Per proteggere gli account aziendali critici, una PMI deve attivare l’autenticazione a più fattori insieme allo SSO: è la singola misura con il miglior rapporto tra impatto e sforzo richiesto. Lo SSO semplifica gli accessi, ma da solo lascia esposto un varco enorme a chiunque rubi o indovini una password. Aggiungere MFA riduce drasticamente le compromissioni automatizzate e apre la strada a una roadmap operativa concreta, allineata anche agli obblighi NIS2 ed eIDAS che vedremo più avanti.
In breve:
- Attivare MFA su tutti gli account critici consente di bloccare oltre il 99% delle compromissioni automatizzate, riducendo drasticamente i rischi di attacchi.
- L’uso combinato di SSO e MFA richiede che l’identità venga verificata una sola volta e con una seconda prova più sicura, preferibilmente chiavi FIDO2 o app autenticatore.
- È essenziale eliminare protocolli legacy come Basic Auth, IMAP e POP3, e rimuovere eccezioni permanenti all’MFA su account con privilegi elevati.
- La conformità a obblighi normativi come NIS2 ed eIDAS rende l’autenticazione forte un requisito obbligatorio per le PMI, con scadenze stringenti di adozione.
- La corretta implementazione richiede un approccio organizzativo e periodiche verifiche: eliminare scorciatoie, limitare accessi privilégiati e monitorare log per prevenire compromissioni.
Indice
- Perché lo SSO da solo non basta. Limiti e rischi pratici
- Come funzionano insieme SSO e MFA: meccanismi e opzioni tecniche
- Passi pratici per implementare SSO+MFA in una PMI
- NIS2, eIDAS e gli obblighi di conformità per l’autenticazione forte
- Errori comuni, rischi residui e best practice operative
- La prospettiva di Ingenia sull’autenticazione forte per le PMI
- Cosa conta davvero in questa roadmap
- Come Ingenia può accompagnare l’implementazione di SSO e MFA
- Fonti
- Domande frequenti
Perché lo SSO da solo non basta. Limiti e rischi pratici
Lo SSO centralizza l’accesso a più applicazioni con un’unica identità digitale, ma questa centralizzazione ha un rovescio della medaglia: se quella credenziale cade in mani sbagliate, l’attaccante ottiene le chiavi di tutto, non di un solo sistema. Il report DBIR di Verizon mostra che il credential stuffing, ovvero il riutilizzo di credenziali rubate altrove, rappresenta una quota rilevante del traffico di autenticazione: la mediana giornaliera si attesta intorno al 19% per i clienti analizzati, mentre per le piccole imprese scende a circa il 12%. Il dato conferma che il riuso delle password non è un rischio teorico, ma un vettore già in azione contro le aziende di dimensioni ridotte.
Molti attacchi bypassano completamente le protezioni moderne sfruttando IMAP, POP3 o Basic Auth, canali che spesso non supportano l’MFA e restano attivi per compatibilità con vecchi client di posta o applicazioni datate. Chi gestisce l’IT di una PMI dovrebbe considerare questi tre punti come priorità di verifica:
- Verificare quali applicazioni accettano ancora autenticazione tramite protocolli legacy.
- Controllare se esistono account con eccezioni permanenti all’MFA per “comodità operativa”.
- Mappare quali servizi critici (email, gestionali, VPN) restano protetti dalla sola password.
L’MFA blocca oltre il 99% delle compromissioni automatizzate degli account. Questo singolo numero spiega perché la maggior parte delle guide operative per le PMI colloca l’attivazione dell’MFA al primo posto in ogni piano di sicurezza.
Come funzionano insieme SSO e MFA: meccanismi e opzioni tecniche
Il flusso tecnico è più semplice di quanto sembri. Un identity provider (IdP) autentica l’utente una sola volta e genera un’asserzione, tipicamente in formato SAML o OIDC, che i service provider (le applicazioni collegate) accettano come prova di identità valida. L’MFA si inserisce proprio in quel primo passaggio: prima che l’IdP rilasci l’asserzione, richiede una seconda prova oltre alla password.
Non tutti i fattori offrono la stessa protezione. Ecco come valutarli in ordine di preferenza pratica:
- Chiavi FIDO2 o passkey: resistenti al phishing perché legate crittograficamente al dominio, sono l’opzione più solida per account privilegiati.
- App authenticator con notifica push o codice temporaneo: pratiche e diffuse, offrono una protezione solida per la maggior parte degli utenti aziendali.
- SMS come secondo fattore: da evitare quando possibile, perché vulnerabile a SIM swap e intercettazione, va sostituito appena l’organizzazione ha le risorse per farlo.
