Key management: come gestire le password in modo sicuro

Nel 2023 si è registrato 1 attacco informatico ogni 39 secondi, pari a circa 2200 al giorno, con un aumento di intensità rispetto al 2022 (1 ogni 44 secondi). In questo scenario, una corretta gestione delle password è diventata una priorità fondamentale per garantire la sicurezza delle informazioni personali e aziendali.

Tuttavia, nonostante questa preoccupante tendenza, né gli utenti né, in molti casi, le aziende prendono sul serio una questione così delicata, rendendo ancora più facile il lavoro dei cybercriminali. Un buon esempio è dato dal fatto che “123456” è ancora la password più utilizzata al mondo, una password troppo debole che gli hacker possono decifrare in meno di un secondo.

Che cos’è la gestione delle password, perché è così importante per gli utenti e le aziende e come dovrebbe essere per garantire una sicurezza ottimale? In questo articolo esamineremo in modo approfondito questi e altri aspetti del key management.

Cos’è il key management?

La gestione delle password, o key management, è la metodologia che gli utenti e le aziende adottano per memorizzare e organizzare tutte le password che utilizzano nelle loro attività quotidiane. È diventata un’attività importante non solo a causa della criminalità informatica, ma anche per il numero crescente di servizi e applicazioni che richiedono l’autenticazione.

Un corretto key management aiuta a proteggere le informazioni personali e aziendali, facilitando al contempo l’accesso sicuro a varie piattaforme e strumenti. È anche una delle misure di sicurezza necessarie per conformarsi al GDPR, poiché questo regolamento richiede alle aziende di adottare misure tecniche e organizzative per garantire la protezione dei dati personali.

Al giorno d’oggi, la gestione delle password viene effettuata tramite strumenti software noti come password manager, che consentono di memorizzare e generare le password in modo sicuro. Questi strumenti crittografano tutte le password e le proteggono con un’unica password principale. Tuttavia, alcuni utenti si ostinano a utilizzare fogli di calcolo o word processor per gestire le proprie password, una pratica altamente insicura sconsigliata da tutti gli esperti di cybersicurezza. 

Key management, perché è importante?

Nel campo della sicurezza informatica si dice che l’anello più debole di un sistema di sicurezza sia l’utente. Ciò è dovuto in gran parte alla mancanza di preoccupazione e attenzione per la gestione delle password. Naturalmente non è l’unico fattore, ma è uno dei più importanti.

Una password debole o troppo utilizzata rende molto più facile per i criminali informatici accedere a informazioni sensibili e compromettere la sicurezza di un’azienda o di un individuo. Agli hacker basta una piccola breccia per penetrare nei sistemi e mettere in ginocchio l’intera struttura, come nel caso dei famosi attacchi ransomware, che sono aumentati del 184% rispetto al 2022.

Tuttavia, non ha senso usare password forti se sono gestite male. Se non vengono conservate in modo sicuro e aggiornate regolarmente, anche le password più forti possono finire nelle mani sbagliate. Inoltre, è fondamentale evitare di utilizzare la stessa password per più servizi, perché ciò potrebbe consentire ai criminali informatici di accedere a tutti gli account con un’unica identificazione.

E una volta che una persona non autorizzata è in possesso delle nostre password, i rischi potenziali sono quasi innumerevoli: fuga di dati sensibili, downtime di sistemi critici, furto d’identità, furto finanziario, danni alla reputazione, perdita di proprietà intellettuale… Pertanto, è essenziale pensare al key management come parte integrante della nostra strategia di sicurezza complessiva, sia a livello personale che aziendale.

Password manager: la chiave per lasciarsi alle spalle l’insicurezza

Di fronte a uno scenario come quello attuale, negli ultimi anni sono sempre di più le aziende che hanno messo ordine nei sistemi di key management, adottando strumenti specializzati che facilitano questo compito e aumentano la sicurezza delle informazioni. 

I gestori di password non solo aiutano a memorizzare e organizzare in modo sicuro tutte le password, ma sono anche in grado di generarne di forti in modo automatico e casuale.

Ad esempio, Google offre uno strumento di key management integrato in Chrome che consente di salvare e gestire le password e di generare automaticamente password sicure. Altre soluzioni popolari sono Microsoft Authenticator, iCloud Keychain, LastPass, 1Password o Dashlane. Tutte offrono funzioni avanzate per gestire le password in modo sicuro ed efficiente.

