Password manager in azienda: pratiche sicure per team

Le credenziali deboli o riutilizzate restano la porta d’ingresso preferita da phishing e data breach. Quando una password finisce in una lista pubblica, gli attaccanti provano le stesse combinazioni su email aziendali, VPN e pannelli di hosting. Un password manager genera chiavi lunghe e uniche per ogni servizio e le ricorda al posto delle persone.

Il problema non è la malizia dei dipendenti ma la logica del lavoro: decine di portali, scadenze password obbligatorie, accessi condivisi tra turni. Senza uno strumento centralizzato, la scorciatoia è riutilizzare la stessa stringa o annotarla dove chiunque può leggerla. L’obiettivo del rollout non è «controllare le persone» ma togliere attrito alla sicurezza: meno reset, meno chiamate al titolare per «qual era la password della banca?».

Cosa intendiamo per password manager aziendale

Non è la stessa app personale che ognuno installa sul telefono. Le versioni business offrono vault condivisi per reparto, log di accesso, policy su lunghezza e rotazione, integrazione con Active Directory o Google Workspace e revoca immediata quando un dipendente esce. Il titolare non vede necessariamente le password private del singolo, ma controlla quelle dei servizi comuni.

Soluzioni diffuse in PMI italiane includono Bitwarden, 1Password Business, Dashlane Teams, Keeper. La scelta dipende da budget, requisiti di hosting (cloud UE vs on-prem) e quante persone devono accedere da mobile in campo.

Differenza tra vault personale e vault aziendale

Ogni dipendente può avere un vault privato per siti non lavorativi, separato da quello condiviso dell’ufficio. Le policy aziendali di solito coprono solo i servizi legati al lavoro: portali INPS, CRM, hosting sito, account social del brand. Chiarire questo confine evita resistenze del tipo «volete spiare tutto». In parallelo, vietate esplicitamente password aziendali salvate nel browser personale o in note non cifrate sul telefono privato.

Per studi professionali e PMI con obblighi deontologici, il log «chi ha aperto quale voce e quando» aiuta in caso di dispute interne o controlli: non sostituisce la fiducia, ma documenta accessi a gestionale e banca come farebbe un registro cartaceo firmato.

Policy minime che funzionano

Obbligo di master password robusta e MFA sull’account del manager. Divieto di salvare password fuori dal vault per servizi aziendali. Rotazione programmata solo dove serve — banche, admin server — non ogni trenta giorni su tutto, altrimenti la gente torna agli appunti. Accesso ai vault condivisi basato su ruolo: amministrazione, commerciale, produzione.

Lunghezza, passphrase e generatori

Impostate minimo quattordici–sedici caratteri per servizi critici e generate password casuali per tutto ciò che non si digita a mano ogni giorno. Per la master password, una passphrase di quattro–cinque parole italiane o inglesi scelte a caso batte «NomeAzienda2024!». Formate il team a non condividere mai la master: nemmeno con il titolare, salvo procedure di recovery documentate con account di emergenza separato.

Se avete requisiti da cliente enterprise (fornitore automotive, gare pubbliche), spesso chiedono evidenza di policy password: esportate dalle impostazioni admin del manager e archiviate nel registro misure di sicurezza GDPR.

Se state valutando MFA e gestione identità insieme al password manager, potete allineare tutto nel percorso cybersecurity per PMI.

Onboarding e offboarding

Entrata: account creato prima del primo giorno, invito con tutorial di quindici minuti, checklist dei primi vault da aprire. Uscita: disattivare l’account manager lo stesso giorno in cui si revoca email e VPN, ruotare le password dei servizi condivisi a cui aveva accesso. Senza questo passaggio, un ex dipendente mantiene spesso accesso a social aziali o hosting per mesi.

Per cambi ruolo interno, non limitatevi a spostare la persona di reparto: rivedete quali vault poteva vedere e se servono nuove credenziali per dati a cui non deve più accedere. HR e IT devono parlare la stessa lingua: un’email «Mario è uscito venerdì» deve scatenare la stessa checklist automatizzata o manuale, indipendentemente da chi firma il contratto.

SSO, directory e password manager insieme

Se usate Microsoft Entra ID (Azure AD) o Google Workspace, molte app si aprono con SSO e non chiedono password locale. Il manager resta utile per ciò che SSO non copre: pannello hosting, stampanti di rete, vecchio gestionale on-prem, account social, chiavi API. Integrare SSO dove possibile riduce la superficie; il vault diventa il deposito delle eccezioni, non di tutto.

Provisioning SCIM — dove supportato — crea e disattiva utenti nel manager quando entrate o uscite dal directory. Meno lavoro manuale, meno account orfani. Anche senza SCIM, un calendario condiviso tra HR e IT per ingressi/uscite evita buchi di una settimana.

Integrazione con browser e mobile

L’adozione cresce se l’estensione compila login su Chrome/Edge e l’app mobile funziona offline in cantiere. Testate sui siti che usate davvero: gestionale cloud, banca, Agenzia Entrate, portali fornitori. Alcuni siti bancari bloccano incolla password: servono eccezioni documentate o flussi alternativi approvati.

