Autenticazione a due fattori in azienda: guida pratica alla MFA

L'autenticazione a due fattori in azienda (2FA/MFA) aggiunge alla password una seconda verifica - notifica su app, codice temporaneo o chiave fisica - prima di concedere l'accesso a e-mail, gestionali e VPN. Blocca la stragrande maggioranza degli attacchi basati su credenziali rubate, si attiva in pochi giorni e su Microsoft 365 è inclusa senza costi di licenza aggiuntivi.

In questa guida vediamo come funziona, quali metodi scegliere, come introdurla senza bloccare il lavoro delle persone e quanto costa davvero a una PMI. È il frutto di quello che facciamo ogni settimana sui clienti: TN Solutions è un System Integrator certificato ISO 9001 e ISO 27001, e la MFA è quasi sempre il primo intervento che proponiamo in un progetto di sicurezza informatica aziendale.

Cos'è l'autenticazione a due fattori (e che differenza c'è con la MFA)

L'autenticazione a due fattori richiede due prove di identità di natura diversa, scelte tra tre categorie:

• Qualcosa che sai: la password o un PIN.
• Qualcosa che hai: lo smartphone con un'app authenticator, un token hardware, una smart card.
• Qualcosa che sei: impronta digitale o riconoscimento del volto.

2FA indica esattamente due fattori; MFA (Multi-Factor Authentication) è il termine più generale, "due o più fattori". Nella pratica aziendale i due termini si usano come sinonimi. Attenzione invece a un equivoco frequente: password + domanda di sicurezza non è 2FA, perché entrambe sono "qualcosa che sai". Il secondo fattore deve appartenere a una categoria diversa.

Perché la sola password non basta più

Le password aziendali finiscono nelle mani sbagliate in tre modi: phishing (l'utente la digita su un sito clone), data breach di servizi esterni dove è stata riutilizzata, e malware infostealer che la copia dal browser. In tutti e tre i casi l'attaccante ottiene una credenziale valida e per i sistemi è indistinguibile dal dipendente legittimo. Il secondo fattore rompe questo schema: la password rubata, da sola, non apre più nulla.

▶Password o autenticazione a due fattori? Ecco la verità

Vuoi approfondire? Guarda altri video sul nostro canale YouTube →

Perché attivarla adesso: numeri, assicurazioni e NIS2

Tre motivi rendono l'autenticazione a due fattori in azienda una priorità, non un "nice to have":

1. Efficacia sproporzionata rispetto al costo. Microsoft stima che la MFA blocchi oltre il 99% degli attacchi automatizzati di compromissione account. Nessun'altra misura di sicurezza offre un rapporto beneficio/sforzo paragonabile.
2. Assicurazioni e clienti la pretendono. Le polizze cyber ormai chiedono la MFA come prerequisito per la copertura (o per non vedersi rifiutare il risarcimento). Sempre più capofiliera la richiedono ai fornitori nei questionari di qualifica.
3. La normativa la dà per scontata. La direttiva NIS2 cita espressamente le soluzioni di autenticazione a più fattori tra le misure di gestione del rischio: se la tua azienda rientra nel perimetro, o lavora per chi ci rientra, la MFA è un punto di partenza obbligato. Ne abbiamo parlato in dettaglio nell'articolo su cosa cambia con la NIS2 per le PMI.

C'è poi il motivo più concreto di tutti: gran parte degli incidenti ransomware che vediamo parte da un accesso VPN o e-mail protetto solo da password. Se vuoi capire l'intera catena d'attacco, trovi la nostra guida su come proteggere l'azienda dal ransomware.

I metodi MFA a confronto: quale scegliere per la tua azienda

Non tutti i secondi fattori si equivalgono. Ecco i principali, dal più debole al più robusto.

Codice via SMS o e-mail

Il codice usa e getta ricevuto via SMS è meglio di niente, ma è il metodo più vulnerabile: SIM swap, intercettazione e phishing in tempo reale lo aggirano. Va bene come ripiego per utenti senza smartphone aziendale, non come standard.

App authenticator con codice TOTP

App come Microsoft Authenticator o Google Authenticator generano un codice a 6 cifre che cambia ogni 30 secondi, anche offline. Buon compromesso tra sicurezza e semplicità, ed è gratuito. Resta però vulnerabile al phishing evoluto: un sito clone può chiedere all'utente anche il codice e riutilizzarlo entro la sua finestra di validità.

Notifiche push con number matching

L'app mostra una notifica "Stai accedendo tu?" e chiede di digitare il numero visualizzato nella schermata di login. Il number matching è importante: neutralizza gli attacchi di MFA fatigue, in cui il criminale bombarda l'utente di richieste sperando in un "Approva" distratto. È il metodo che consigliamo come standard per la maggior parte delle PMI su Microsoft 365.

