MFA: quando pretendere l’autenticazione a più fattori? Una guida per i DPO

---

Il furto di credenziali è una delle principali cause di data breach. Se fino a pochi anni fa l’adozione della Multi-Factor Authentication (MFA) era considerata per lo più una best practice, oggi questa misura di sicurezza rappresenta un pilastro fondamentale della compliance. Quando pretendere dal Titolare del trattamento l’implementazione della MFA? Quando limitarsi a suggerirla quale azione di miglioramento? L’articolo analizza alcune decisioni chiave delle DPAs e costituisce una guida, per i DPO, su come garantire che l’adozione della MFA avvenga in sicurezza e nel pieno rispetto del GDPR.

---

Cos’è la MFA e perché la “doppia password” non basta

La Multi-Factor Authentication (MFA) è una tecnica di autenticazione a sistemi, applicazioni e servizi volta ad assicurare l’identità dichiarata di un utente. 

A differenza dell’accesso mediante password singola, l’accesso tramite MFA viene concesso solo dopo che l’utente ha presentato con successo due o più fattori di autenticazione appartenenti a categorie indipendenti. Combinare diversi metodi per confermare la propria identità (come una password, uno smartphone e l’impronta digitale) rende molto più difficile per i malintenzionati forzare un account in quanto la compromissione di un singolo fattore non compromette l’integrità degli altri.

I tre elementi fondamentali su cui si regge l’autenticazione forte sono:

1. Conoscenza (qualcosa che l’utente sa): È il fattore più comune, come una password, un PIN o una sequenza. Nonostante sia il più vulnerabile a tecniche di phishing o brute force, rimane spesso la base del primo step di accesso.
2. Possesso (qualcosa che l’utente ha): Si riferisce a un oggetto fisico o digitale in esclusivo controllo dell’interessato. Esempi includono chiavi hardware, smart card, o generatori di codici One-Time Password (OTP) tramite app dedicate (Authenticator).
3. Inerenza (qualcosa che l’utente è): Riguarda le caratteristiche fisiche o comportamentali (biometria). 

Un sistema MFA è efficace solo se i fattori sono combinati in modo “forte”. Ad esempio, l’uso di due password diverse non costituisce MFA, ma solo una “doppia autenticazione di conoscenza”. Il DPO deve validare che la soluzione scelta dal Titolare sia resistente alle minacce moderne, come gli attacchi Adversary-in-the-Middle (AiTM) o il SIM swapping (quando un criminale si impossessa del numero di telefono della vittima per intercettare gli SMS di conferma). Per mitigare questi rischi, il DPO dovrebbe indirizzare il Titolare verso standard moderni, come FIDO2, che garantiscono una protezione solida riducendo drasticamente l’impatto del fattore umano.

I rischi dell’autenticazione a password singola

L’adozione della MFA è una declinazione del principio di accountability. La stragrande maggioranza delle violazioni di dati ha origine da credenziali compromesse. In aggiunta, sistemi cloud-based, soluzioni interconnesse e ricorso allo smart working rendono sempre più difficile definire il perimetro netto dell’infrastruttura IT aziendale. Per questo, la password singola non può più essere considerata una misura sufficiente a garantire la riservatezza e l’integrità dei dati, specialmente per accessi effettuati dall’esterno della rete locale. 

Affidarsi al “fattore unico” (la sola conoscenza di una password) significa consegnare virtualmente le chiavi dei sistemi a chiunque riesca a intercettare o indovinare una semplice stringa di testo. Le conseguenze sono concrete e multilivello:

• Vulnerabilità al ransomware: L’assenza di MFA su VPN o Desktop Remoti (RDP) è il principale vettore d’attacco per i gruppi cybercriminali. Un singolo account compromesso permette movimenti laterali nella rete che possono portare all’interruzione delle attività di business e all’esfiltrazione massiva di dati.
• Responsabilità e diniego assicurativo: Oltre alle sanzioni amministrative, l’azienda affronta il rischio di pesanti risarcimenti civili. Inoltre, molte polizze assicurative cyber oggi considerano la MFA un requisito minimo, la cui assenza può portare al diniego della copertura per sinistri.
• Impatto reputazionale: Un data breach causato dalla mancanza di una misura di sicurezza ormai considerata standard proietta un’immagine di negligenza, minando la fiducia di clienti, partner e stakeholder.

