Cosa prevedono le leggi sulle password?

Le password proteggono account, dati personali e servizi digitali, ma le domande si moltiplicano quando entrano in gioco norme e responsabilità. In questa guida chiariamo cosa chiedono le leggi e gli standard, con un approccio basato sul rischio e un linguaggio pratico. Troverai concetti chiave su credenziali, autenticazione multifattore e gestione di una violazione dei dati.

Il GDPR non fissa lunghezze o regole rigide per le password: richiede misure adeguate al rischio. La MFA aiuta molto, sebbene non sia sempre obbligatoria. Evita conservazione in chiaro, pianifica hashing e salting, previeni breach e documenta policy, controlli e formazione.

Quali obblighi impone il GDPR?

Il Regolamento generale sulla protezione dei dati non detta numeri magici (come tot caratteri o l’uso di simboli), ma pretende misure tecniche e organizzative adeguate rispetto ai rischi per diritti e libertà delle persone. In altre parole, non esiste una password “giusta” per tutti: conta il contesto.

In particolare, l’articolo 32 del GDPR parla di riservatezza, integrità, disponibilità, capacità di ripristino e di test periodici dell’efficacia delle misure. E cita esempi come cifratura o pseudonimizzazione, lasciando ai titolari la scelta proporzionata. Detto semplice: definisci controlli coerenti con minaccia, impatto e costi ragionevoli documentando le decisioni. Questa impostazione è chiara nell’articolo 32 del GDPR e nella sua logica di valutazione del rischio.

Principio di proporzionalità del rischio

Se gestisci dati sensibili o account con ampi poteri, servono misure più robuste: lunghezza maggiore, blocco di password comuni, tentativi limitati, monitoraggio degli accessi e MFA quando opportuno. Se l’impatto è minore, puoi adottare controlli più leggeri ma comunque efficaci e tracciati.

Cos’è l’entropia della password

L’entropia esprime quanta “casualità” c’è in una password: più è lunga e meno prevedibile, più è costosa da indovinare. Spazi, parole-frase e combinazioni imprevedibili spesso offrono una protezione migliore di regole artificiose (maiuscole/numero/simbolo) che l’utente tende ad aggirare.

Quando serve l’autenticazione a più fattori?

L’autenticazione a più fattori (MFA) aggiunge una barriera: oltre a qualcosa che sai (la password), chiedi qualcosa che hai o che sei. Non è sempre imposta dalla legge in via generale, ma è considerata una misura fortemente raccomandata nei contesti a rischio elevato.

Esistono settori in cui la MFA diventa requisito specifico. Nei pagamenti, ad esempio, la autenticazione a più fattori è richiesta come autenticazione forte (SCA) per molte operazioni, in base alla regolamentazione di settore.

In altri ambiti (posta elettronica, accessi amministrativi, dati sensibili) è spesso la scelta più prudente perché riduce drasticamente l’impatto del furto credenziali.

Punti chiave legali

• Il GDPR non fissa una lunghezza minima obbligatoria.
• L’articolo 32 richiede misure adeguate basate sul rischio.
• La multifattore riduce il rischio ma non è sempre imposta per legge.
• Settori regolati possono prevedere obblighi ulteriori.
• Conservare password in chiaro è gravemente non conforme.
• In caso di breach, la notifica può essere obbligatoria.

Come gestire archiviazione e reset?

Le password non si conservano mai in chiaro. I server dovrebbero memorizzarle come hash con salt, usando funzioni lente e robuste; i client non devono esporle in log, HTML o crash report. Evita l’invio per email e preferisci processi di recupero con verifica forte dell’identità e codici temporanei.

Le policy moderne scoraggiano scadenze arbitrarie e troppo frequenti: aumentano l’attrito, spingono verso riuso o pattern prevedibili e non migliorano la sicurezza. Molte linee guida internazionali consigliano di cambiare solo quando c’è evidenza o sospetto di compromissione; è una posizione formalizzata anche nelle linee guida NIST SP 800‑63B. Considera inoltre le raccomandazioni di ENISA su lunghezza, blacklist di password comuni e uso della MFA quando opportuno.

