In questo articolo Indice dei contenuti 3 sezioni
Qualche computer Windows, un paio di smartphone, un router WiFi e alcuni servizi cloud. Spesso l’intera infrastruttura digitale di un professionista o di una microimpresa si riduce a questo, ed è proprio a queste realtà che il NIST ha dedicato una nuova guida sulla sicurezza informatica. Il motivo è semplice. Basta la compromissione di un solo account per sottrarre informazioni riservate, bloccare l’attività o prendere il controllo di servizi essenziali.
Il documento, identificato come NIST CSWP 50 e pubblicato il 2 novembre 2026, contiene raccomandazioni che vanno dalla gestione delle password ai backup, dalla difesa contro il ransomware al monitoraggio degli accessi. Alcune indicazioni si possono applicare subito. Altre invece hanno bisogno di qualche precisazione tecnica, perché altrimenti rischiano di generare un falso senso di sicurezza.
Chi è il NIST e perché conviene partire dall’inventario
Il National Institute of Standards and Technology è un’agenzia federale statunitense che opera all’interno del Dipartimento del Commercio. Fondata nel 1901, si occupa di ricerca, standard e riferimenti tecnici in diversi settori. Sul fronte della cybersecurity produce documentazione usata da Pubblica Amministrazione, imprese, produttori software ed esperti del settore, con pubblicazioni su crittografia, autenticazione, vulnerabilità e risposta agli incidenti.
Uno dei suoi riferimenti principali è il Cybersecurity Framework 2.0, che organizza la gestione del rischio in 6 funzioni: Govern, Identify, Protect, Detect, Respond e Recover. Il nuovo testo le applica alle attività senza dipendenti retribuiti oltre ai titolari, che negli Stati Uniti rappresentano quasi l’82% delle circa 35 milioni di piccole imprese. Anche per le aziende italiane le indicazioni hanno un certo peso. Non sono obblighi normativi né criteri di certificazione ma offrono un metodo concreto per ridurre i rischi. Il punto centrale è che la protezione deve partire dalle conseguenze di un incidente e non dalla lista di prodotti da comprare. Un antivirus aggiornato serve a poco se l’account che controlla posta, dominio e backup resta esposto.
La prima raccomandazione riguarda proprio l’inventario degli asset, cioè hardware, software, account, dati e servizi esterni, ognuno con la sua importanza operativa e le difese già attive. Pensiamo a chi usa Microsoft 365, un sito WordPress, un provider per il dominio e un archivio cloud. Se tutti questi servizi si recuperano dalla stessa casella email, quella casella diventa il punto debole. Per cominciare basta un foglio elettronico con risorsa, funzione, dati trattati, dipendenze, protezioni e impatto di una compromissione, chiedendosi cosa succederebbe se ciascuna risorsa restasse ferma per 24 o 48 ore. L’elenco però funziona solo se descrive anche i legami tra i vari servizi.
Password lunghe, passkey e autenticazione multifattore
Il documento invita a usare credenziali uniche e lunghe almeno 15 caratteri, affidandosi a password manager e passkey. Il limite dei 15 caratteri vale per le password usate come unico fattore, mentre con l’autenticazione multifattore i servizi possono accettarne da 8. Una chiave più lunga e casuale resta comunque preferibile. Il NIST non la cita, ma una tecnica ancora efficace è il metodo Diceware ideato nel 1995 da Arnold Reinhold, che usa 5 dadi per estrarre parole da una lista di 7.776 termini. Con 6 parole si arriva a circa 77,5 bit di entropia, oltre 221 miliardi di miliardi di combinazioni. L’agenzia scoraggia poi le regole arbitrarie di composizione e i cambi periodici senza segni di compromissione. Il vero nemico è il riutilizzo, che apre la strada agli attacchi di credential stuffing.
Sul fronte dell’accesso viene privilegiata l’autenticazione resistente al phishing. I codici OTP generati da un’app o ricevuti via SMS possono essere sottratti da una pagina fraudolenta. Le passkey basate su FIDO2 e WebAuthn invece non trasmettono mai la chiave privata e restano legate al servizio legittimo. Attenzione però ai metodi di recupero alternativi poco protetti. Conviene verificare il supporto alle passkey, controllare quali altri metodi restano attivi, esaminare sessioni e dispositivi autorizzati, registrare più autenticatori e custodire i codici di recupero in un luogo sicuro.
Windows e privilegi amministrativi
Per il lavoro quotidiano il NIST suggerisce un account standard, riservando quello amministrativo alle operazioni che lo richiedono davvero. Un processo avviato senza privilegi elevati incontra più ostacoli quando prova a modificare componenti protetti del sistema. Su Windows 11 un comando PowerShell permette di vedere chi fa parte del gruppo degli amministratori locali, anche se non restituisce un quadro completo di tutte le autorizzazioni. La configurazione ideale prevede un profilo standard e uno amministrativo separato con credenziali diverse. Prima di cambiare il tipo di account da Impostazioni, Account, Altri utenti bisogna però accertarsi che esista almeno un amministratore funzionante, altrimenti si rischia di perdere il controllo del computer.
Fonte: TecnoAndroid