Questo tipo di software può essere definito come un archivio sicuro in cui tutte le password sono memorizzate in forma crittografata. È sufficiente ricordare un’unica password principale per avere accesso a tutte le altre. Inoltre, offrono altre funzionalità, come l’inserimento automatico delle credenziali nei moduli o la sincronizzazione tra diversi dispositivi.

Inoltre, molti di questi password manager offrono anche la possibilità di condividere in modo sicuro le password tra utenti o dispositivi diversi, senza dover rivelare la password stessa. Questo è particolarmente utile negli ambienti aziendali, dove spesso è necessario condividere l’accesso a determinate risorse.

9 buone pratiche del key management

Sebbene i gestori di password siano uno strumento eccellente per la gestione delle nostre password, è anche essenziale seguire le buone pratiche per la creazione e il key management. Alcune delle più importanti sono:

1. Scegliere il giusto gestore di password: non tutte le soluzioni di key management sono uguali. È importante fare una ricerca e sceglierne una che si adatti alle proprie esigenze specifiche, che abbia un’interfaccia facile da usare e che soddisfi i più alti standard di sicurezza.
2. Utilizzare password forti: l’utilizzo di un gestore di password non è una panacea. Dobbiamo continuare a utilizzare password forti, lunghe almeno 8 o 10 caratteri, che combinino lettere maiuscole e minuscole, numeri e simboli. Inoltre, è consigliabile evitare di utilizzare informazioni personali o parole comuni nelle password.
3. Aggiornare regolarmente le password: anche con password forti, è consigliabile cambiarle di tanto in tanto. In questo modo si riduce al minimo la possibilità che un criminale informatico abbia il tempo sufficiente per decifrarle.
4. Non utilizzare le stesse password: ogni account deve avere una password unica. In questo modo, se uno degli account viene compromesso, gli altri rimarranno al sicuro.
5. Politica sui dispositivi personali: le aziende dovrebbero anche stabilire politiche chiare sull’uso dei dispositivi personali per il lavoro. L’obiettivo è garantire che tutti i dispositivi che accedono alla rete aziendale siano adeguatamente protetti e conformi ai requisiti di sicurezza.
6. Formazione: è essenziale che i dipendenti di un’azienda ricevano una formazione sull’importanza di una buona gestione delle password. Questo include la comprensione dei rischi associati a pratiche poco sicure e il modo per evitarli.
7. Autenticazione a due fattori: laddove possibile, è necessario utilizzare metodi di autenticazione a due fattori. Ciò aggiunge un ulteriore livello di sicurezza, in quanto richiede all’utente di fornire due diverse forme di identificazione.
8. Attacchi rilevanti: gli utenti devono essere consapevoli e rimanere vigili contro i principali attacchi, in particolare il phishing e l’ingegneria sociale. In caso di dubbio, è meglio non cliccare su alcun link o fornire informazioni rischiose.
9. Aggiornamenti software: è essenziale mantenere aggiornati i dispositivi e le applicazioni, poiché molti aggiornamenti includono patch di sicurezza che risolvono vulnerabilità che potrebbero essere sfruttate dai criminali informatici.

Slack e key management

Slack si impegna a fornire un ambiente sicuro ai propri utenti. Per questo motivo abbiamo introdotto solide misure di sicurezza, tra cui l’autenticazione a due fattori, l’SSO o l’Enterprise Key Management (EKM), che consente alle aziende di controllare e gestire le proprie chiavi di crittografia per proteggere i dati all’interno di Slack, nonché di controllare l’accesso in modo massiccio.

Inoltre, l’integrazione di Slack con altre applicazioni avviene in modo sicuro grazie a OAuth, un protocollo di autorizzazione standard del settore che consente agli utenti di autorizzare l’applicazione ad agire per loro conto senza condividere la propria password. Gli utenti possono integrare le loro applicazioni e creare flussi di lavoro automatizzati in modo semplice, rapido e sicuro.

Slack consente inoltre alla piattaforma di integrarsi con una serie di gestori di password molto diffusi. In questo modo è più facile per gli utenti e le aziende gestire in modo sicuro le proprie password all’interno dell’ambiente Slack, migliorando ulteriormente la sicurezza e l’efficienza dell’utilizzo della piattaforma.