Sanzioni e precedenti: le decisioni del Garante e della CNIL

Con il provvedimento n. 621 del 17 ottobre 2024 il Garante ha sanzionato, per un importo pari a 25 mila euro, un’azienda sanitaria per aver consentito l’accesso alla propria rete interna tramite VPN utilizzando esclusivamente credenziali semplici (username e password). Il Garante ha chiarito che, laddove si tratti di dati sensibili accessibili da remoto, la mancata implementazione della MFA costituisce una violazione diretta dell’obbligo di adottare misure tecniche adeguate (violazione dell’articolo 32 del GDPR). 

Sulla stessa linea si è mossa la CNIL francese, attraverso la recente decisione SAN–2026-003 del 22 gennaio 2026 riguardante l’ente France Travail. In questo caso, l’Autorità d’oltralpe ha sanzionato l’organizzazione non solo per la debolezza delle politiche sulle password, ma specificamente per l’assenza di MFA per i profili degli operatori. La CNIL ha ingiunto l’adozione della MFA come misura necessaria per mitigare il rischio di accessi non autorizzati a grandi database, prevedendo una sanzione giornaliera di 5.000 euro per ogni giorno di ritardo nell’adeguamento.

I casi esaminati evidenziano come l’autenticazione a fattore singolo sia considerata intrinsecamente inadeguata laddove il rischio per i diritti e le libertà degli interessati sia elevato, sia per la natura dei dati trattati (come nel caso trattato dal Garante) sia per la scala del trattamento (come nel caso della CNIL). 

In questi contesti la MFA passa da best practice a parametro di adeguatezza ex art. 32 GDPR, la cui assenza è sanzionabile. Inoltre, nuove fonti normative (fra cui NIS2 e DORA) prevedono l’autenticazione forte come obbligo di legge esplicito per determinati settori e infrastrutture. Per i DPO, è dunque vitale mappare questi scenari in cui l’implementazione della MFA rappresenta un requisito cogente da esigere senza riserve.

Obblighi di legge e scenari critici: quando la MFA è un obbligo

Se l’art. 32 del GDPR fonda la scelta delle misure sul principio generale di adeguatezza, altre recenti fonti normative hanno imposto l’autenticazione a più fattori come un requisito minimo di sicurezza per settori strategici.

Il primo riferimento è la Direttiva NIS2 (UE 2022/2555), recepita in Italia dal D.lgs. 138/2024. L’art. 24 del decreto (corrispondente all’art. 21 NIS2) inserisce esplicitamente le “soluzioni di autenticazione a più fattori o di autenticazione continua” tra le misure minime che i soggetti essenziali e importanti devono adottare. Similmente, il Regolamento DORA (UE 2022/2554), all’art. 9, impone alle entità finanziarie l’uso di meccanismi di autenticazione forte per l’accesso a sistemi che gestiscono dati critici o per operazioni ad alto rischio.

Oltre ai settori regolati, come anticipato, esistono scenari operativi in cui la MFA deve essere considerata un requisito cogente per ogni Titolare, alla luce degli orientamenti delle Autorità:

• accesso remoto a infrastrutture critiche (VPN e RDP);
• gestione degli account privilegiati / superuser;
• trattamento di dati particolari su larga scala.

In questi casi, l’eventuale assenza di MFA costituisce una non-conformità grave, da sanare prioritariamente.

Lo stato dell’arte: standard internazionali e raccomandazioni

Al di fuori dei casi di obbligo normativo esplicito, il DPO deve orientare il Titolare utilizzando come bussola lo “stato dell’arte” della tecnologia. Questo concetto, richiamato dall’art. 32 del GDPR, trova la sua traduzione pratica negli standard tecnici internazionali e nelle linee guida delle autorità di cybersecurity, che oggi considerano la MFA un requisito di base per la resilienza organizzativa.

Un punto di riferimento imprescindibile è lo standard ISO/IEC 27001:2022. L’Annex A, al punto 8.5 “Secure Authentication” (approfondito nella guida ISO/IEC 27002:2022) specifica che i sistemi di autenticazione devono essere scelti in base al rischio e che la MFA dovrebbe essere implementata ogniqualvolta l’accesso riguardi sistemi critici o dati sensibili. Per un’organizzazione certificata, o che aspira a esserlo, l’assenza di MFA diventa dunque una debolezza strutturale difficilmente giustificabile in sede di audit.

Parallelamente, il framework statunitense NIST (Special Publication 800-63B) definisce i livelli di garanzia dell’autenticazione (AAL), indicando chiaramente che per prevenire attacchi comuni come il phishing, è necessario puntare a livelli AAL2 o AAL3, entrambi basati su MFA. 

In sintesi, il DPO deve far comprendere al Titolare che ignorare queste raccomandazioni significa discostarsi dallo stato dell’arte. In caso di incidente, dimostrare l’adeguatezza delle misure adottate (accountability) diventerà un onere probatorio quasi impossibile se si è scelto di ignorare standard internazionali che ormai convergono univocamente verso l’adozione diffusa dell’autenticazione a più fattori.