Attorno a questo nucleo si costruisce il controllo degli accessi condizionale: policy che valutano il rischio della sessione (dispositivo non riconosciuto, geolocalizzazione anomala, rete non aziendale) e decidono se richiedere un fattore aggiuntivo, bloccare l’accesso o consentirlo senza frizioni. Il ruolo di RBAC (controllo degli accessi basato sui ruoli) e di Privileged Identity Management (PIM) è complementare: limitano quali identità possono assumere permessi elevati e per quanto tempo, così che anche un account compromesso trovi meno margine di manovra.
Passi pratici per implementare SSO+MFA in una PMI
Trasformare questi concetti in un progetto eseguibile richiede un ordine preciso. Ecco la sequenza che riduce il rischio più velocemente:
- Inventario di applicazioni e identità: elencare ogni applicazione cloud e on premise, chi vi accede e con quale livello di privilegio.
- Attivazione universale dell’MFA: nessuna eccezione permanente, priorità assoluta su account amministrativi ed email.
- Migrazione da SMS a fattori più solidi: app authenticator o chiavi FIDO2 per chi gestisce dati sensibili o privilegi elevati.
- Blocco dei protocolli legacy: disattivare Basic Auth, IMAP e POP3 dove non strettamente necessari, sostituendoli con protocolli moderni che supportano l’MFA.
- Applicazione di Conditional Access sui servizi critici: policy basate sul rischio per gestionali, VPN e accesso amministrativo.
- Logging, alerting e test di recovery: verificare periodicamente che gli account possano essere recuperati e che gli accessi anomali generino un avviso reale.
- Definizione di procedure break-glass e PIM: account di emergenza limitati e gestiti con token fisici, più concessione temporanea dei privilegi amministrativi.
Un consiglio: pianifica il test di recovery del secondo fattore prima di un’emergenza reale, non durante: un dipendente che perde il telefono un venerdì sera non deve bloccare l’intera azienda fino a lunedì.
Ogni passaggio produce un risultato misurabile: percentuale di account con MFA attivo, numero di protocolli legacy ancora aperti, tempo medio di risposta a un alert. Chi guida il progetto dovrebbe rivedere questi numeri ogni trimestre, non solo al lancio iniziale.
NIS2, eIDAS e gli obblighi di conformità per l’autenticazione forte
L’autenticazione forte non è più solo una buona pratica tecnica: per molte PMI è diventata un requisito normativo. La guida ACN alle specifiche di base definisce allegati tecnici con misure di sicurezza minime e scadenze precise per i soggetti inseriti nell’elenco NIS, tipicamente 18 mesi dall’inserimento per adottare le misure richieste. Per chi rientra nel perimetro NIS2, questo significa che SSO e MFA smettono di essere opzionali e diventano parte della documentazione di conformità da presentare.
Parallelamente, l’evoluzione verso l’EUDI Wallet e eIDAS 2.0 porta l’identità digitale aziendale verso attributi verificabili, non più legati solo alla persona fisica ma all’organizzazione stessa. Le PMI che pianificano oggi la propria infrastruttura di identità dovrebbero considerare questa direzione, così da evitare una nuova migrazione tra pochi anni.
Alcuni suggerimenti pratici per collegare l’autenticazione forte alla compliance:
- Documentare ogni policy di accesso condizionale come parte della valutazione d’impatto (DPIA) richiesta dal GDPR.
- Conservare i log di autenticazione per un periodo coerente con le richieste NIS2, non solo per esigenze interne.
- Verificare se SPID aziendale, introdotto da InfoCert per collegare identità personale e aziendale, rientra nella strategia di identità dell’organizzazione.
Per un approfondimento sugli obblighi specifici, la nostra guida sull’adeguamento NIS2 per le PMI tratta scadenze e misure richieste in modo più esteso.
Errori comuni, rischi residui e best practice operative
Molte implementazioni di MFA falliscono non per la tecnologia scelta, ma per come viene configurata. Gli errori più frequenti si ripetono con una regolarità sorprendente:
- Concedere eccezioni permanenti all’MFA per dirigenti o fornitori esterni “perché complicano il lavoro”.
- Lasciare SMS come unico secondo fattore su account con privilegi amministrativi.
- Accumulare decine di account con ruolo di Global Admin, spesso dimenticati dopo un progetto concluso.
- Non collegare i log di SSO e MFA a un sistema di monitoraggio attivo.
Le correzioni non richiedono un budget enorme. Ridurre il numero di Global Admin a poche unità strettamente necessarie, e sostituire l’accesso permanente con il Privileged Identity Management, è una delle leve più efficaci per limitare i danni di una compromissione, secondo le indicazioni pratiche su sicurezza cloud per le PMI. Sul fronte del monitoraggio, integrare i log di autenticazione con un sistema di rilevamento che segnali picchi anomali, accessi da paesi inconsueti o tentativi ripetuti falliti permette di intercettare un attacco prima che diventi una violazione conclamata.
