Per una PMI in Ticino, scegliere come proteggere gli accessi significa anche organizzare il lavoro quotidiano: chi entra nella posta, chi approva un pagamento e come si recupera un account quando un telefono si rompe. La soluzione deve funzionare per le persone e per i dispositivi realmente utilizzati.
Passkey, MFA e Microsoft Authenticator indicano concetti diversi. Comprenderli aiuta a scegliere una protezione adeguata senza introdurre un accesso fragile o un recupero improvvisato. Prima di cambiare metodo, conviene individuare account critici, responsabili e vincoli degli strumenti aziendali.
Che differenza c'è tra MFA, passkey e Authenticator?
La MFA, o autenticazione a più fattori, richiede elementi di categorie differenti: qualcosa che conosci, possiedi o sei. Password e un secondo fattore possono comporre una verifica MFA; due password non diventano due fattori indipendenti. I metodi ammessi dipendono dal servizio e dalle regole configurate. La documentazione Microsoft sulla MFA ne spiega il funzionamento.
Una passkey usa una coppia di chiavi crittografiche. Il servizio conserva la chiave pubblica; la credenziale privata viene gestita dall'autenticatore. Lo sblocco può richiedere un PIN o una verifica biometrica. Nel contesto appropriato, possesso dell'autenticatore e verifica dell'utente possono soddisfare una MFA resistente al phishing.
Microsoft Authenticator è un'app che può offrire metodi diversi, comprese notifiche, codici e passkey negli scenari supportati. Il nome dell'app, da solo, non descrive la protezione dell'accesso effettivamente eseguito.
| Termine | Cosa indica | Domanda utile in azienda |
|---|---|---|
| MFA | Una verifica con fattori di categorie diverse | Quali fattori stiamo richiedendo? |
| Passkey | Una credenziale basata su chiavi crittografiche | Quali servizi e dispositivi la supportano? |
| Authenticator | Un'app utilizzabile per più metodi | Quale metodo è configurato e usato? |
Perché la resistenza al phishing conta
Un codice digitato in una pagina contraffatta può essere intercettato e riutilizzato durante un attacco. Con FIDO2/WebAuthn, l'autenticazione è legata al servizio corretto: questo riduce l'esposizione a quella forma di furto delle credenziali. Microsoft descrive il meccanismo nella guida alle passkey FIDO2.
Resta necessario proteggere dispositivi, sessioni e procedure interne. Una passkey non rende innocuo un computer compromesso e non impedisce a un dipendente di autorizzare un pagamento ingannevole. Per gli account sensibili serve una valutazione completa, comprendente le verifiche commerciali fuori dalla posta elettronica.
In Microsoft Entra, le intensità di autenticazione permettono di richiedere combinazioni di metodi adeguate anche tramite Accesso condizionale. Disponibilità e licenze vanno verificate: queste funzioni non sono incluse indistintamente in ogni piano Microsoft 365.
Microsoft 365: controllare il proprio ambiente prima del cambiamento
La prima verifica riguarda il tenant, cioè l'ambiente aziendale Microsoft, e i criteri già attivi. Vanno controllati metodi consentiti, gruppi coinvolti, telefoni, browser e modalità di registrazione. La guida Microsoft alle passkey in Authenticator indica requisiti e configurazioni supportate.
Anche un accesso che usa il telefono per confermare l'operazione su un altro dispositivo può avere requisiti specifici di connettività e Bluetooth. Il test deve riprodurre la postazione reale: portatile gestito, telefono autorizzato e applicazioni utilizzate dal collaboratore. La presenza dell'app sul telefono non basta a dimostrare che tutto il percorso funzioni.
Per chi sta riorganizzando l'ambiente, è utile inserire questi controlli nel piano di migrazione a Microsoft 365 per una PMI, insieme a identità, posta e responsabilità operative.
Scegliere il metodo per ruolo e postazione
Immaginiamo una piccola impresa con personale amministrativo, tecnici in movimento e una postazione condivisa in magazzino. È un esempio di pianificazione: le esigenze vanno verificate nell'azienda concreta.
Per l'amministrazione conta provare l'accesso alle applicazioni sensibili e la continuità durante le assenze. Per i tecnici bisogna considerare telefoni autorizzati, lavoro fuori sede e sostituzione del dispositivo. Sulla postazione condivisa occorre mantenere identità individuali e una separazione delle sessioni; un unico account utilizzato da tutti rende difficile attribuire le operazioni.
La guida Microsoft alla distribuzione dell'autenticazione resistente al phishing propone di partire dagli scenari d'uso e procedere per gruppi. Una chiave hardware può essere una delle opzioni da valutare quando appropriata. La scelta fra credenziali legate al dispositivo e sincronizzate richiede inoltre una politica esplicita di gestione e recupero. Evitare che la continuità aziendale dipenda da un account personale di cui l'impresa non controlla il recupero.
Telefono perso o sostituito: preparare il recupero
La procedura deve indicare chi riceve la segnalazione, come verifica l'identità e chi può intervenire. Una richiesta urgente in chat non basta a identificare il collaboratore. Prima del rollout è utile simulare una sostituzione del telefono con una persona del gruppo pilota.
Microsoft Entra dispone del Temporary Access Pass, un accesso temporaneo che può assistere registrazione e recupero negli scenari autorizzati. Richiede criteri e ruoli appropriati; durata e utilizzo vanno gestiti dall'amministratore dopo la verifica dell'identità. Non è un codice universale da distribuire preventivamente a tutti.
Se il dispositivo è perso o sospetto, occorre valutare anche credenziali registrate e sessioni attive. La procedura Microsoft per revocare l'accesso distingue le azioni possibili e i loro limiti. Gli effetti sulle sessioni dipendono anche dalle applicazioni: evitare di promettere una disconnessione immediata da qualsiasi servizio.
