medie imprese e al 74% delle grandi imprese.

In questa situazione, un audit delle password è una delle azioni più preziose che la tua azienda può intraprendere per rimanere al sicuro. È un modo pratico per scoprire i rischi legati alle credenziali che tendono ad accumularsi silenziosamente in background a causa di password deboli, accessi non autorizzati, account inattivi e login archiviati al di fuori dei sistemi approvati.

In particolare per le organizzazioni di piccole e medie dimensioni, questo tipo di revisione può aiutare a apportare miglioramenti significativi alla sicurezza senza spendere denaro o condurre un complesso programma di trasformazione.

Questo articolo spiega come condurre un audit delle password per la tua azienda, cosa cercare e come trasformare il processo da una pulizia una tantum a una pratica di sicurezza più costante.

Cos’è un audit delle password?

Un audit delle password è una revisione sistematica delle password, degli account e delle autorizzazioni di accesso utilizzati in un’azienda. Il suo scopo è identificare i rischi legati alle credenziali, come password deboli, password riutilizzate, login obsoleti, account inattivi, accessi eccessivi e credenziali archiviate al di fuori dei sistemi approvati.

In pratica, un audit delle password va oltre la verifica che una password sia abbastanza forte. Esamina anche:

  • Come vengono gestite le password nella tua organizzazione
  • Chi ha accesso a cosa e se tale accesso è ancora necessario
  • Come vengono archiviate e condivise le password
  • Se la tua azienda ha abbastanza visibilità per individuare i rischi prima che diventino un problema di sicurezza

Questo ampio raggio d’azione è ciò che rende utile un audit delle password. Nella maggior parte delle organizzazioni, il rischio legato alle credenziali non è creato da una singola password debole. Si accumula gradualmente attraverso piccole mancanze di supervisione, controlli di accesso incoerenti, cattive abitudini di archiviazione e account che rimangono attivi molto tempo dopo il momento in cui avrebbero dovuto essere controllati o rimossi.

Un audit delle password efficace aiuta a mettere in luce questi problemi. Offre alle aziende una comprensione più chiara della loro attuale igiene delle password e crea una base pratica per migliorare il controllo degli accessi, stringere la gestione delle credenziali e ridurre nel tempo l’esposizione evitabile. Questo tipo di revisione è molto più facile da condurre se utilizzi un gestore di password aziendale con strumenti di amministrazione che supportano la visibilità, la revisione degli accessi e l’applicazione delle Policy.

Come eseguire un audit di sicurezza delle password: un quadro pratico in cinque passaggi

Un audit delle password utile non deve necessariamente iniziare con una mappa perfetta di ogni account, strumento e percorso di accesso dell’azienda. Ha solo bisogno di una struttura chiara e di un sistema controllato per la gestione delle credenziali. Senza queste due cose, il processo può diventare rapidamente troppo ampio e troppo facile da rimandare.

Il modo per spezzare il ciclo che porta a evitare gli audit delle password consiste nel centralizzare la gestione delle password, definire la proprietà e rivedere gli accessi attraverso un unico flusso di lavoro approvato.

Ecco una guida approfondita per eseguire il tuo audit delle password:

Passo 1: crea un inventario completo delle credenziali

Inizia creando un inventario di lavoro dei sistemi da cui dipende la tua azienda. Questo include le piattaforme principali più ovvie, come:

  • Email
  • Strumenti finanziari
  • Archiviazione cloud
  • Software di collaborazione
  • Sistemi CRM
  • Console di amministrazione
  • Qualsiasi ambiente che contenga dati aziendali o dei clienti

Dovrebbe includere anche strumenti e servizi meno ovvi che operano nella tua rete:

  • Account social condivisi
  • Abbonamenti SaaS inattivi
  • Strumenti per collaboratori esterni
  • Ambienti di test
  • Servizi adottati da singoli team senza una supervisione centrale

Catalogare ogni strumento è importante perché la maggior parte dei rischi legati alle credenziali inizia con una visibilità incompleta. Se non sai quali strumenti sono in uso, non puoi verificare come vengono gestiti gli accessi tra di essi.

Le aziende che utilizzano già un gestore di password aziendale come Proton Pass for Business iniziano il loro audit delle password con un vantaggio pratico, perché le credenziali risiedono in casseforti crittografate.

