Password, SMS o passkey: i cinque livelli di sicurezza degli accessi secondo l'UFCS

Password, codice via SMS, app di autenticazione, passkey, chiave di sicurezza: i modi per proteggere un accesso sono molti, ma non offrono la stessa protezione. Il 19 ottobre 2026 l'Ufficio federale della cibersicurezza (UFCS) ha pubblicato una valutazione tecnologica che li ordina in cinque livelli di sicurezza.

La classificazione si basa sugli «Authentication Assurance Levels» (AAL 1–3) del NIST statunitense, adattati e ampliati per tenere conto degli attacchi di phishing in tempo reale. Non è una certificazione, ma secondo l'UFCS può servire a organizzazioni e aziende come base pratica per definire regole interne, raccomandazioni e buone prassi.

I cinque livelli in breve

I livelli di base sono tre, «basso», «medio» e «alto». Gli ultimi due hanno una variante con l'asterisco (*), riservata ai metodi che resistono anche al phishing in tempo reale e agli attacchi in cui qualcuno si inserisce tra utente e servizio.

• Basso. L'informazione usata per accedere è statica e sempre uguale: nome utente e password, una chiave API fissa, un identificativo di sessione salvato in un cookie. Il livello resta basso anche con una connessione cifrata o un gestore di password. Secondo l'UFCS questi metodi andrebbero evitati e, dove possibile, sostituiti.
• Medio. L'informazione cambia a ogni accesso e dipende da almeno un altro elemento di sicurezza. Esempi: password con codice SMS, app con codici monouso come Google o Microsoft Authenticator.
• Medio*. Come il livello medio, ma l'accesso resta legato al dispositivo o alla sessione in cui è avvenuto, quindi non si può riutilizzare altrove. Ci rientrano le passkey sincronizzabili tra dispositivi e la password con legame al dispositivo.
• Alto. In più serve una chiave crittografica custodita in un modulo hardware da cui non si può estrarre, sbloccato con un'ulteriore verifica e consegnato personalmente con una procedura tracciabile. Esempi: token hardware con codici monouso e Mobile ID.
• Alto*. Il livello alto con resistenza al phishing in tempo reale: per esempio chiavi FIDO2 che non si possono sincronizzare né esportare, cioè le chiavi di sicurezza fisiche, o certificati custoditi in hardware.

Tre precisazioni utili

Sommare metodi dello stesso livello non alza il livello. L'UFCS lo spiega con un esempio: le passkey restano al livello medio anche se combinate con password e codice SMS.

L'SMS è l'ultima scelta. Il documento ricorda che la sicurezza dei metodi basati su SMS è messa in dubbio e che andrebbero usati solo se non esiste un'alternativa migliore.

Una chiave hardware non si copia. Proprio perché la chiave non si può estrarre, non se ne può fare un backup: per averne uno serve un secondo dispositivo.

C'è anche un'indicazione per chi usa integrazioni e automazioni: le chiavi API vanno custodite in sistemi dedicati, non trasmesse in un URL o in cookie inviati automaticamente, e conviene preferire chiavi e credenziali di breve durata.

Cosa significa per una PMI in Ticino

La classificazione è pensata anche per grandi organizzazioni, ma la logica funziona per qualsiasi azienda. Cinque passi concreti:

1. Fate l'elenco degli accessi che contano: posta, banca online, gestionale, contabilità, pannello del sito, dominio e hosting, profili social. Per ognuno annotate con quale metodo si accede oggi.
2. Togliete la sola password dagli accessi importanti. È il livello basso: dove il servizio lo permette, aggiungete almeno un secondo fattore.
3. Preferite passkey o app di autenticazione all'SMS. L'SMS è meglio della sola password, ma l'UFCS lo indica come soluzione di ripiego.
4. Proteggete meglio gli account amministratore. Per dominio, hosting, posta del titolare ed e-banking valutate una chiave di sicurezza fisica, con una seconda chiave di riserva custodita a parte.
5. Mettete in ordine le chiavi API. Fuori dal codice, dalle e-mail e dai documenti condivisi, con i permessi minimi necessari e una scadenza.

Il tema non è teorico: l'UFCS ha registrato di recente un numero record di segnalazioni, in gran parte phishing e truffe, come abbiamo raccontato in 1587 segnalazioni in una settimana. Per le altre misure di base, come backup e fatture false, si veda anche Una fattura falsa può fermare una PMI.

Il nostro approccio

ElaraTeq Sagl sviluppa siti, gestionali e servizi digitali per PMI ed enti in Ticino con hosting in Svizzera, connessioni cifrate e accessi protetti. Se volete capire a che livello sono oggi gli accessi della vostra azienda e cosa conviene migliorare per primo, scriveteci.

Fonti

• UFCS, «Valutazione tecnologica: Cinque livelli di autenticazione sicura per una maggiore chiarezza», 19 ottobre 2026: https://www.bacs.admin.ch/it/26-tb-authentifizierung-it
• UFCS, «Livelli di sicurezza per procedure, mezzi e servizi di autenticazione» (PDF), settembre 2026: documento completo