NIS2 e Cybersicurezza
MFA: Autenticazione a Più Fattori per la Sicurezza Aziendale
Pubblicato il 2026-03-27
4 min di lettura
Di Redazione NIS2 Italia
Risposta rapida L'MFA (autenticazione a più fattori) richiede almeno due fattori per accedere: qualcosa che sai (password), hai (app authenticator o token hardware) o sei (biometria). Riduce il rischio di compromissione da credenziali rubate di oltre l'80%. Per la NIS2 (art. 21 D.Lgs. 138/2024) è considerata misura minima di controllo degli accessi. App authenticator: gratuita. Token hardware FIDO2 (YubiKey): 25–50 €/unità.
L'81% delle violazioni aziendali coinvolge credenziali rubate o deboli. L'MFA (Multi-Factor Authentication) blocca la stragrande maggioranza di questi attacchi aggiungendo un secondo livello di verifica oltre la password. È la misura di sicurezza con il miglior rapporto costo-efficacia in assoluto: costa quasi nulla e riduce il rischio di compromissione di oltre l'80%.
La NIS2 richiede "misure adeguate per la gestione degli accessi" — e l'MFA è universalmente considerata la misura minima. Un'azienda senza MFA nel 2026 è come un negozio senza serratura: non è questione di se verrà violata, ma di quando.
Come funziona l'MFA
L'MFA richiede almeno due dei tre fattori di autenticazione:
- Qualcosa che sai — password, PIN, risposta segreta
- Qualcosa che hai — smartphone con app authenticator, token hardware, smart card
- Qualcosa che sei — impronta digitale, riconoscimento facciale, scansione dell'iride
Tipi di MFA: quale scegliere
| Metodo | Sicurezza | Usabilità | Costo |
|---|
| SMS OTP | Bassa (intercettabile) | Alta | Basso |
| App authenticator (TOTP) | Media | Buona | Gratuito |
| Push notification | Media-alta | Ottima | Medio |
| Token hardware (FIDO2/YubiKey) | Molto alta | Buona | 25-50 EUR/unità |
| Biometria (fingerprint/face) | Alta | Ottima | Incluso nel dispositivo |
| Passwordless (passkey) | Molto alta | Ottima | Variabile |
Evitare l'SMS come unico secondo fattore L'SMS è vulnerabile al SIM swapping e all'intercettazione. Per gli account critici (admin, email, VPN), usa almeno un'app authenticator o un token hardware. L'SMS va bene come fallback, non come metodo principale.
Dove implementare l'MFA: le priorità
- Email aziendale — il primo obiettivo. L'email è la chiave per il reset di quasi tutte le password
- VPN e accesso remoto — chiunque acceda alla rete da fuori deve avere l'MFA
- Console di amministrazione — firewall, server, cloud: gli admin sono il bersaglio principale
- Applicazioni cloud (SaaS) — Office 365, Google Workspace, CRM, ERP
- Accesso ai dati sensibili — database, file server con dati critici
- Tutti gli altri sistemi — idealmente, MFA ovunque (progressivamente)
Gestire le resistenze dei dipendenti
Ogni IT manager conosce la scena: annunci l'MFA e partono le proteste. "È scomodo", "rallenta il lavoro", "non ricordo dove ho messo il telefono". Le resistenze sono naturali ma gestibili. La chiave è la comunicazione: spiega il perché (non solo il come), mostra i casi reali di violazione nel settore, rendi il processo il più semplice possibile. Le push notification sono molto meno invasive dei codici OTP. Un token hardware attaccato al portachiavi non si perde.
Un trucco che funziona: implementa l'MFA prima per il management. Se l'AD e il direttore finanziario lo usano senza problemi, i dipendenti hanno meno scuse per resistere.
MFA e NIS2: il collegamento
La NIS2, all'art. 21, richiede misure di "sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, compresa la gestione e la divulgazione delle vulnerabilità" e "politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi di cybersicurezza". L'MFA rientra nelle misure di controllo degli accessi, considerate fondamentali da tutte le linee guida ACN e dai framework di riferimento.
Domande Frequenti
L'MFA è obbligatoria con la NIS2?
Non esplicitamente, ma è universalmente considerata una misura minima di controllo degli accessi. Un'azienda senza MFA avrà difficoltà a dimostrare compliance con i requisiti NIS2 sulle misure di sicurezza adeguate.
Quanto costa implementare l'MFA in azienda?
Le app authenticator (Google, Microsoft) sono gratuite. Le soluzioni enterprise come Duo o Okta costano 3-9 euro/utente/mese. I token hardware (YubiKey) costano 25-50 euro una tantum per unità.
Cosa succede se un dipendente perde il dispositivo MFA?
Prevedi una procedura di recovery: codici di backup pre-generati, verifica identità tramite un canale alternativo (telefono + documento), reset da parte dell'IT. Mai disabilitare l'MFA come soluzione al problema del dispositivo perso.
Qual è il metodo MFA più sicuro per le aziende?
I token hardware FIDO2 (come YubiKey) offrono la protezione più elevata: resistenti al phishing, impossibili da clonare, compatibili con tutti i principali sistemi (Windows, Google Workspace, AWS). Per le PMI, le app authenticator TOTP (Google Authenticator, Microsoft Authenticator) offrono un buon bilanciamento tra sicurezza e usabilità a costo zero. L'SMS è il metodo meno sicuro: sconsigliato per account critici come VPN, admin e email aziendale.
Come si attiva l'MFA con Microsoft 365 o Azure AD?
Da Microsoft 365 Admin Center: Utenti → Utenti attivi → Multi-Factor Authentication. In alternativa, tramite Azure Active Directory > Proprietà > Impostazioni predefinite di sicurezza (abilita per tutti gli utenti). Il metodo raccomandato da Microsoft è l'app Microsoft Authenticator con push notification. Per policy granulari con esclusioni e account break-glass, usa Azure AD Conditional Access. Il rollout può essere fatto progressivamente, gruppo per gruppo.
L'MFA protegge dagli attacchi phishing?
Dipende dal metodo. SMS e OTP TOTP non proteggono dal phishing in tempo reale: un attaccante può intercettare il codice in una sessione live su un sito clone. I token FIDO2 e le passkey sono phishing-resistant: il codice è crittograficamente vincolato al dominio legittimo, quindi inutilizzabile su siti falsi. La raccomandazione CISA e ENISA è di migrare progressivamente verso metodi phishing-resistant per gli account ad alto privilegio.