FIDO2, passkey e token hardware

Chiavi fisiche (YubiKey e simili) e passkey basate su standard FIDO2 sono l'unico metodo resistente al phishing by design: la verifica crittografica è legata al dominio reale, quindi un sito clone non ottiene nulla. Sono la scelta giusta per amministratori IT, direzione, ufficio amministrazione e chiunque autorizzi pagamenti.

Regola pratica: push con number matching per tutti, FIDO2/passkey per gli account privilegiati, SMS solo come eccezione documentata.

Come implementare la MFA in azienda in 6 passi

L'errore classico è "attiviamo tutto lunedì mattina". Il progetto giusto dura una-due settimane e segue questo percorso:

1. Censisci gli accessi critici. E-mail e Microsoft 365, VPN e accessi remoti, gestionale/ERP, home banking, pannelli cloud e di amministrazione IT. La VPN merita attenzione particolare: un accesso remoto senza MFA è la porta d'ingresso preferita degli attaccanti.
2. Scegli metodi e piattaforma. Se usi Microsoft 365, Entra ID copre la MFA senza licenze aggiuntive; con i piani Business Premium aggiungi l'accesso condizionale. Trovi il quadro completo nella nostra guida a Microsoft 365 per aziende.
3. Definisci le policy per gruppi. Prima gli amministratori IT (subito, senza eccezioni), poi direzione e amministrazione, poi tutti gli altri a ondate. Con l'accesso condizionale puoi ridurre le richieste su dispositivi aziendali gestiti e in sede, e alzarle per accessi da fuori.
4. Comunica e forma. Un messaggio chiaro alle persone - perché lo facciamo, cosa cambia, chi chiamare in caso di problemi - dimezza i ticket. Cinque minuti di formazione sul number matching e sul non approvare mai richieste inattese valgono più di qualsiasi tecnologia.
5. Prepara il recupero. Definisci prima cosa succede se un dipendente perde il telefono: codici di backup custoditi, secondo metodo registrato, procedura di verifica dell'identità in help desk. È il punto dove i progetti fai-da-te si incagliano.
6. Chiudi le porte secondarie. Disattiva i protocolli legacy (IMAP/POP/SMTP basic auth) che bypassano la MFA, e monitora i log di accesso. Una MFA attiva con la legacy authentication aperta è una porta blindata con la finestra spalancata.

Gli errori che vediamo più spesso

• MFA solo sulla webmail. VPN, gestionale e pannelli amministrativi restano scoperti: l'attaccante entra da lì.
• Eccezioni "temporanee" per la direzione. Sono proprio gli account più appetibili; le eccezioni diventano permanenti e nessuno le ricorda.
• Nessuna procedura di recupero. Il primo telefono smarrito genera il panico e la tentazione di disattivare tutto.
• Approvazione push senza number matching. Lascia aperta la strada alla MFA fatigue.
• Considerarla un punto d'arrivo. La MFA riduce drasticamente il rischio di furto account, ma non sostituisce protezione degli endpoint e backup: è un livello di una difesa a strati, accanto a strumenti come l'EDR.

Quanto costa l'autenticazione a due fattori per una PMI

Per molte PMI il costo delle licenze è vicino a zero: la MFA è inclusa in Microsoft 365 e Google Workspace, e le app authenticator sono gratuite. Le voci reali sono:

• Progetto e configurazione: censimento, policy, accesso condizionale, chiusura dei protocolli legacy. Per una PMI da 10-50 utenti parliamo tipicamente di poche giornate di lavoro.
• Token hardware (solo se servono): indicativamente 25-60 € a chiave FIDO2, di norma per una minoranza di utenti privilegiati.
• Gestione continuativa: onboarding dei nuovi assunti, reset, monitoraggio dei log. Spesso rientra nel canone di assistenza esistente.

Messo a confronto con il costo medio di un account e-mail compromesso - frodi sui bonifici, fermo operativo, notifiche privacy - il ritorno dell'investimento è tra i più rapidi dell'intera sicurezza IT.

Attiva la MFA con chi lo fa da 25 anni

TN Solutions progetta e gestisce l'autenticazione a due fattori per le aziende da oltre 25 anni di attività come System Integrator: censimento degli accessi, policy di accesso condizionale su Microsoft 365, token FIDO2 per gli account privilegiati e assistenza continuativa, con processi certificati ISO 9001 e ISO 27001 (Google: 4,7/5 su 37 recensioni).

Se vuoi capire da dove partire, il primo confronto è senza impegno: contattaci online o chiama lo 02 9517550. La nostra sede è a Melzo (MI), ma seguiamo clienti in tutta Italia da remoto e on-site.