Proteggere l'accesso di emergenza
Il recupero di un dipendente e l'accesso di emergenza amministrativo richiedono procedure distinte. Microsoft raccomanda almeno due account di emergenza cloud, predisposti per evitare dipendenze che possano bloccare gli amministratori ordinari.
La guida agli account di accesso di emergenza tratta autenticazione forte, custodia, controllo degli utilizzi e verifiche periodiche. Questa configurazione richiede competenza: non equivale a lasciare un account senza protezione.
La PMI deve sapere chi custodisce i mezzi di accesso, quando è consentito usarli e come viene registrato l'intervento. Un account mai provato, o dipendente dal telefono dell'unico amministratore assente, può fallire proprio nel momento in cui serve.
Passare dal test all'uso quotidiano
Un primo gruppo rappresentativo permette di osservare registrazione, accesso e recupero prima di estendere il cambiamento. Coinvolgere persone con ruoli e dispositivi differenti aiuta a far emergere ostacoli pratici: istruzioni poco chiare, applicazioni incompatibili o una postazione dimenticata nell'inventario.
I criteri più restrittivi vanno provati con le modalità di valutazione disponibili prima dell'applicazione estesa. La pianificazione Microsoft di una distribuzione MFA comprende anche scelta dei metodi e criteri. Devono essere definiti un referente, una finestra per l'assistenza e le condizioni per fermare il rollout se compaiono problemi.
Misurare la sola registrazione può dare un'immagine incompleta. Occorre distinguere metodi registrati, metodi utilizzati ed errori di accesso. Le informazioni Microsoft sull'utilizzo dei metodi di autenticazione descrivono report e requisiti, comprese le licenze necessarie. La frequenza delle verifiche va concordata in base a dimensioni e criticità dell'ambiente.
Un test concreto prima di coinvolgere tutta l'azienda
Per una PMI proponiamo una scheda di prova semplice, compilata insieme al referente. Per ogni ruolo si annotano applicazione, dispositivo, operazione da svolgere, esito e problema incontrato. Non vanno inseriti password, codici temporanei o informazioni che consentano di accedere all'account.
Nel nostro esempio, la persona dell'amministrazione prova posta e applicazione contabile, il tecnico ripete l'accesso dalla propria postazione mobile e l'addetto al magazzino verifica il cambio di sessione sulla macchina condivisa. Poi si simula un dispositivo indisponibile, attraverso la procedura concordata e con il supporto del responsabile. Ogni prova deve avere un esito osservato, anziché una semplice conferma che la registrazione sia terminata.
Un ostacolo concreto, come l'impossibilità di completare un'attività essenziale, richiede una correzione prima dell'estensione a quel gruppo. Se il problema è nelle istruzioni, si riscrivono e si riprovano con una persona che non ha partecipato alla preparazione. Se riguarda un'applicazione, si individua una soluzione supportata prima di imporre il nuovo accesso. La scheda finale resta al referente come promemoria operativo; non costituisce una certificazione di sicurezza dell'intero ambiente.
Checklist prima di estendere il nuovo metodo
- Sono identificati account critici, persone responsabili e postazioni condivise?
- I dispositivi e le applicazioni reali hanno superato la prova di accesso?
- È chiaro quale metodo viene utilizzato, oltre al nome dell'app installata?
- La sostituzione di un telefono è stata simulata con verifica dell'identità?
- Gli account di emergenza sono custoditi, controllati e verificati?
- Esiste un referente per i problemi e un criterio per interrompere l'estensione?
- I report disponibili consentono di controllare utilizzo effettivo e fallimenti?
Se una risposta manca, assegnare un responsabile e completare quella verifica prima di coinvolgere altre persone. Un'introduzione ordinata rende più semplice anche l'assistenza successiva.
Domande frequenti
Una passkey elimina sempre la password?
Può consentire l'accesso senza digitarla nei servizi e negli scenari supportati. Non dimostra che ogni applicazione aziendale sia compatibile né che tutte le altre modalità di accesso siano state disabilitate. Occorre verificare il percorso completo e i criteri del servizio.
Avere Microsoft Authenticator significa usare una passkey?
No. L'app può gestire metodi differenti. Bisogna controllare quello registrato e quello richiesto durante l'accesso, insieme alle impostazioni dell'organizzazione.
Tutti i collaboratori devono usare il telefono personale?
La scelta va definita dall'azienda considerando dispositivi gestiti, policy e metodi supportati. Un telefono personale non deve diventare una dipendenza organizzativa introdotta senza accordi e una procedura di recupero.
Si può iniziare dagli amministratori?
Gli account privilegiati meritano attenzione prioritaria, con un progetto che comprenda test e accesso di emergenza. L'ordine di introduzione va deciso dopo aver verificato dipendenze e possibilità di recupero, evitando di bloccare contemporaneamente tutti i responsabili.
Valutare gli accessi della propria PMI
ED Solution Tech Sagl può affiancarti nella valutazione di account, dispositivi e procedure. Contattaci per l'assistenza IT in Ticino e descrivi come vengono gestiti oggi gli accessi: sarà il punto di partenza per individuare priorità e interventi pertinenti.
Fonti
Documentazione primaria Microsoft consultata il 26 ottobre 2026:
- Funzionamento della MFA.
- Passkey FIDO2 e autenticazione.
- Passkey in Microsoft Authenticator.
- Intensità di autenticazione.
- Pianificare l'autenticazione resistente al phishing.
- Pianificare una distribuzione MFA.
- Temporary Access Pass.
- Revoca degli accessi.
- Account di emergenza.
- Analisi dell'utilizzo dei metodi.
