Autenticazione a due fattori in azienda: la guida 2026 per PMI senza reparto IT
Lettura 8 min · AstraLoop Studio
Un dipendente riceve un'email che sembra della banca, o del fornitore di sempre, e mette la password dove non doveva. Oppure quella password, uguale a tre altre che usa da anni, salta fuori in una fuga di dati di un servizio che non c'entra nulla con la tua azienda. A quel punto chi ha in mano la password ha in mano l'accesso: alla posta, al gestionale, al pannello di amministrazione del sito. Non serve un attacco sofisticato, basta una password riciclata e un momento di distrazione.
L'autenticazione a due fattori (spesso abbreviata 2FA) nasce esattamente per questo scenario, il più comune di tutti: non blocca il genio del male con strumenti da film, blocca chi prova ad entrare con una password rubata o indovinata. Ed è una misura proporzionata: costa poco, si imposta in mezz'ora e non richiede un tecnico interno.
Come funziona davvero: qualcosa che sai più qualcosa che hai
Il principio è semplice, anche se il nome suona tecnico. Per entrare in un account servono due elementi di natura diversa: qualcosa che sai (la password) e qualcosa che hai (il telefono, una chiave fisica, un'app). Se qualcuno ruba la password ma non ha anche l'oggetto fisico, non entra. È la stessa logica del bancomat: il PIN da solo non basta, serve anche la carta.
In pratica, dopo aver inserito la password, il sistema chiede un secondo codice: generato da un'app, inviato via SMS, oppure confermato con la pressione di una chiave USB o con l'impronta digitale. Quel secondo passaggio dura pochi secondi ma cambia completamente lo scenario di rischio: una password rubata da sola non serve più a niente.
App di autenticazione o SMS: la differenza conta
Qui vale la pena essere precisi, perché non tutte le forme di secondo fattore offrono la stessa protezione.
Il codice via SMS è il più conosciuto e il più facile da attivare, ma è anche il più debole: esistono tecniche per dirottare un numero di telefono su un'altra SIM (il cosiddetto SIM swap), e in più dipende dalla copertura di rete nel momento in cui serve, cosa non scontata in un magazzino o in un cantiere.
Le app di autenticazione (quelle che generano un codice a rotazione ogni trenta secondi, installate sul telefono) sono più solide perché non passano dalla rete telefonica e sono più difficili da intercettare da remoto. Per chi vuole il livello più alto, esistono le chiavi fisiche: piccoli dispositivi USB o NFC che si collegano al computer o si avvicinano al telefono, pensate per chi gestisce accessi particolarmente sensibili, come i conti bancari aziendali o i pannelli di amministrazione con potere di cancellazione dati.
Per una PMI la scelta pratica, nella maggior parte dei casi, è: app di autenticazione come standard, SMS solo come rete di riserva quando non c'è alternativa, chiave fisica riservata a chi ha accesso a fatturazione, banca online o infrastrutture critiche.
Il problema degli account condivisi in azienda
Qui arriva il punto che quasi nessuno considera finché non gli crea un problema: gli account condivisi. L'indirizzo info@ a cui accedono tre persone. La login del gestionale che tutto il reparto amministrativo conosce a memoria. L'account social gestito "a turno" senza un vero criterio.
Un account condiviso e l'autenticazione a due fattori vanno d'accordo male, per un motivo semplice: il secondo fattore è legato a un dispositivo fisico, e un dispositivo fisico appartiene a una persona. Se tre persone devono entrare nello stesso account, o si condivide anche il telefono con i codici (pessima idea, elimina il vantaggio della protezione), oppure si aggirano le regole con soluzioni di fortuna che finiscono per essere più insicure del punto di partenza.
La soluzione vera non è tecnica, è organizzativa: ogni persona ha un proprio account nominale, con i propri permessi calibrati su cosa deve davvero fare, e l'account condiviso rimane solo per le cose che non richiedono un'identità precisa (una casella email generica che smista, non che autorizza pagamenti). È un tema che ricorre spesso in chi gestisce un'intranet aziendale o un sistema con più utenze interne: prima o poi la domanda "chi ha fatto cosa" deve avere una risposta, e con un account condiviso non ce l'ha.