Passo 2: mappa gli accessi in base alle esigenze aziendali

Una volta che hai una visione più chiara dei tuoi sistemi, il passo successivo è esaminare gli accessi. Devi verificare se le persone giuste hanno ancora il giusto livello di accesso agli strumenti giusti.

Inizia esaminando ogni sistema chiave e chiedendoti chi vi ha attualmente accesso, se questo riflette le sue attuali responsabilità e se qualche account comporta autorizzazioni più ampie del necessario.

In molte aziende, l’accesso si espande gradualmente nel tempo. Ad esempio, per comodità possono essere concessi ampi diritti di amministratore che non vengono mai rimossi. I collaboratori esterni possono mantenere l’accesso al termine di un progetto, oppure i membri del team possono cambiare ruolo e conservare le autorizzazioni di quello precedente.

Questo tipo di deriva aumenta il rischio anche quando la password stessa è forte. Le linee guida dell’NCSC(nuova finestra) sul controllo degli accessi raccomandano di assegnare gli account solo a persone autorizzate e di concedere agli Utenti il livello minimo di accesso e autorizzazioni di cui hanno bisogno, poiché chiunque può diventare un fattore di rischio. Un audit delle password dovrebbe quindi esaminare il motivo alla base di ogni livello di accesso.

Passo 3: esegui un controllo dello stato di integrità delle password

Questa fase dell’audit delle password serve a identificare eventuali password riutilizzate o deboli, l’autenticazione a due fattori (2FA) inattiva, i login obsoleti e le abitudini di archiviazione non sicure che rendono più probabile la compromissione.

A questo punto, la revisione dovrebbe concentrarsi su alcune domande pratiche:

  • Le password sono uniche per ogni account?
  • Ci sono password deboli o facili da indovinare?
  • Le vecchie credenziali sono ancora utilizzate e non tracciate?,
  • I dipendenti annotano le proprie password nell’archiviazione del browser o in app per prendere appunti invece che nei sistemi aziendali approvati?
  • La 2FA è attivata ovunque sia possibile?

Proton Pass for Business ti aiuta con Pass Monitor, che include:

  • Strumenti di controllo dello stato di integrità della password per rilevare automaticamente le password ripetute o deboli e la 2FA inattiva
  • Monitoraggio del Dark Web per avvisarti se le tue credenziali sono coinvolte in violazioni
  • Proton Sentinel per rilevare e bloccare attività di login sospette che potrebbero portare alla sottrazione dell’account

Passo 4: controlla gli account inattivi

Uno dei modi più rapidi per ridurre il rischio legato alle credenziali è semplicemente rimuovere ciò che non ha più motivo di esistere. La maggior parte delle aziende accumula account inattivi nel tempo. Ad esempio:

  • Ex dipendenti che hanno ancora accesso agli strumenti della tua azienda
  • Vecchie piattaforme SaaS che rimangono legate a credenziali aziendali valide molto tempo dopo che il loro utilizzo è diminuito
  • Account condivisi destinati a un uso a breve termine che finiscono per rimanere attivi per mesi o anni perché nessuno sa a chi appartengono

Questi account attirano meno attenzione di quelli attivi, il che li rende particolarmente facili da trascurare. Questa revisione è anche strettamente allineata con una più ampia disciplina di conformità.

Una solida revisione delle password aziendali deve includere un impegno mirato a:

  • Rimuovere gli accessi inattivi
  • Chiudere gli account obsoleti
  • Confermare una chiara proprietà per i sistemi rimanenti

Proton Pass for Business aiuta a ridurre l’attrito che spesso mantiene in vita questi account, rendendo la proprietà più chiara, l’accesso più facile da rivedere e le modifiche alle credenziali più semplici da gestire quando le persone se ne vanno o i ruoli cambiano.

Passo 5: rimedia e standardizza

Il passo finale consiste nel tradurre in azioni concrete quanto emerso. Un audit delle password migliora la sicurezza della tua organizzazione solo se i problemi emersi vengono affrontati in modo strutturato.

