Guida
Account di amministrazione, password e autenticazione a due fattori
Gli account di amministrazione sono le chiavi della Sua informatica: un aggressore che ne ottiene uno può fare qualsiasi cosa. Account separati, autenticazione a due fattori, password robuste: ecco le regole dell’ANSSI e della CNIL, ridotte a ciò che una PMI deve fare.
Aggiornato il 18 ottobre 2026 · Le cifre hanno la loro fonte in fondo alla pagina; le valutazioni sono quelle di IT CyberWall.
Perché questi account sono il bersaglio
Un aggressore che ottiene la password di un account di amministrazione può fare qualsiasi cosa: installare un ransomware su tutte le postazioni, cancellare dati, creare account per tornare in seguito. Proteggere questi account è la misura che riduce di più i danni possibili. L’ANSSI vi dedica diverse misure della sua guida di igiene informatica: inventario degli account privilegiati, distinzione dei ruoli utente e amministratore, autenticazione forte[1].
Account di amministrazione separati
- Un account di amministrazione distinto dall’account di tutti i giorni, con una password diversa[2].
- Mai posta elettronica né navigazione con un account di amministrazione[2][1].
- Account nominativi: si sa chi ha fatto cosa[2][1].
- Il privilegio minimo: ognuno ha solo i diritti di cui ha bisogno, e gli utenti non sono amministratori della propria postazione[2][1].
- Un inventario aggiornato degli account privilegiati, compresi quelli dei fornitori[1].
L’autenticazione a due fattori
L’ANSSI raccomanda di privilegiare l’autenticazione a più fattori[3] e di richiedere almeno due fattori per l’amministrazione[2]. In pratica, cominci da:
- gli account di amministrazione (Microsoft 365, Google Workspace, server, firewall, hosting provider, nome di dominio);
- gli accessi remoti (VPN, desktop remoto);
- la posta elettronica di tutti gli utenti.
Un’app di autenticazione o una chiave di sicurezza è meglio di un codice ricevuto via SMS, più facile da intercettare.
Password che reggono
| Caso | Raccomandazione della CNIL[4] |
|---|---|
| Solo password | 12 caratteri con maiuscole, minuscole, cifre e caratteri speciali, oppure 14 caratteri senza caratteri speciali obbligatori, oppure una passphrase di 7 parole |
| Account protetto da un blocco dopo diversi tentativi falliti | 8 caratteri di 3 tipi diversi, oppure 5 parole |
- Nessun rinnovo forzato per tutti: la CNIL e l’ANSSI non lo impongono più per gli account ordinari, ma lo mantengono per gli account privilegiati[4][3].
- Un cambio immediato in caso di dubbio su una compromissione[3].
- Un gestore di password fornito dall’azienda[3].
- Le password predefinite di router, stampanti, telecamere e server vengono cambiate fin dall’installazione[3][1].
La Sua checklist
- Chi è amministratore di cosa? L’elenco esiste ed è aggiornato.
- Nessun amministratore legge le proprie e-mail con il proprio account di amministrazione.
- L’autenticazione a due fattori è attiva su tutti gli account di amministrazione e sugli accessi remoti.
- Gli account degli ex dipendenti e degli ex fornitori sono disattivati.
- L’account « proprietario » del Suo Microsoft 365 o Google Workspace e del Suo nome di dominio è intestato all’azienda.
Cosa fa IT CyberWall
Facciamo l’inventario degli account privilegiati, separiamo gli account di amministrazione, attiviamo l’autenticazione a due fattori e introduciamo un gestore di password. I nostri accessi ai Suoi sistemi sono nominativi, e Lei ne conserva l’elenco.
Non sa più chi è amministratore di cosa?
Facciamo l’inventario dei Suoi account e attiviamo l’autenticazione a due fattori.
Fonti
Fonti consultate il 18 ottobre 2026. Le tariffe dei fornitori sono indicate IVA esclusa, nella valuta e nella regione del listino pubblicato, e possono cambiare: verifichi sempre la pagina ufficiale prima di decidere.
- ANSSI – Guide d’hygiène informatique, v2.0 (misure 5, da 8 a 13, da 27 a 29) — messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI – Recommendations to Secure Administration of IT Systems, v2.0 (24 aprile 2018) — cyber.gouv.fr/sites/default/files/2018/10/guide_anssi_secure_admin_is_pa_022_en_v2.pdf
- ANSSI – Recommandations relatives à l’authentification multifacteur et aux mots de passe, v2.0 (8 ottobre 2021) — messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
- CNIL – Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe — www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf