La verifica in due passaggi è la protezione più semplice che un ufficio possa aggiungere ai propri account: dopo la password serve anche un codice che arriva sul telefono. Si attiva in pochi minuti e rende quasi inutile una password rubata.
Cos’è, in due righe
Quando entrate in un servizio con la sola password, chiunque la conosca può entrare al posto vostro. Con la verifica in due passaggi (chiamata anche autenticazione a due fattori o 2FA) il servizio chiede anche una seconda prova: un codice generato da un’app sul telefono, un SMS, una notifica da confermare o una chiavetta fisica. Chi ha solo la password si ferma lì.
Le password finiscono in giro più spesso di quanto si pensi: email di phishing ben fatte, servizi che subiscono un furto di dati, la stessa password riusata su dieci siti. La verifica in due passaggi non impedisce il furto, ma lo rende inutile.
Dove attivarla per prima
Non serve farlo ovunque il primo giorno. Conviene partire dagli account che, se compromessi, fanno più danni.
- Posta elettronica aziendale. È la porta di tutto: con la posta si reimpostano le password di qualsiasi altro servizio. Va protetta per prima, su tutte le caselle dell’ufficio.
- Home banking e pagamenti. Le banche la impongono già, ma vale la pena controllare che sia attiva anche sui servizi di pagamento e sulle piattaforme di fatturazione.
- Gestionali e servizi in cloud. Gestionale, archivio documenti, CRM, portali dei fornitori: tutto ciò che contiene dati di clienti e dipendenti.
- Profili social e pubblicitari dell’azienda. Un profilo rubato è difficile da recuperare e può essere usato per truffare i vostri clienti.
Quale metodo scegliere
I servizi offrono quasi sempre più di un metodo. In ordine di sicurezza, dal più solido:
- Chiavetta di sicurezza (FIDO2 o passkey): la più robusta, adatta a chi gestisce dati delicati.
- App di autenticazione sul telefono, che genera un codice ogni trenta secondi: ottima per tutti e funziona anche senza rete.
- Notifica da confermare sul telefono: comoda, ma attenzione a non approvare richieste che non avete fatto voi.
- SMS: meglio di niente, ma è il metodo più facile da aggirare. Usatelo solo se il servizio non offre altro.
Per un ufficio il compromesso migliore è quasi sempre l’app di autenticazione, con i codici di recupero stampati e conservati in un posto sicuro.
Gli errori che vediamo più spesso
- Il telefono di una sola persona per tutto l’ufficio. Se quella persona è in ferie o cambia numero, nessuno entra più. Meglio un telefono per ciascun utente, oppure un gestore di password aziendale che custodisce anche i codici.
- Codici di recupero mai salvati. Sono l’unica via d’uscita quando il telefono si rompe o viene perso. Vanno stampati o messi nel gestore di password il giorno stesso dell’attivazione.
- Account condivisi. Una casella usata da cinque persone con una sola password è difficile da proteggere. Ogni persona dovrebbe avere il proprio accesso.
- Attivata solo sulla posta del titolare. Chi gestisce la contabilità o le spedizioni ha accessi altrettanto delicati.
Quanto costa e quanto tempo serve
Attivarla non costa nulla: tutti i principali servizi la includono. Il tempo è di qualche minuto per account, più un breve momento per spiegare al personale come funziona il codice al primo accesso da un nuovo dispositivo. Dopo la prima volta, la maggior parte dei servizi non lo richiede più sullo stesso computer.
Possiamo configurarla noi
Se preferite non occuparvene, la configuriamo noi su caselle di posta, account e telefoni del vostro ufficio, scegliendo il metodo adatto a ogni servizio e lasciandovi i codici di recupero al sicuro. Scriveteci dalla pagina Contatti: bastano un paio d’ore per mettere in sicurezza gli accessi di un piccolo ufficio.
