Furto di credenziali, phishing e password dimenticate restano tra le principali minacce informatiche per le aziende. Per rafforzare la sicurezza dei servizi digitali (cloud, posta e gestionali), le imprese possono oggi adottare l’autenticazione Passwordless basata su Passkey e standard FIDO2.

A differenza delle tradizionali password, le Passkey impiegano la crittografia a chiave pubblica: l’utente accede tramite riconoscimento biometrico (impronta o volto), PIN del dispositivo o chiavi hardware protette. I dati biometrici restano sul dispositivo e la chiave privata non viene mai condivisa in rete, rendendo il sistema intrinsecamente resistente ai tentativi di phishing su siti contraffatti.

Qual è la differenza tra Passkey, password e autenticazione MFA?

• Password tradizionale: Credenziale segreta da memorizzare e digitare; è vulnerabile a phishing, fughe di dati e rischi legati al riutilizzo su più piattaforme.
• MFA (Autenticazione a più fattori): Richiede almeno due fattori di verifica distinti (es. password + app o token di sicurezza); aumenta la protezione, ma l'effettiva resistenza al phishing varia a seconda del secondo fattore impiegato.
• Passkey: Autenticazione basata su crittografia a chiave pubblica attivabile con un gesto locale (biometria o PIN); elimina la password, è nativamente resistente al phishing e può soddisfare i requisiti MFA in un unico passaggio, pur dipendendo dalla sicurezza del dispositivo e dalle procedure di ripristino dell'account.

Di seguito le 5 strategie per introdurre le Passkey:

1. Verificare la compatibilità di browser, sistemi operativi e piattaforme aziendali con FIDO2/WebAuthn.
2. Prioritizzare gli accessi critici, partendo da amministratori IT, dati finanziari e database clienti.
3. Definire policy chiare per l'uso dei dispositivi abilitati e la tipologia di Passkey (sincronizzate o su singolo hardware).
4. Strutturare procedure di emergenza sicure per il recupero degli account in caso di smarrimento o cambio dispositivo.
5. Formare il personale, integrando la tecnologia in una strategia di cybersecurity aziendale complessiva.

L’articolo completo è disponibile qui.