Laurence CadieuxNel lontano 2005, il ricercatore di sicurezza Mark Burnett scrisse un libro intitolato Perfect Passwords, in cui consigliava alle persone di scegliere un giorno all’anno per esaminare e cambiare le proprie password. A Intel piacque l’idea di avere una giornata speciale dedicata alla sensibilizzazione generale e all’igiene delle password (e non solo alla loro rotazione), e il 2 maggio 2013 il colosso tecnologico lanciò la prima Giornata mondiale della password. Da allora, viene celebrata il primo giovedì di maggio.
In occasione della nona edizione annuale della Giornata mondiale della password nel 2022, ci chiediamo: le organizzazioni e i loro utenti finali stanno migliorando nella gestione delle password, oppure stanno peggiorando? Si scopre che la risposta è entrambe le cose! Iniziamo con le tendenze e le pratiche positive.
L’autenticazione a due fattori e i gestori di password sono in aumento
Secondo il sondaggio Bitwarden 2022 Password Decisions Survey, l’88% dei responsabili delle decisioni IT a livello mondiale utilizza l’autenticazione a due fattori (2FA). Certo, la 2FA non è infallibile. Tuttavia, è una componente essenziale di una buona gestione delle password. Il sondaggio ha anche rilevato che l’86% utilizza gestori di password, con un aumento del 9% rispetto all’anno precedente.
Tuttavia, sebbene la crescente diffusione dei gestori di password sia una buona notizia, questo dato statistico non è necessariamente applicabile a tutti i tipi di organizzazioni. Il sondaggio Devolutions State of Cybersecurity in SMBs in 2021-2022 ha rilevato che il 71% delle PMI utilizzava un gestore di password, in calo del 10% rispetto all’anno precedente.
Cosa potrebbe spiegare questo calo? La ragione più probabile è che, nonostante le numerose prove contrarie, alcune PMI continuano a nutrire l’errata convinzione di non essere vulnerabili quanto le grandi organizzazioni e le aziende. In sostanza, queste PMI pensano: “non siamo ancora stati vittime di attacchi informatici, quindi i metodi che utilizziamo per archiviare e condividere le password devono essere sicuri”. Questa percezione è palesemente sbagliata, ma come recita un vecchio detto: le abitudini sono dure a morire (sia quelle buone CHE quelle cattive!).
Gestori di password: cloud o on-premise?
Tra un momento, esamineremo altre preoccupanti tendenze nella gestione delle password emerse dal sondaggio. Ma prima, approfondiamo l’argomento dei gestori di password ed esaminiamo un aspetto critico — e per alcuni complesso e confuso — ovvero cloud rispetto a on-premise.
In sostanza, questa decisione dovrebbe basarsi sulle esigenze specifiche di gestione delle password di un’organizzazione, che variano in base a molteplici fattori quali (ma non solo):
- Posizione e ruoli degli utenti
- Requisiti di disponibilità
- Dimensioni e complessità dell’ambiente IT
- Valore dei dati da proteggere
- Requisiti di conformità e sicurezza
In alcuni casi, è più saggio implementare soluzioni ibride che combinano elementi sia del cloud che dell’on-premise. Inoltre, una singola soluzione potrebbe essere implementata più volte per applicare policy come la separazione dei compiti (SoD).
Indipendentemente dalla soluzione di gestione delle password scelta da un’organizzazione — on-premise, cloud, gratuita o a pagamento — è fondamentale definire chiaramente tutte le esigenze (attuali e future) prima di scegliere la tecnologia.
Archiviare, selezionare e condividere le password rimane un problema
Abbiamo accennato poc’anzi al fatto che alcune tendenze nella gestione delle password sono problematiche anziché positive. Ecco i dettagli poco rassicuranti: secondo il già citato sondaggio Bitwarden, il 53% degli intervistati ha dichiarato di archiviare le password in fogli di calcolo e altri documenti, il 42% si affida alla memoria e il 29% usa carta e penna.
E la situazione peggiora ulteriormente: il 53% dei responsabili delle decisioni IT condivide le password via e-mail, con un aumento del 14% rispetto all’anno scorso. Senza dubbio, la rapida espansione del lavoro da remoto è alla base di questa tendenza. Inoltre, nonostante i numerosi attacchi informatici di alto profilo e le crescenti vulnerabilità causate dal lavoro da remoto, il 92% degli intervistati ha ammesso di riutilizzare le stesse password su più account, il 41% le condivide tramite chat e il 31% le condivide a voce.
Eliminare le password è la soluzione?
In teoria, le vulnerabilità associate alle password potrebbero essere risolte eliminandole. Purtroppo, in pratica, questa — almeno per ora — non è una soluzione praticabile per la maggior parte delle organizzazioni (e praticamente per tutte le PMI) che non possono implementare, in modo pratico o economicamente sostenibile, un’infrastruttura completamente priva di password. Inoltre, nonostante i loro intrinsechi svantaggi, le password sono estremamente versatili e possono essere utilizzate su qualsiasi dispositivo, in qualsiasi momento e da qualsiasi luogo.
Poiché eliminare le password è impraticabile, la soluzione migliore è colmare il divario adottando un approccio ibrido. Tale approccio ibrido utilizza un account collegato a un Identity Provider (IdP) per autenticarsi a una soluzione di Privileged Access Management (PAM). Di conseguenza, gli utenti finali necessitano di un’unica password solo per connettersi ad account relativi a risorse autonome non federate (ad esempio stampanti, apparecchiature di rete, macchinari specializzati, ecc.), mentre la soluzione PAM facilita la connessione a tutti gli altri account. Le soluzioni PAM più avanzate consentono inoltre alle organizzazioni di aggiungere un maggiore controllo attraverso funzionalità come l’iniezione sicura delle credenziali, i requisiti per le richieste di accesso e l’utilizzo basato sul tempo.
Uno sguardo al futuro
Ben l’81% delle violazioni legate ad attacchi informatici coinvolge password rubate o deboli, e il costo medio di una singola violazione dei dati è salito vertiginosamente a 4,24 milioni di dollari USA per incidente — la cifra più alta mai registrata.
Gestire, archiviare e condividere correttamente le password (il che include il monitoraggio del loro utilizzo) è qualcosa che tutte le organizzazioni DEVONO fare per rafforzare le proprie difese e ridurre al minimo la propria esposizione. In occasione di questa Giornata mondiale della password, incoraggiamo vivamente tutte le organizzazioni a fare di questo una priorità assoluta. I rischi e la posta in gioco sono più alti che mai, e le buone pratiche di gestione delle password non sono solo importanti. Sono fondamentali.