Gestore password aziendale: quale scegliere per la tua PMI

Un gestore di password aziendale è uno strumento che permette a titolare e dipendenti di conservare, condividere e gestire le credenziali di accesso ai sistemi dell’azienda in modo sicuro, senza tenerle su post-it, file Excel o messaggi WhatsApp. Per una PMI la scelta giusta dipende soprattutto da una cosa: quante persone devono usarlo insieme, e chi controlla gli accessi nel tempo.

Sono Simone Menegatti di AllsafeIT. Da 25 anni mi occupo di assistenza e sicurezza informatica per PMI e studi professionali della zona di Vicenza, e la domanda “che gestore di password mi consigli?” è una delle più frequenti che mi fanno gli imprenditori. La risposta però cambia parecchio se la fai per te stesso o per un’azienda con dieci dipendenti.

Perché una PMI non può più fare a meno di un gestore password

Nella maggior parte delle aziende che visito, le password girano ancora in modo informale: un file Excel condiviso, un foglio vicino al computer, un messaggio WhatsApp inviato al nuovo collaboratore il primo giorno di lavoro. Funziona, finché non succede uno di questi casi:

• un dipendente lascia l’azienda e nessuno cambia le password a cui aveva accesso
• il file con le credenziali finisce nella cartella sbagliata, o su un computer che si guasta
• una password finisce in un data breach e nessuno se ne accorge in tempo (ne ho parlato nella guida sul controllo delle password compromesse)

Un gestore password aziendale non elimina questi rischi da solo, ma toglie l’anello più debole della catena: la password scritta da qualche parte in chiaro, leggibile da chiunque la trovi.

Uso personale vs uso aziendale: la differenza che conta davvero

Per un uso personale, un gestore password serve soprattutto a ricordare tante credenziali diverse in modo sicuro. Per un’azienda, il problema è un altro: più persone devono accedere agli stessi strumenti (gestionale, email, portale bancario, social aziendali), e il titolare deve poter sapere sempre chi ha accesso a cosa, e togliere quell’accesso in un attimo quando serve.

Questa è la domanda che faccio sempre quando parlo di password con un imprenditore: “Se domani un collaboratore lascia l’azienda, quanto tempo ci vuole per essere sicuri che non possa più entrare da nessuna parte?” Se la risposta è “non lo so” o “diverse ore”, è un segnale che vale la pena guardarci.

Il gestore password che uso io: KeePass

Personalmente uso KeePass, e lo consiglio spesso anche ai clienti che vogliono partire con qualcosa di semplice e affidabile.

Cos’ha di buono:

• il database delle password è cifrato con algoritmi robusti (AES-256, ChaCha20), tra i più affidabili disponibili oggi
• è open source: il codice è pubblico e controllato costantemente dalla comunità, quindi è difficile che nasconda vulnerabilità
• il database resta locale, sul tuo computer o su un supporto a tua scelta — non sei obbligato ad appoggiarti a un servizio cloud di terzi, quindi mantieni il pieno controllo dei dati
• si può proteggere con una master password e, in più, con un file chiave, che rende l’archivio ancora più difficile da aprire per chi non dovrebbe
• se organizzato bene, con la funzione di ricerca trovi in pochi secondi anche una password salvata mesi prima
• il database si può portare anche su smartphone

È uno strumento solido, e per un professionista o un piccolo team ben organizzato può bastare tranquillamente.

Quando KeePass va bene e quando serve qualcosa di più strutturato

Qui però va fatta una distinzione onesta, perché è il punto che vedo sottovalutato più spesso.

KeePass gestisce benissimo un archivio personale o quello di un singolo referente IT. Diventa più delicato quando il database va condiviso tra più dipendenti: bisogna organizzare bene dove salvarlo, chi ha il file chiave, cosa fare quando qualcuno cambia ruolo o lascia l’azienda. Se questa parte non è gestita con attenzione, si rischia di ricreare lo stesso problema di partenza — solo dentro uno strumento più sicuro.

Per aziende con più persone che devono condividere credenziali in modo strutturato, esistono anche soluzioni pensate apposta per i team, con gestione centralizzata degli accessi e possibilità di revocarli in un clic. La scelta tra “KeePass ben organizzato” e “uno strumento con gestione centralizzata” dipende da quante persone lo usano e da quanto tempo si può dedicare a tenerlo in ordine.

Ed è qui che torna il concetto che ripeto spesso: gli strumenti da soli non bastano. Un gestore password aiuta molto, ma se nessuno controlla davvero chi ha accesso a cosa, e nessuno aggiorna la situazione quando cambia qualcosa in azienda, anche lo strumento più sicuro perde gran parte del suo valore.

Checklist: cosa guardare prima di scegliere un gestore password per la tua azienda

Prima di scegliere, ti consiglio di verificare questi punti:

• Cifratura: lo strumento usa algoritmi riconosciuti e affidabili (es. AES-256)?
• Condivisione controllata: se più persone devono usarlo, è chiaro chi vede cosa?
• Revoca rapida: quanto è veloce togliere l’accesso a chi lascia l’azienda o cambia ruolo?
• Backup: se il database si perde o si danneggia, esiste una copia recuperabile?
• Facilità d’uso: lo strumento è comprensibile anche per chi non è tecnico, o rischia di essere abbandonato dopo due settimane?

Perché non basta scegliere lo strumento giusto

Scegliere un buon gestore password è un passo importante, ma è solo un pezzo del quadro. Il punto non è solo avere lo strumento giusto, è sapere se qualcuno lo controlla davvero nel tempo: chi ha accesso, se le credenziali più critiche sono cambiate di recente, cosa succede quando qualcuno lascia l’azienda.

È lo stesso principio su cui si basa il Metodo Blindato: non ti lasciamo solo con uno strumento installato, ti aiutiamo a capire se la tua azienda ha davvero il controllo sulla gestione degli accessi, oltre che sugli altri aspetti della sicurezza informatica.

Vuoi capire se la gestione delle password e degli accessi nella tua azienda è davvero sotto controllo? Richiedi un audit iniziale gratuito con AllsafeIT.

FAQ