Criticità e rischi dell’MFA

Nonostante i benefici indiscussi, l’implementazione della MFA non è priva di criticità. Il DPO deve essere consapevole anche dei rischi derivanti dall’adozione della MFA, che possono generare effetti indesiderati e controproducenti. 

1. Il primo rischio è quello del cosiddetto “Shadow IT”: se le procedure di autenticazione sono eccessivamente complesse, i dipendenti potrebbero cercare di aggirare le regole a favore di soluzioni più semplici, anche se non autorizzate.
2. Un secondo fenomeno critico correlato al primo è la stanchezza da autenticazione (“MFA fatigue”). Un eccesso di notifiche per operazioni a basso rischio può indurre l’utente ad approvare meccanicamente qualsiasi richiesta senza verificarne l’origine. Questo automatismo psicologico è spesso sfruttato dai criminali informatici. 

Il DPO deve quindi raccomandare al Titolare di bilanciare la sicurezza con l’usabilità, adottando politiche di “sessione persistente” per dispositivi affidabili o sistemi di autenticazione adattiva che richiedano il secondo fattore solo in presenza di anomalie (es. cambio di IP o orari insoliti).

1. Ancora, sotto il profilo della protezione dei dati l’uso del fattore di inerenza (biometria) introduce ulteriori complessità. Se la MFA si basa, ad esempio, su impronte digitali o riconoscimento facciale, il Titolare tratta categorie particolari di dati ex art. 9 GDPR. Il DPO deve vigilare affinché il trattamento sia lecito.
2. Infine, non va trascurato il tema dell’inclusività digitale. Non tutti i lavoratori potrebbero possedere uno smartphone aziendale o essere disposti a usare quello privato (BYOD) per scopi lavorativi. In questi casi, il DPO deve assicurarsi che l’azienda preveda soluzioni alternative e inclusive, come chiavi hardware fisiche o generatori di codici stand-alone, per garantire che la sicurezza non diventi un limite all’accessibilità o una fonte di discriminazione.

La roadmap della CNIL: indicazioni pratiche per l’implementazione

Per tradurre la teoria in prassi operativa, ci viene in aiuto l’ultima guida della CNIL. La Commissione francese fornisce ai DPO una vera e propria checklist per garantire che l’adozione della MFA non sia solo sicura, ma anche pienamente conforme al GDPR lungo tutto il suo ciclo di vita.

Secondo la CNIL, il percorso di implementazione dovrebbe seguire questi pilastri fondamentali:

• Scelta della base legale (Art. 6): Il Titolare deve definire chiaramente il fondamento del trattamento. Se per i soggetti critici (NIS2/DORA) la base è l’obbligo legale, per le altre realtà si ricorre solitamente al legittimo interesse, previa valutazione che il beneficio in termini di sicurezza superi l’impatto sulla privacy dell’utente.
• Gestione del fattore di inerenza (Art. 9): Se si utilizza la biometria, la CNIL sottolinea la necessità di individuare una specifica eccezione (es. motivi di interesse pubblico rilevante). Il Titolare deve individuare soluzioni in cui il modello biometrico resti sotto l’esclusivo controllo dell’utente (archiviazione locale sul dispositivo) e non venga mai centralizzato.
• Sicurezza della fase di “Arruolamento” (Enrolment): Il processo di registrazione iniziale dell’utente alla MFA deve essere protetto per evitare che un attaccante si sostituisca all’interessato proprio nella fase di setup. La CNIL suggerisce l’uso di codici di attivazione monouso consegnati di persona o tramite canali sicuri pre-verificati.
• Fattori statici vs dinamici: L’Autorità distingue tra fattori “statici” (es. password) e “dinamici” (es. codici OTP). Maggiore è il rischio, maggiore deve essere il ricorso a fattori dinamici e resistenti al phishing, come le chiavi hardware basate su standard FIDO2 (come Yubico YubiKey, Feitian o Google Titan).
• Revoca e recupero: Il DPO deve assicurarsi che esistano procedure chiare per la revoca immediata delle credenziali MFA in caso di smarrimento del dispositivo (smartphone o chiave fisica) e per il recupero dell’accesso senza abbassare eccessivamente la soglia di sicurezza.

Per il DPO, promuovere la MFA significa proteggere non solo i dati, ma la continuità stessa del business e la fiducia degli interessati. Non c’è accountability senza una robusta gestione degli accessi. Ti aspettiamo al nostro Congresso Annuale per discutere dal vivo di queste e altre sfide della Digital Compliance.