L'autenticazione multi-fattore (MFA) è esplicitamente citata nell'Art. 21 §2i del D.Lgs. 138/2024 come misura minima obbligatoria. Non è più una best practice opzionale: è un requisito di legge. Ma quale soluzione MFA scegliere?
Perché l'MFA è così importante
Le statistiche parlano chiaro: l'MFA previene il 99,9% degli attacchi di compromissione degli account (credential stuffing, password spray, phishing di credenziali). La stragrande maggioranza degli incidenti informatici inizia da credenziali compromesse — l'MFA interrompe questa catena di attacco.
I metodi MFA a confronto
FIDO2 / WebAuthn / Passkey ⭐ Consigliato
È il metodo più sicuro disponibile oggi. Usa una chiave crittografica legata al dispositivo fisico (token USB come YubiKey, oppure il chip del telefono). È completamente resistente al phishing perché la chiave non lascia mai il dispositivo. Costo: 25-50€ per token fisico, gratuito per passkey su smartphone.
App Authenticator (TOTP) ✅ Raccomandata per la maggior parte dei casi
App come Google Authenticator, Microsoft Authenticator o Authy generano un codice a 6 cifre che cambia ogni 30 secondi. È sicuro, gratuito e funziona offline. Unico limite: vulnerabile ad attacchi di phishing in tempo reale (adversary-in-the-middle). Per la maggior parte delle PMI è la scelta ottimale per il rapporto sicurezza/costo/usabilità.
Push Notification ✅ Comoda ma con rischi
L'utente riceve una notifica push sul telefono e approva l'accesso con un tap. Comodo, ma vulnerabile al MFA fatigue (l'attaccante inonda di richieste l'utente fino a quando per stanchezza approva). Microsoft e altri provider stanno aggiungendo protezioni anti-fatigue.
OTP via SMS ⚠️ Non consigliata per sistemi critici
I codici via SMS sono vulnerabili al SIM swapping (l'attaccante convince l'operatore a trasferire il numero su una SIM diversa). È accettabile come fattore aggiuntivo per sistemi a basso rischio, ma non dovrebbe essere l'unica protezione per account critici come admin, email, VPN.
Priorità di implementazione
- Email aziendale (Microsoft 365 / Google Workspace)
- VPN e accessi remoti
- Account amministratori e privilegiati
- Portali cloud (AWS, Azure, GCP)
- Pannello di gestione hosting
- ERP e sistemi gestionali
Come convincere il management
Il costo dell'MFA è minimo (da 0 a 5€/utente/mese per soluzioni enterprise). Il costo medio di un incidente da credenziali compromesse è di 150.000-500.000 euro. Il ROI è immediato e la NIS2 ora lo rende anche un obbligo legale.
