Se dovessi scegliere una sola misura di sicurezza da attivare oggi nella tua azienda, la risposta è quasi sempre la stessa: l'autenticazione a più fattori, nota come MFA (Multi-Factor Authentication). Non perché sia la soluzione a tutto, ma perché il rapporto tra costo e protezione reale non ha rivali.

Cos'è l'MFA, in parole semplici

Con la sola password, chi conosce (o ruba) la tua credenziale entra nel sistema. Punto. L'MFA aggiunge un secondo passaggio: oltre alla password, serve un codice temporaneo generato da un'app sul telefono, un token fisico, oppure un dato biometrico.

Il principio è semplice: anche se la password viene compromessa, l'attaccante si blocca al secondo fattore. Senza il telefono del titolare o del dipendente, non va da nessuna parte.

I tre fattori possibili sono:

  • Qualcosa che sai — la password
  • Qualcosa che hai — il telefono con l'app authenticator, o un token fisico
  • Qualcosa che sei — impronta digitale, riconoscimento facciale

Nella pratica quotidiana di una PMI, il secondo fattore è quasi sempre un codice a sei cifre generato da un'app gratuita (Google Authenticator, Microsoft Authenticator). Dieci secondi di lavoro in più al login, niente di più.

Perché è la misura con il ROI più alto

La maggior parte degli attacchi informatici alle aziende parte da credenziali rubate o deboli. Non da exploit sofisticati, non da attacchi "di Stato": semplicemente da qualcuno che ha ottenuto una password — tramite phishing, una banca dati di credenziali trapelate, o un attacco a forza bruta su password troppo semplici.

L'MFA interrompe questo meccanismo a monte. Secondo Microsoft, che gestisce centinaia di milioni di account aziendali, l'autenticazione multi-fattore previene il 99,9% delle compromissioni di account. La stessa Microsoft registra circa 300 milioni di tentativi di accesso fraudolento ogni giorno: la quasi totalità viene neutralizzata dal secondo fattore.

Una password rubata senza il secondo fattore non serve a nulla. È come avere la chiave di una serratura, ma la serratura è stata cambiata.

Dal lato dei costi, il confronto è netto:

  • App authenticator: gratuita
  • MFA inclusa in Microsoft 365: zero costi aggiuntivi, basta attivarla
  • Soluzioni per VPN o app legacy (es. WatchGuard AuthPoint): circa 3,50 €/utente al mese
  • Token hardware FIDO2 (es. YubiKey): tra 25 e 50 € per unità, acquisto una tantum

Per un'azienda da 20 persone, l'MFA può costare zero. O al massimo qualche decina di euro al mese per scenari più complessi. Il costo di una violazione che parte da credenziali rubate è, in media, nell'ordine dei milioni di dollari a livello globale — un dato che rende il confronto quasi imbarazzante.

Il problema reale: il 61% delle PMI italiane non l'ha ancora attivata

Nonostante i costi bassissimi e l'efficacia documentata, l'MFA è ancora ignorata da oltre la metà delle piccole e medie imprese italiane. Alcune stime parlano del 61% delle PMI italiane che non ha ancora attivato alcuna forma di autenticazione a più fattori.

Le ragioni che sentiamo più spesso:

  • "I nostri dipendenti si lamenteranno"
  • "Non siamo un bersaglio abbastanza grande"
  • "Abbiamo già un buon antivirus"

Nessuna di queste obiezioni regge. Gli attacchi automatizzati non scelgono le vittime per dimensione: colpiscono chiunque abbia credenziali esposte. L'antivirus non c'entra nulla quando qualcuno accede con una password valida. E il disagio di un codice in più al login è trascurabile rispetto al costo di un account compromesso.

Il punto critico, spesso sottovalutato, è la posta elettronica aziendale. Un account email violato permette di resettare le password di tutti gli altri servizi, accedere a documenti riservati, impersonare il titolare verso clienti e fornitori. È spesso il punto di ingresso da cui parte tutto il resto.

Dal 2026 è anche un obbligo: NIS2 e D.Lgs. 138/2024

La Direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024, impone una serie di misure di sicurezza obbligatorie per le aziende che rientrano nel perimetro. L'MFA è esplicitamente tra queste.

Chi è coinvolto? In sintesi:

  • Aziende con 50 o più dipendenti oppure 10 milioni di euro o più di fatturato
  • Operative in uno dei 18 settori critici definiti dalla direttiva (energia, trasporti, sanità, acque, infrastrutture digitali, manifattura avanzata, e altri)
  • Ma anche fornitori nella supply chain di aziende soggette: se lavori come subfornitore di un'azienda obbligata, puoi essere coinvolto indirettamente

Le scadenze operative sono già in corso: la notifica degli incidenti è obbligatoria da gennaio 2026, mentre le misure di sicurezza di base — tra cui l'MFA — devono essere operative entro ottobre 2026. Le sanzioni previste arrivano fino a 10 milioni di euro.

Se la tua azienda rientra nel perimetro NIS2, attivare l'MFA non è più una scelta di buon senso: è un requisito legale con scadenza precisa.

Come si attiva, concretamente

Non serve un progetto lungo mesi. Per la maggior parte delle PMI, i passi sono tre:

  1. Censire gli account critici: email aziendale, gestionale, accesso al cloud, VPN, portale bancario. Si parte da questi.
  2. Scegliere il metodo: per quasi tutte le PMI, un'app authenticator sul telefono è sufficiente. Per accessi molto sensibili (amministratori di sistema, accesso da remoto a server), si può valutare un token hardware.
  3. Abilitare l'MFA sulle piattaforme: Microsoft 365, Google Workspace, e la maggior parte dei software SaaS hanno l'MFA integrata. Basta attivarla dal pannello di amministrazione.

Un consulente IT può configurare l'MFA per un'azienda da 20 persone in mezza giornata. Includendo la formazione minima per i dipendenti — "come usare l'app authenticator" — si parla di una giornata al massimo.

Una nota pratica: meglio non affidarsi solo agli SMS come secondo fattore. I messaggi di testo sono più vulnerabili di un'app authenticator (esistono attacchi che reindirizzano gli SMS). Le app sono gratuite e più sicure: usate quelle.

L'MFA non risolve tutto. Non protegge da vulnerabilità software, da dispositivi non aggiornati, da errori di configurazione. Ma toglie dal tavolo la categoria di attacco più comune — il furto di credenziali — con una misura che costa quasi zero. È da lì che si comincia.