Per team tecnici, integrare il manager con SSH keys o segreti API evita file .env sparsi su laptop. DevOps e sistemisti apprezzano vault separati per produzione e staging, con accesso temporaneo registrato.

Accesso di emergenza e continuità

Definite uno o due «break-glass»: account admin del manager custodito in cassetta sicura o con procedura dual control, usabile solo se il responsabile IT è indisponibile. Testatelo una volta l’anno. Senza piano di emergenza, un incidente che blocca il titolare blocca anche tutte le credenziali dell’azienda.

Per smart working, verificate che l’app mobile rispetti le stesse policy MFA del desktop e che la biometria del telefono non sostituisca la master password su dispositivi condivisi in reparto.

Formazione che convince il team

Una slide da cinque minuti non basta. Mostrate dal vivo: aprire il gestionale con autofill, generare una password nuova per un fornitore, condividere una voce nel vault commerciale senza rivelare la stringa in chat. Raccogliete obiezioni reali («in cantiere non ho segnale») e date risposte pratiche: cache offline, hotspot aziendale, eccezioni temporanee documentate.

Ripetete micro-sessioni dopo tre mesi: chi non usa lo strumento di solito non è pigro, ha trovato un sito che «non funziona» e ha ripreso il vecchio metodo. Fixate le eccezioni invece di multare. Il titolare deve usare il manager davanti a tutti: l’esempio vale più del regolamento.

Errori da evitare

Comprare licenze e non formare nessuno. Lasciare l’admin con un unico vault «generale» con mille password. Condividere la master password del titolare «per emergenza». Non collegare il manager al processo HR. Usare piani consumer invece di business, perdendo audit trail e SSO.

Altri errori frequenti: migrare tutto in un weekend senza inventario e scoprire che metà servizi erano legati a email personali del titolare; non ruotare password condivise dopo un fornitore che ha lasciato il progetto; permettere export non cifrato «per comodità»; ignorare alert del manager su login da Paesi insoliti.

Phishing e manager: cosa spiegare

Il password manager aiuta ma non annulla il phishing: un sito clone può comunque rubare la master se l’utente la digita fuori dall’app ufficiale. Formate a riconoscere domini falsi e a usare solo l’estensione installata da IT. Alcuni manager segnalano siti noti compromessi: attivate l’opzione se disponibile.

Password manager e GDPR

Le credenziali che permettono accesso a dati personali (CRM, gestionale HR, posta) sono parte delle misure di sicurezza art. 32. Documentate nel registro trattamenti che usate un vault business con cifratura e MFA. In caso di data breach su un fornitore SaaS, sapere esattamente quali account erano condivisi accelera rotazione e notifica.

Evitate di salvare nel vault note libere con dati sensibili non necessari (copie carta identità, IBAN completi in chiaro): il manager protegge l’accesso, non trasforma ogni campo in trattamento legittimo senza finalità.

Costi indicativi

Bitwarden Teams parte da pochi euro al mese per utente; 1Password e Dashlane costano di più ma offrono UX più raffinata. Per venti utenti, budget annuo spesso sotto mille–duemila euro, confrontabile con una sola ora di fermo per account compromesso.

Aggiungete il tempo interno per migrazione iniziale — da due a cinque giorni distribuiti se avete decine di servizi sparsi — e un’ora trimestrale di revisione accessi. Confrontate con il costo medio di un incidente phishing su casella amministrativa: recupero mail, legali, clienti avvisati. Il ROI si capisce meglio in termini di rischio che di feature.

Rollout graduale che funziona

Fase uno: IT e amministrazione, vault banca e gestionale. Fase due: commerciali e social. Fase tre: produzione e magazzino con tablet. Non chiedete a tutti insieme di cambiare abitudini il lunedì mattina. Celebrate quick win: «prima cercavamo la password del portale fornitori dieci minuti, ora due click».

Designate un champion per reparto che risponde alle domande prima del ticket IT. Mantenete un canale Teams o Slack dedicato solo per il mese di lancio, poi archiviate le FAQ nel wiki interno.

Checklist di adozione

Prima di considerare concluso il progetto password manager, verificate questi punti con HR e responsabile IT.

• Inventario servizi con login condivisi completato.
• MFA attivo su email e sul password manager.
• Vault condivisi nominati per funzione, non per persona.
• Procedura offboarding scritta e provata.
• Sessione formativa registrata per nuovi assunti.
• Revisione trimestrale degli accessi admin.

Un password manager ben introdotto si paga in settimane con meno reset password, meno ticket al supporto e meno ansia quando un fornitore segnala una fuga dati. È uno degli investimenti cybersecurity con il rapporto costo/beneficio più chiaro per una PMI.

Non punta a zero rischio — punta a togliere le credenziali ripetute e i fogli condivisi, che sono il bersaglio più facile. Combinato con MFA sulla posta e formazione anti-phishing, chiude la maggior parte degli accessi non autorizzati che vediamo nelle PMI prima dell’intervento. Rivedete policy e vault almeno una volta l’anno: ogni nuovo software SaaS aggiunto senza passare dal manager reintroduce il caos.