La rotazione delle password: novanta giorni, nove regole, due post-it
Lunedì mattina il Junior non riesce ad accedere al gestionale perché la password aziendale è scaduta come da policy sui novanta giorni. Le regole di composizione rifiutano una password dopo l'altra: niente somiglianze con le nove precedenti, niente nome azienda, mesi o stagioni. Il Senior rivela il suo metodo collaudato dal duemiladiciotto: la stessa parola base con il numero del trimestre in coda, incrementato a ogni scadenza. Il Junior obietta che se qualcuno la indovina adesso, ha gratis anche le prossime otto; il Senior risponde che la sicurezza ha rotato la password, l'abitudine no. Entra Security, che ha aperto la revisione della policy di accesso e spiega che la rotazione era una raccomandazione datata, oggi interpretata da ogni azienda a modo suo. La verifica trova una password condivisa in un gruppo di progetto e due post-it con le credenziali attaccati al monitor di una postazione in laboratorio.
Voci, personaggi e contenuti creativi generati con strumenti di intelligenza artificiale e approvati prima della pubblicazione.
Trascrizione
Narratore: Questo episodio di Allineiamoci Offline è prodotto con voci sintetiche: tutti i personaggi che sentirete non esistono, ma le situazioni che vivono, sì.
Narratore: È lunedì mattina. Il Junior arriva in ufficio con il caffè e apre il gestionale: il ticket della settimana lo aspetta. Però prima c'è la schermata di accesso.
Junior Developer: Ok, facciamo il login... Errore: la password è scaduta. Sono passati novanta giorni, come da policy. Va bene, ne scelgo una nuova. Diciamo: Kaffè2026! Massimo dodici caratteri, una maiuscola, un numero, un simbolo... 'La nuova password non può essere uguale a nessuna delle nove precedenti.' Nove? Io non ricordo nemmeno le ultime due. Provo a variare: 'La password non può contenere il nome dell'azienda.' Non l'ho messo! 'Non può contenere mesi o stagioni.' Cioè niente Aprile, niente Primavera. Proviamo con un'altra... 'Non può contenere sequenze di numeri consecutivi.' Ma l'anno scorso il simulatore mi consigliava di metterci l'anno! Quinta password rifiutata. Sei... rifiutata. A questo punto il sistema non sta validando la sicurezza, sta giocando a indovina chi ero l'ultima volta. Basta, chiamo il Senior. Qual è il tuo criterio? Quale combinazione sopravvive?
Senior Developer: Il mio non viene mai rifiutato. Il metodo: la stessa parola base dal duemiladiciotto, e in coda il numero del trimestre. Trimestre primo, secondo, terzo, quarto, e poi ricomincia. In dieci anni ho cambiato password quaranta volte e ho cambiato esattamente tre caratteri, che sono sempre gli stessi tre, nello stesso ordine. Quando scade, incremento. Il sistema è contento, io sono contento.
Junior Developer: Ma è prevedibile. Se qualcuno la indovina adesso, ha gratis anche le prossime otto.
Senior Developer: La sicurezza ha rotato la password. L'abitudine no. Ed è l'abitudine che si ricorda.
Narratore: A questo punto entra Security. Da martedì ha aperto l'ultima revisione della policy di accesso, e ha con sé una verifica già pronta, che in ufficio chiamano audit leggero, perché ha un foglio di calcolo.
Security: Ciao. Sto revisionando la policy dei novanta giorni. Vi anticipo il contesto: il cambio periodico della password era una raccomandazione datata. Le linee guida più recenti dicono che non serve, se la password è robusta e non è finita in giro. Però le linee guida ogni azienda le interpreta a modo suo, e la nostra ha deciso di tenerle. La versione precedente del documento risale a otto anni fa, e da allora la policy non si è toccata. Ho comunque fatto una verifica sugli account. In un gruppo di progetto c'è una password condivisa da quattro persone, tre delle quali non ci lavorano più. E in laboratorio, attaccati al monitor di una postazione, ci sono due post-it con le credenziali scritte a mano. Li avete visti? Chi li toglie: io, oppure vi segnalo io e vi organizzerete?
Junior Developer: Una domanda: se li segnalo, scatta un processo formale oppure si fa qualcosa di concreto? Perché l'ultima volta che ho aperto una segnalazione di sicurezza, il ticket è stato chiuso come non riproducibile.
Security: Io scrivo un report, con le evidenze e le raccomandazioni, e lo porto in commissione. Ma vi dico anche il mio parere: il problema non è il post-it. Il problema è che nessuno ha mai proposto un sistema comodo abbastanza da non dover aggirare. Se rispettare la policy significa portarsi in testa dieci password diverse e cambiarle tutte ogni tre mesi, la gente le scrive sul monitor. Non è malafede, è matematica. Il post-it è la soluzione più razionale che il sistema ha lasciato.
Senior Developer: Un report in commissione contro due post-it in laboratorio. Direi che il rapporto è equilibrato.
Narratore: Due settimane dopo. Alla call di revisione della policy si aggiunge il CTO. Nessuno ricorda chi l'abbia convocato per primo.
Chief Technology Officer: Buongiorno a tutti. Prima di entrare nel merito vorrei inquadrare bene il tema, perché il quadro strategico è importante: non siamo davanti a una policy fallita. Siamo in un percorso evolutivo verso la sicurezza consapevole. La rotazione delle credenziali ci ha dato consapevolezza. Che quella consapevolezza abbia prodotto post-it e password condivise è esattamente ciò che ci rende oggi maturi per il passo successivo. Il fallimento, in fondo, è un dato di input per il miglioramento continuo. Quindi annuncio che avviamo la valutazione di un password manager aziendale, con un iter di approvazione in tre fasi: analisi dei requisiti, pilota controllato, adozione graduale. Non metto date, perché l'innovazione non si comanda, si accompagna. Nel frattempo, come azione intermedia: la password viene cambiata oggi, e i post-it vengono ripuliti dal monitor e riposti nel cassetto sotto la tastiera.
Junior Developer: Scusate... il cassetto sotto la tastiera è un posto sicuro?
Senior Developer: È il posto da cui li ho già tolti tre volte. Tornano sempre.
Junior Developer: Tanto tra novanta giorni la password scade di nuovo, no?
Senior Developer: Quarto trimestre. Aggiorna il numero.
Narratore: La valutazione del password manager entra in fase uno: l'analisi dei requisiti. I post-it, intanto, hanno cambiato sede, non contenuto.
Narratore: Allineiamoci Offline è un podcast satirico con voci sintetiche. Il prossimo episodio esce quando il deploy lo permetterà, e quando il cliente avrà risposto alla mail.