Cosa succede quando un dipendente perde il telefono
È la domanda che blocca più titolari di qualsiasi altra: "e se il dipendente perde il telefono, o lo cambia, o si licenzia portandosi via l'app installata?". È un rischio reale, ma gestibile, a patto di prevederlo prima e non scoprirlo mentre è già successo.
Le buone pratiche minime sono tre. Primo: al momento dell'attivazione, salvare i codici di backup che quasi tutti i servizi generano (una lista di codici monouso, da conservare in un posto sicuro, non nella stessa email che si vuole proteggere). Secondo: prevedere una procedura di recupero chiara, con un secondo canale di verifica dell'identità della persona, non un semplice "mandami un messaggio e ti sblocco tutto". Terzo: quando qualcuno lascia l'azienda, revocare l'accesso lo stesso giorno, non "quando ci si ricorda". Un ex dipendente con ancora accesso a un account aziendale è un rischio silenzioso che resta lì finché qualcuno non se ne accorge.
Chi gestisce le presenze o i turni sa già quanto spesso i dispositivi cambiano mano: lo stesso rigore va applicato agli accessi digitali.
Da dove iniziare: email e accessi amministrativi prima di tutto
Non serve attivare la 2FA ovunque il primo giorno. Ha senso partire da dove il danno potenziale è più alto.
- La posta elettronica aziendale viene prima di tutto, perché è il punto da cui si possono resettare quasi tutte le altre password: chi controlla l'email di un titolare o di un amministratore, con un clic su "password dimenticata" può entrare quasi ovunque.
- Gli accessi amministrativi del gestionale, del sito, dell'hosting e del pannello di fatturazione elettronica vengono subito dopo: sono gli account con potere di modificare, cancellare, esportare dati sensibili o clienti.
- Solo dopo aver messo in sicurezza questi due fronti ha senso estendere la protezione agli account operativi di tutti i giorni.
Questo criterio, partire da dove il rischio è concentrato, è lo stesso che si usa per qualsiasi investimento in sicurezza: non si protegge tutto allo stesso livello, si protegge di più ciò che, se compromesso, fa più danno.
Se il tuo gestionale attuale ti costringe a condividere account tra colleghi perché non gestisce permessi individuali, il problema non è la password: è lo strumento. AstraLoop progetta gestionali su misura pensati anche per questo.
Le esigenze cambiano con il tipo di azienda
Qui il discorso smette di essere generico, perché "un'azienda" non esiste: esistono aziende molto diverse, con volumi e strutture diverse.
Un negozio con tre commesse che usano a turno la stessa cassa e lo stesso account del gestionale vendite ha un problema di identificazione (chi ha fatto lo storno alle 18:40?), più che di sicurezza pura: qui serve un accesso nominale leggero, non una procedura pesante.
Un'azienda di produzione, con un ERP condiviso tra ufficio tecnico, magazzino e amministrazione, ha invece un problema di permessi differenziati: non tutti devono poter modificare le distinte base o i prezzi di listino, e il secondo fattore va abbinato a una gerarchia di autorizzazioni ben definita, non solo attivato "per tutti allo stesso modo".
Uno studio professionale (commercialista, agenzia immobiliare, studio tecnico) che tratta dati sensibili di clienti terzi ha priorità diverse ancora: qui il rischio non è solo interno, è la responsabilità verso il cliente i cui dati sono custoditi. Vale lo stesso per chi gestisce un portale clienti con documenti riservati: un accesso compromesso non è solo un problema aziendale, diventa un problema di fiducia verso chi si è affidato a te.
Un'attività con alti volumi di transazioni digitali, penso a un ecommerce o a chi gestisce più account pubblicitari e piattaforme di pagamento, ha bisogno di 2FA su ogni piattaforma esterna collegata, perché lì il rischio non è solo "qualcuno legge le email", è "qualcuno sposta denaro o modifica un catalogo prodotti in autonomia".