Una volta identificati i punti deboli, puoi creare un piano sistematico anziché reattivo. Ecco una semplice checklist per l’audit delle password:

  • Cambia immediatamente le credenziali deboli o esposte.
  • Sostituisci le password riutilizzate con password uniche.
  • Attiva la 2FA ovunque, a partire dagli account critici.
  • Rimuovi gli account inattivi o non necessari.
  • Revoca i privilegi in eccesso.
  • Sposta le credenziali al di fuori di fogli di calcolo, documenti o dall’archiviazione del browser.
  • Consolida l’archiviazione delle password in un sistema aziendale approvato.
  • Aggiorna le tue Policy sulle password e sugli accessi.

Questo è anche il momento giusto per allineare le azioni tecniche con le Policy. Se la tua attuale Policy sulle password è vaga, non applicata o irrealistica, il tuo audit farà semplicemente riemergere gli stessi problemi tra sei mesi.

I controlli e le Policy sulle password funzionano molto bene insieme: la guida di Proton alla creazione di una Policy sulle password è una valida risorsa complementare. E puoi iniziare facilmente con il nostro modello di Policy sulle password.

La risoluzione dei problemi deve dare priorità al rischio, non all’ordine generale. Inizia con gli account amministratore, i sistemi che contengono dati sensibili, i servizi esposti all’esterno e le credenziali condivise con una proprietà poco chiara. Poi procedi verso l’esterno.

Perché le aziende ignorano gli audit delle password?

Se gli audit delle password sono così utili, perché così tante aziende non si preoccupano di condurli? Il processo può sembrare più difficile da avviare di quanto non sia in realtà.

In molte organizzazioni, le credenziali sono archiviate in troppe posizioni per essere controllate facilmente. Alcuni dipendenti salvano le password nei browser. Altri le tengono in fogli di calcolo, documenti condivisi, app per appunti o messaggi interni.

Team diversi possono utilizzare i propri strumenti, acquistare software in modo indipendente o gestire gli accessi in modo informale. Di conseguenza, l’azienda può perdere traccia di quali sistemi sono in uso e di chi vi ha accesso, rendendo difficile identificare e affrontare i rischi per la sicurezza.

L’assenza di un sistema centralizzato rende tutto questo ancora più difficile. Senza una singola posizione per gestire le credenziali aziendali, even un controllo di base della sicurezza delle password può trasformarsi in un esercizio manuale basato su congetture, screenshot e memoria individuale. Molte PMI rimandano la revisione delle proprie pratiche relative alle password perché presumono che richiederà un progetto di sicurezza su vasta scala. In realtà, il primo passo consiste semplicemente nel dare una struttura a ciò que già esiste.

Spesso gli audit delle password vengono trascurati anche perché il rischio legato alle credenziali tende ad accumularsi silenziosamente. A differenza di un’interruzione del software o di un incidente di phishing, una cattiva igiene delle password non è sempre evidente. Password deboli, accessi non necessari, account inattivi e pratiche di condivisione informale possono rimanere attivi per mesi senza attirare l’attenzione. Quando vengono notati, sono spesso profondamente incorporati nelle operazioni quotidiane.

Un audit delle password porta in superficie questo rischio nascosto. Raccoglie prove e offre a un’organizzazione la visibilità e la proprietà di cui ha bisogno per rafforzare il controllo degli accessi, migliorare le pratiche di archiviazione e prendere decisioni di sicurezza più coerenti.

Trasforma il tuo audit delle password in un controllo continuo

Un audit delle password acquisisce molto più valore quando fa parte di una pratica continua piuttosto che di una revisione una tantum. Il rischio legato alle credenziali continua a crescere se non viene affrontato. Gli accessi cambiano quando le persone entrano, escono, cambiano ruolo, adottano nuovi strumenti o collaborano con partner esterni per periodi limitati. Se una revisione avviene una sola volta, i risultati iniziano a invecchiare quasi immediatamente.

La gestione centralizzata delle password è il tuo miglior investimento. Offre ai team IT molto più di un luogo sicuro in cui archiviare le credenziali. Crea la visibilità e il controllo necessari per rivedere gli accessi in modo più coerente, applicare standard più rigorosi e rispondere più rapidamente quando qualcosa richiede attenzione.

Scegliere un gestore di password per i team IT supporta questo modello operativo attraverso pannelli di controllo amministrativi efficaci, amministrazione centralizzata, Policy di gruppo, accessi basati sui ruoli, provisioning SCIM, SSO e registri di audit, trasformando la gestione delle password in un controllo operativo e di conformità più solido.