La direttiva NIS2 riconosce l’autenticazione multifattore (MFA) come componente strutturale delle misure di sicurezza da adottare. L’articolo 21, paragrafo 2, lettera j, stabilisce infatti che i soggetti obbligati devono prevedere l’uso di soluzioni di autenticazione multifattore o continua, “ove appropriato”.
Sebbene la direttiva lasci apparentemente spazio all’interpretazione, questa clausola implica che l’MFA vada adottata ogniqualvolta la sua assenza esponga l’organizzazione a un rischio non accettabile. In particolare, l’obbligo si applica a tutti i sistemi che gestiscono dati sensibili, risorse critiche o accessi privilegiati.
Cos’è l’MFA e perché è importante
L’MFA si basa sull’utilizzo combinato di almeno due fattori tra: qualcosa che l’utente conosce (password o PIN), qualcosa che possiede (token, dispositivo mobile, chiave di sicurezza) e qualcosa che è (biometria). Questo approccio riduce drasticamente la probabilità che un attacco basato su credenziali possa avere successo.
Numerose ricerche confermano l’efficacia della MFA. Un report di Google ha evidenziato che l’autenticazione a più fattori può bloccare fino al 100% degli attacchi automatizzati, al 96% dei tentativi di phishing di massa e al 76% degli attacchi mirati. Microsoft ha inoltre rilevato che oltre il 99,99% degli account compromessi nel periodo di studio non aveva attivato l’MFA.
Per rispettare gli obblighi della NIS2, le organizzazioni devono adottare un approccio olistico all’identità digitale, che comprenda anche:
- valutazione della superficie di attacco all’identità,
- identificazione delle vulnerabilità nei flussi di accesso,
- definizione di regole granulari basate sul contesto (es. luogo, dispositivo, orario).
Oltre all’MFA, la direttiva promuove altre misure correlate, come il controllo degli accessi basato sui ruoli (RBAC), l’applicazione del principio del privilegio minimo, la revisione periodica delle autorizzazioni e l’adozione di restrizioni contestuali.
Implementazione pratica dell’MFA per la conformità NIS2
Integrare l’MFA nei sistemi aziendali non è un’operazione banale, soprattutto in ambienti complessi o caratterizzati da sistemi legacy. Per questo motivo, l’implementazione deve avvenire secondo un processo strutturato e coordinato con il piano di adeguamento alla NIS2.
Il primo passo consiste nella mappatura della superficie di attacco, ossia l’analisi di tutti i punti d’accesso a risorse critiche: applicazioni cloud, VPN, console amministrative, endpoint remoti, ecc. Successivamente, è necessario individuare dove la mancanza di MFA rappresenti un rischio effettivo per la sicurezza e pianificare l’introduzione progressiva di soluzioni compatibili con l’infrastruttura esistente.
Sono fortemente raccomandate tecnologie avanzate come lo standard FIDO2 (che utilizza crittografia a chiave pubblica per l’autenticazione phishing-resistant), l’autenticazione biometrica e i sistemi di autenticazione adattiva o contestuale. Quest’ultima è in grado di modulare la richiesta di MFA in base al livello di rischio associato a ogni sessione di accesso.
L’MFA deve essere integrata in una più ampia strategia IAM per la NIS2 (Identity and Access Management), che includa:
- definizione dei ruoli e assegnazione dei permessi (RBAC),
- gestione degli accessi privilegiati (Privileged Access Management – PAM),
- logging e audit trail degli accessi,
- interoperabilità con SSO e altre soluzioni di gestione dell’identità.
Infine, è fondamentale che le soluzioni scelte garantiscano un buon equilibrio tra sicurezza e usabilità, per evitare resistenze da parte degli utenti e per minimizzare l’impatto sulle attività operative quotidiane.
Sfide e soluzioni nell’adeguamento MFA per NIS2
Secondo il report ENISA “NIS Investments 2024”, l’implementazione dell’MFA è percepita come uno degli adempimenti più complessi della direttiva: il 45% delle aziende intervistate ha indicato l’MFA tra i tre principali ostacoli alla conformità.
Tra le difficoltà più comuni, si segnalano:
- Carenza di competenze interne in ambito IAM e cybersecurity,
- Integrazione con sistemi legacy, spesso privi di API moderne o non compatibili con strumenti MFA avanzati,
- Vincoli di budget, che limitano la possibilità di adottare soluzioni enterprise,
- Resistenza al cambiamento, soprattutto in contesti in cui l’esperienza utente ha un peso operativo rilevante.
Una strategia efficace prevede la creazione di un team interno o ibrido dedicato alla NIS2, coordinato dal CISO o da un responsabile IT con delega alla sicurezza. Tale gruppo dovrà effettuare un assessment tecnico-organizzativo, selezionare le soluzioni adatte e definire una roadmap realistica per l’adozione dell’MFA in tutti i punti critici.
L’adozione di soluzioni come Single Sign-On (SSO) integrato con MFA, come quelle contenute in un tool Access Manager, rappresenta spesso una soluzione ottimale per coniugare controllo centralizzato, esperienza utente fluida e rapidità di deployment. Per semplificare ulteriormente l’infrastruttura, molte aziende stanno consolidando i propri strumenti tecnologici, riducendo il numero di piattaforme e privilegiando quelle in grado di integrarsi tra loro nativamente.
Cybersecurity Awareness e comunicazione interna sono infine elementi determinanti per il successo: la direttiva NIS2 prevede che gli organi direttivi siano non solo informati, ma anche formati in materia di cybersicurezza, e promuovano la diffusione della cultura della sicurezza all’interno dell’organizzazione.
L’MFA come investimento strategico per la cyber resilience
Nel 2023, oltre 8,2 miliardi di record sono stati compromessi a livello globale in attacchi che hanno coinvolto credenziali rubate. Di questi, 3,4 miliardi sono stati trafugati in un solo incidente. Secondo Verizon, circa l’80% delle violazioni informatiche ha avuto origine dall’abuso di credenziali.
L’autenticazione multifattore, se correttamente implementata, riduce il rischio di compromissione degli account di oltre il 99%. Questo dato, da solo, giustifica l’adozione diffusa dell’MFA come misura di sicurezza essenziale, ben oltre l’obiettivo della sola conformità normativa.
Oltre alla protezione concreta contro phishing, brute force e accessi non autorizzati, l’MFA contribuisce a:
- rafforzare la fiducia di clienti e partner verso l’organizzazione,
- ridurre i costi potenziali derivanti da violazioni e downtime,
- soddisfare i requisiti di normative come GDPR, PCI-DSS, ISO/IEC 27001.
L’MFA è anche un elemento imprescindibile nell’approccio Zero Trust, che prevede l’autenticazione continua degli utenti durante l’intera durata della sessione, anche per accessi provenienti da reti interne. Questo modello è oggi adottato per proteggere applicazioni cloud, endpoint aziendali, strumenti collaborativi e accessi da remoto.
MFA, uno strumento di conformità alla NIS2
La conformità alla NIS2 rappresenta un’opportunità per rafforzare la postura di sicurezza dell’intera organizzazione. L’MFA, in questo percorso, si posiziona come una misura concreta, accessibile e ad alto impatto, capace di offrire protezione reale contro le minacce informatiche più comuni. Implementarla in modo strategico, graduale e integrato con gli altri sistemi aziendali significa non solo rispettare la normativa, ma anche costruire una cyber resilience duratura.
LEGGI ANCHE: L’importanza dei sistemi di IAM nella direttiva NIS2