1. Definisci la lunghezza in base al rischio. Una frase-segreto lunga e non ovvia è spesso più resistente di combinazioni brevi. Specifica requisiti diversi per ruoli e ambienti, mantenendo chiarezza per gli utenti.
2. Blocca password compromesse e comuni. Usa controlli contro elenchi noti e pattern banali. Aggiorna regolarmente le liste di “parole vietate” per limitare gli attacchi di indovinamento mirato.
3. Evita scadenze calendariali rigide. Se non c’è indicazione di compromissione, i reset forzati portano scelte deboli. Prediligi monitoraggio, alert e reset mirati dopo eventi o cambi di rischio.
4. Proteggi i tentativi di login. Rate limiting, CAPTCHA adattivo e lockout temporaneo riducono la forza bruta. Conserva evidenze per audit senza eccedere nella raccolta dati personali.
5. Usa funzioni di hashing adeguate. Bcrypt, scrypt o Argon2 con salt unico per utente rendono costosi gli attacchi offline. Documenta cost factor e criteri di aggiornamento nel tempo per restare allineato all’evoluzione.
6. Isola i segreti e limita le esposizioni. Evita log che contengono credenziali, maschera input e proteggi i canali di recupero. Le policy sugli amministratori dovrebbero essere più stringenti di quelle per gli utenti standard.
7. Prevedi processi post‑breach. Se emergono indicatori di compromissione, attiva reset guidato, invalida sessioni, rafforza MFA e valuta la notifica. Esegui una revisione delle cause radice e correggi le lacune.
8. Forma e supporta gli utenti. Modelli mentali semplici aiutano più di regole criptiche. Offri un gestore di credenziali e spiegazioni chiare su come creare passphrase sicure senza sacrificare la produttività.

Ruolo dell’hashing e del salting

Hashing e salting proteggono le credenziali in caso di violazione del database. La sicurezza deriva dalla lentezza controllata dell’algoritmo (work factor) e dall’unicità del salt. Se migri a un algoritmo più robusto, prevedi un percorso di re‑hash al login e informa gli utenti solo quando necessario.

Quali errori comuni evitare?

Alcune prassi sono rischiose o apertamente non conformi. Evitarle riduce gli incidenti e semplifica la dimostrazione di responsabilità. Ecco i casi tipici da tenere d’occhio.

• Conservare credenziali in chiaro o in file condivisi. È un singolo punto di fallimento che espone l’intera organizzazione.
• Imporre regole oscure e incoerenti. Generano frustrazione, ticket e password ripetitive; punta a regole comprensibili e motivate.
• Trascurare ruoli privilegiati. Account di amministratori senza MFA o senza controlli rafforzati sono un rischio elevato.
• Ignorare i segnali di compromissione. Accessi anomali, IP insoliti, errori ripetuti richiedono verifiche rapide e, se serve, azioni correttive.
• Non aggiornare policy e training. Minacce e strumenti evolvono: rivedi periodicamente documenti, controlli e messaggi formativi.

Domande frequenti

Cosa portare con sé

• La legge non fissa lunghezze: conta il rischio.
• MFA riduce drasticamente l’esposizione.
• Niente password in chiaro; usa hashing e salt.
• Evita scadenze obbligatorie: privilegia rilevamento e reset mirati.
• Documenta policy, formazione e controlli.

Questa guida offre un quadro pratico per impostare controlli proporzionati senza cadere in miti o eccessi. Valuta sempre il rischio, il contesto e gli obblighi specifici del tuo settore, e rivedi periodicamente scelte e configurazioni alla luce delle minacce e degli incidenti osservati.

Infine, coinvolgi gli utenti: messaggi chiari e strumenti semplici valgono più di regole opache. Una comunicazione efficace, unita a monitoraggio continuo e revisioni strutturate, riduce i rischi e rende più solida la tua conformità.