In tutti questi casi il denominatore comune resta lo stesso: proteggere per primi gli accessi che, se persi, fanno più male. Cambia solo dove si trova quel punto critico.
Modulo di un prodotto pronto o soluzione costruita sul tuo processo?
Per l'autenticazione in sé, quasi sempre uno standard basta e avanza: le app di autenticazione più diffuse funzionano bene, costano poco o nulla e coprono la stragrande maggioranza dei casi. Non ha senso costruire qualcosa su misura solo per il login.
Il discorso cambia quando la 2FA deve integrarsi con un processo che il prodotto pronto non prevede: permessi differenziati per reparto che il gestionale standard non gestisce bene, un flusso di autorizzazione a più livelli per certe operazioni (uno sblocco che richiede il consenso di due persone, non di una), o un sistema di audit che deve tracciare esattamente chi ha fatto cosa e quando, con un dettaglio che i verticali di settore non offrono di serie. In quel momento la domanda utile non è più "quale app di autenticazione scegliere", ma "il mio gestionale attuale mi lascia gestire gli accessi come serve davvero al mio processo, o li sto piegando per farceli stare?". È la stessa domanda che affrontiamo spesso quando aiutiamo un cliente a capire se conviene restare su una soluzione standard oppure passare a qualcosa costruito su misura.
Se ti riconosci in quest'ultimo caso, in AstraLoop progettiamo gestionali su misura che integrano permessi, tracciabilità degli accessi e sicurezza direttamente nel processo dell'azienda, non come un livello aggiunto sopra un prodotto pensato per un altro settore. E se il tema più ampio è mettere ordine nella documentazione e negli accessi condivisi, vale la pena dare un'occhiata anche a come si struttura un sistema documentale coerente con gli stessi criteri di sicurezza.
La sicurezza informatica, per una PMI senza un tecnico interno, non è un progetto enorme da rimandare. È una lista corta di cose fatte bene, nell'ordine giusto: prima l'email, poi gli accessi amministrativi, poi tutto il resto, con un piano chiaro per il giorno in cui qualcuno perde il telefono o lascia l'azienda.
Domande frequenti
L'autenticazione a due fattori serve anche a una piccola azienda con pochi accessi digitali?
Sì, anzi è spesso più semplice attivarla in una piccola realtà: bastano email aziendale e pannello di amministrazione del gestionale o del sito. Con pochi account da proteggere, mezz'ora di lavoro copre già i punti a maggior rischio.
Meglio SMS o app di autenticazione per proteggere gli accessi aziendali?
L'app di autenticazione è più solida perché non dipende dalla rete telefonica ed è più difficile da intercettare a distanza. L'SMS resta comodo come metodo di riserva, ma non dovrebbe essere l'unica opzione per gli accessi più delicati, come banca online o fatturazione.
Come si gestisce un account condiviso da più dipendenti con la due fattori attiva?
La soluzione stabile è dare a ogni persona un accesso nominale con permessi propri, non condividere lo stesso account e lo stesso telefono con i codici. Un account davvero condiviso va limitato a operazioni che non richiedono di sapere con certezza chi le ha compiute.
Cosa fare se un dipendente perde il telefono con l'app di autenticazione installata?
Servono due cose preparate in anticipo: i codici di backup generati al momento dell'attivazione, conservati in un posto sicuro diverso dall'account da proteggere, e una procedura di recupero che verifichi l'identità della persona prima di sbloccare l'accesso.
Conviene un gestionale standard con 2FA integrata o vale la pena personalizzare qualcosa?
Per l'autenticazione in sé lo standard basta quasi sempre. Ha senso valutare una soluzione su misura quando servono permessi differenziati per reparto, autorizzazioni a più livelli o una tracciabilità degli accessi che il prodotto pronto non gestisce nativamente.
Vuoi un gestionale che gestisca accessi, permessi e tracciabilità secondo il tuo processo reale, non secondo lo schema di un prodotto standard? Parliamone: in AstraLoop progettiamo software su misura per PMI, a partire da come lavori davvero tu.