Gestione password aziendali: il password manager per le PMI di Torino

La gestione delle password aziendali è l'insieme di regole e strumenti con cui un'azienda crea, conserva, condivide e revoca le credenziali di accesso ai propri sistemi: email, gestionale, home banking, portali dei fornitori, pannelli dei siti web. In una PMI queste chiavi digitali sono spesso decine o centinaia, sparse tra più persone, e il modo in cui vengono custodite decide quanto è davvero protetta l'azienda. Un password manager aziendale è il software che le centralizza in una cassaforte cifrata, le genera robuste e le inserisce al posto dell'utente, togliendo di mezzo il foglio Excel e i post-it sul monitor.

Il tema è tutt'altro che teorico. Secondo il Rapporto Clusit 2026, nel 2025 in Italia si sono registrati 507 attacchi gravi (+42% sull'anno precedente) e il phishing e l'ingegneria sociale — le tecniche con cui si sottraggono proprio le credenziali — pesano per il 12,4% degli incidenti nazionali, in crescita del 66%. Rubare una password, insomma, è spesso la prima mossa di un attacco.

AscenSys, società IT di Torino, affianca le PMI del Piemonte sulla sicurezza informatica di tutti i giorni, e la gestione delle password è il punto da cui partiamo quasi sempre: è l'intervento a più alto impatto e a più basso costo. In questo articolo spieghiamo perché le password sono il punto debole di molte PMI, come un password manager risolve il problema e quali regole adottare per non lasciare porte aperte.

Il problema non è che gli imprenditori non si preoccupino della sicurezza: è che le password crescono in fretta e nessuno le governa. Gli imprenditori e i responsabili IT che incontriamo a Torino ci raccontano quasi sempre la stessa scena: «abbiamo un file Excel con tutte le password, lo passiamo su WhatsApp quando serve». Da lì nascono i rischi più comuni, che vediamo ripetersi in aziende di ogni settore:

• Il foglio condiviso delle password: un Excel o un documento su un disco di rete con utenti e password in chiaro, accessibile a troppe persone e senza traccia di chi lo apre. Se quel file finisce nelle mani sbagliate, l'intera azienda è esposta in un colpo solo.
• La stessa password ovunque: la medesima chiave usata per email, gestionale e account personali. Basta che un solo servizio esterno subisca una violazione perché quella password finisca nei database che i criminali rivendono, e da lì si provi ad aprire tutto il resto.
• Le password salvate nel browser: comode, ma legate al singolo computer e protette in modo debole. Chi si siede a quella postazione, o chi ne sottrae il profilo, accede a tutto senza conoscere nemmeno una password.
• Gli accessi dell'ex collaboratore: quando una persona lascia l'azienda, le credenziali che conosceva restano valide. Senza un inventario centrale è impossibile sapere quali cambiare, e spesso non si cambia nulla.
• Le credenziali condivise: un unico login usato da tutto l'ufficio per un portale. Quando qualcosa va storto non si sa chi ha fatto cosa, e disattivare l'accesso di una sola persona significa cambiare la password a tutti.

Non è un problema solo italiano, ma da noi è particolarmente acuto. L'Osservatorio Cyber di CRIF (primo semestre 2026) colloca l'Italia al terzo posto nel mondo, dopo Stati Uniti e Francia, per account sottratti e diffusi tramite infostealer, i malware specializzati nel rubare le password salvate sui dispositivi; nello stesso periodo i dati univoci in circolazione sul dark web hanno raggiunto i 2,5 miliardi. Ogni password riutilizzata è un tassello in più di quel mercato.

Di fronte a questo scenario, AscenSys affronta la gestione delle password su due fronti che vanno sempre insieme: uno strumento che custodisce le credenziali e un insieme di regole che ne disciplinano l'uso. Lo strumento è il password manager aziendale; le regole sono la policy che decide chi accede a cosa. Procediamo per passi, senza stravolgere il modo di lavorare delle persone:

1. Censimento delle credenziali: mettiamo in fila tutti gli accessi realmente in uso — email, gestionale, banca, portali, social — e individuiamo password deboli, duplicate e condivise.
2. Cassaforte unica cifrata: introduciamo un password manager aziendale in cui ogni collaboratore ha il proprio spazio personale e le password di team sono condivise in cartelle, senza più circolare via chat o email.
3. Password robuste e diverse per ogni servizio: lo strumento genera password lunghe e casuali e le compila da solo, così nessuno deve più inventarle né ricordarle. Il riutilizzo sparisce senza sforzo.
4. Autenticazione a più fattori: sui servizi critici attiviamo un secondo fattore, perché anche una password rubata non basti a entrare. È il complemento naturale del password manager (ne parliamo nell'articolo dedicato all'autenticazione a più fattori per le PMI).
5. Procedura di uscita: quando un collaboratore lascia l'azienda, si revoca il suo accesso alla cassaforte e si ruotano le password condivise che conosceva, in pochi minuti e con la certezza di non averne dimenticata nessuna.

Dove l'azienda lavora su Microsoft 365 integriamo la gestione delle password con l'identità aziendale: come Microsoft Cloud Solution Provider configuriamo gli account, i criteri di accesso e il secondo fattore su Entra ID, così il password manager e l'identità cloud parlano la stessa lingua. Sul fronte della protezione dei dispositivi — lì dove gli infostealer colpiscono — affianchiamo soluzioni di sicurezza per gli endpoint come quelle del partner ESET, perché una cassaforte serve a poco se il computer che la apre è già compromesso.

Vale la pena capire perché un password manager è più sicuro del foglio Excel, e non solo più comodo. Il cuore dello strumento è la cifratura a conoscenza zero (zero-knowledge): le password vengono cifrate e decifrate solo sul dispositivo dell'utente, con una chiave derivata dalla sua password principale, e nemmeno il fornitore del servizio può leggerle. All'azienda resta una sola password da ricordare davvero bene — quella principale — mentre tutte le altre diventano stringhe casuali che nessuno conosce a memoria.

Da qui discendono i vantaggi concreti per una PMI:

• Condivisione tracciata: una password si condivide con un collega assegnandogli l'accesso, non copiandola in un messaggio. Si sa chi può vederla e si può togliere l'accesso in qualsiasi momento.
• Attribuzione personale: ogni persona entra con le proprie credenziali. Questo rende gli accessi riconducibili a chi li compie, un principio che il GDPR considera parte delle misure adeguate a proteggere i dati personali (art. 32), quando l'azienda tratta dati di clienti e dipendenti.
• Allerta sulle violazioni: molti password manager segnalano se una credenziale compare in una fuga di dati nota, così la si può cambiare prima che venga sfruttata.
• Controllo centrale: l'amministratore vede quante password deboli o riutilizzate restano in azienda e può imporre regole minime, senza dover guardare le password delle persone.

Il ritorno sull'investimento non si misura in una percentuale, ma in rischio evitato: un password manager aziendale costa pochi euro per utente al mese — una cifra trascurabile rispetto al fermo operativo, al danno reputazionale e agli obblighi che scattano dopo una violazione di dati. Per questo lo consideriamo l'intervento di sicurezza con il miglior rapporto tra spesa e protezione per una PMI.