Un consiglio: imposta un alert automatico per ogni nuovo account con privilegi amministrativi: è il controllo più economico contro la proliferazione silenziosa di accessi privilegiati.
La prospettiva di Ingenia sull’autenticazione forte per le PMI
Le soluzioni per PMI spesso integrano SSO e MFA come componenti nativi della sicurezza, supportando infrastrutture di identità pensate per registrare accessi, applicare policy condizionali e mantenere tracciabilità coerente con gli obblighi di conformità.
La nostra posizione nasce dall’osservazione diretta di come le PMI italiane gestiscono oggi i propri accessi: spesso con soluzioni frammentate, prive di logging centralizzato e con eccezioni MFA accumulate nel tempo. Costruiamo i nostri strumenti partendo da questa realtà operativa, integrando cybersecurity certificata secondo ISO, NIS2 e GDPR direttamente nei workflow quotidiani, non come strato separato da gestire a parte.
Cosa conta davvero in questa roadmap
La tentazione più comune, quando si parla di sicurezza degli accessi, è trattare SSO e MFA come un progetto tecnico da chiudere e dimenticare. Non funziona così. La parte tecnica, scegliere un IdP, configurare le assertion, attivare le app authenticator, è la più facile. La parte difficile è organizzativa: eliminare le eccezioni che i dirigenti chiedono per comodità, insistere sul blocco dei protocolli legacy anche quando rompe un vecchio flusso di lavoro, e rivedere ogni trimestre chi ha ancora privilegi che non usa più.
Molte guide si concentrano sulla scelta del fattore giusto, FIDO2 contro app authenticator contro SMS. È una scelta importante, ma non è quella che decide l’esito. Le aziende che subiscono compromissioni nonostante l’MFA sono quasi sempre quelle che hanno lasciato aperta un’eccezione, un protocollo legacy dimenticato o un account amministrativo mai disattivato. Il consiglio più utile che possiamo dare è questo: prima di scegliere la tecnologia, elimina le scorciatoie che qualcuno ha già creato nel tuo ambiente.
— Ufficio
Come Ingenia può accompagnare l’implementazione di SSO e MFA
Molte PMI arrivano a capire che serve agire, ma non hanno il tempo o le competenze interne per gestire l’intero progetto. Servizi di affiancamento ai responsabili IT possono coprire dall’audit iniziale degli accessi fino all’attivazione operativa delle policy, integrando la sicurezza direttamente nei sistemi gestionali già in uso in azienda.
Servizi specifici possono includere audit degli accessi esistenti, integrazione dell’identity provider con gestionali e applicazioni aziendali, definizione di policy di accesso condizionale, supporto nella configurazione del Privileged Identity Management e consulenza continuativa per mantenere la conformità a GDPR, ISO e NIS2.
Chi vuole approfondire la parte normativa può partire dalla nostra pagina dedicata alla cybersecurity e sicurezza informatica per le aziende, dove sono descritti gli interventi di audit e adeguamento disponibili. Per avviare una valutazione degli accessi della tua azienda, richiedi un audit tramite la nostra pagina soluzioni.
Fonti
- Credential stuffing attacks — 2025 DBIR research
- Guida all’interpretazione delle specifiche di base (ACN)
- Microsoft 365 e sicurezza cloud: cosa dovrebbero verificare le PMI
- Digital identity aziendale: standard e protocolli per le transazioni certificate B2B
Domande frequenti
Che cos’è la modalità SSO?
Lo SSO, o single sign-on, è un sistema che permette di autenticarsi una sola volta per accedere a più applicazioni collegate, senza reinserire le credenziali ad ogni servizio. Semplifica la gestione degli accessi ma, da solo, non protegge dagli attacchi che sfruttano password rubate o riutilizzate.
Cos’è il sistema MFA?
L’MFA, autenticazione a più fattori, richiede almeno due prove di identità diverse prima di concedere l’accesso, per esempio una password e un codice generato da un’app. Secondo le indicazioni pratiche di Microsoft, blocca oltre il 99% delle compromissioni automatizzate degli account.
Qual è il significato di SSO?
SSO è l’acronimo di single sign-on, un metodo di autenticazione che consente di accedere a più sistemi con un’unica identità digitale verificata una sola volta. È pensato per ridurre l’attrito nell’accesso quotidiano, non per sostituire le protezioni contro il furto di credenziali.
Quali sono i 3 fattori di autenticazione?
I tre fattori classici sono qualcosa che si conosce, come una password, qualcosa che si possiede, come un telefono o una chiave FIDO2, e qualcosa che si è, come un’impronta digitale o il riconoscimento facciale. Combinare almeno due di questi fattori è alla base di ogni implementazione MFA efficace.
