--- id: CP-346 slug: gestore-password-aziendale-vs-browser lang: it title: Gestore aziendale o gestore del browser description: "Gestore di password aziendale e gestore integrato nel browser: che cosa li distingue, che cosa fa il dipendente e le insidie da evitare." canonical_url: https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/ markdown_url: https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Gestore aziendale o gestore del browser», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-009 schema: G2 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ en: https://startbrain.io/cyberpedia/en/articles/enterprise-password-manager-vs-browser/ de: https://startbrain.io/cyberpedia/de/articles/unternehmens-passwortmanager-vs-browser/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-empresa-vs-navegador/ nl: https://startbrain.io/cyberpedia/nl/articles/bedrijfswachtwoordmanager-vs-browser/ sources: - "n": 1 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 2 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide published: "2018-11-19" accessed: "2026-11-03" - "n": 3 title: "Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/003/ published: "2020-02-12" accessed: "2026-11-03" - "n": 4 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Password policy: updating your approach" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/updating-your-approach published: "2018-11-19" accessed: "2026-11-03" - "n": 6 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Gestore aziendale o gestore del browser Un gestore di password è un database cifrato da un'unica password «principale» [1]. Risponde a un problema diffuso: un dipendente gestisce decine di password, non solo quelle di lavoro, e molti riutilizzano la stessa o ne scelgono di comuni, cosa che gli attaccanti sfruttano [2]. Sul lato lavoro esistono due famiglie di strumenti: il gestore che l'azienda fornisce e amministra e quello integrato nel browser. Sullo schermo si somigliano, ma non proteggono allo stesso modo e l'azienda non ha lo stesso controllo su di essi. ## In 30 secondi - Dove succede: a ogni accesso a uno strumento di lavoro, quando il browser propone «Salva password». - Che cosa vuole l'attaccante: recuperare le credenziali salvate nel browser e riutilizzarle su altri sistemi o account per estendere il proprio accesso [3]. - Il riflesso: usare solo il gestore fornito da Brain per le password di lavoro, attivare il secondo fattore e non salvare nulla nel browser. - Se è già successo: segnalare subito la perdita o il furto di un dispositivo, poi seguire le indicazioni del team sicurezza per cambiare le password interessate. ## Domande dirette ### Che cos'è un gestore di password aziendale? È un gestore il cui uso è governato dall'organizzazione. L'NCSC britannico osserva che alcuni prodotti offrono una gestione centralizzata delle password nell'organizzazione e che di solito queste soluzioni sono a pagamento [2]. Le credenziali sono archiviate in una cassaforte accessibile con una password principale [2]. L'amministratore può fissare regole d'uso e avere una visione d'insieme dell'utilizzo delle password [2]. ### In che cosa differisce dal gestore del browser? L'NCSC distingue i gestori che sono un'applicazione autonoma da quelli integrati nel browser o nel sistema operativo [2]. La CISA cita i gestori integrati nel browser tra quelli gratuiti [4]. Le funzioni di amministrazione centralizzata (condivisione controllata, registri, regole) sono descritte dall'NCSC per i gestori aziendali [2]. L'NCSC cita del resto, tra le scelte possibili di un'organizzazione, quella di consentire ai dipendenti di salvare le password nei browser [2]: spetta quindi a Brain fissare la regola, e la regola di Brain è usare il proprio strumento. ### Perché evitare di salvare nel browser le password di lavoro? Di solito i browser conservano le credenziali in forma cifrata in un archivio dedicato, ma esistono metodi per estrarre le password in chiaro [3]. Su Windows, per esempio, le credenziali cifrate di Chrome si leggono in un file di database e poi una funzione del sistema le decifra con le credenziali di sessione in cache della vittima [3]. Malware noti, come Agent Tesla, raccolgono le credenziali di più browser [3]. La CNIL aggiunge di non salvare mai le password nel browser di un computer condiviso [1]. ### Anche un gestore aziendale può essere attaccato? Sì. Lo dice l'NCSC: un gestore può avere falle e attira gli attaccanti perché un attacco riuscito dà accesso a tutte le password archiviate [2]. L'NCSC ritiene comunque che i benefici superino i rischi [2]. La password principale e il secondo fattore proteggono questo accesso unico. ### Che cosa fare se un dispositivo viene perso o rubato? Segnalarlo subito al team sicurezza. La procedura da seguire è quella indicata da Brain. ## Come funziona La cassaforte è cifrata. Secondo l'NCSC, la chiave di decifratura è in genere derivata dalla password principale e non dovrebbe essere accessibile a nessun altro, nemmeno al fornitore del servizio per i gestori sincronizzati nel cloud [2]. La CNIL descrive lo stesso principio: un database cifrato da un'unica password «principale», che permette di ricordarne una sola e di avere tutte le altre molto lunghe e diverse [1]. L'NCSC cita altre funzioni utili: - il riempimento automatico, che propone le credenziali solo al sito per cui sono state salvate e che può aiutare contro il phishing, perché un gestore riconosce i siti falsi meglio di una persona [2]; - la generazione di password casuali, lunghe e uniche [2]; - la verifica della qualità delle password, che segnala per esempio una password riutilizzata [2]. Per l'azienda, la centralizzazione aggiunge la condivisione delle password con registro degli accessi e controllo da parte di una persona autorizzata [2]. L'NCSC non raccomanda la condivisione tra singole persone, ma ammette che alcune organizzazioni non possano ancora farne a meno; un gestore aziendale riduce allora i rischi [2]. Gli amministratori non dovrebbero poter vedere né usare le password individuali, al di fuori di un gruppo di condivisione, e il loro accesso dovrebbe essere sottoposto ad audit [2]. ## Che cosa fa Lei - Usi lo strumento fornito da Brain per tutte le password di lavoro. L'NCSC raccomanda alle organizzazioni di fornire un mezzo di archiviazione adeguato e raccomanda i gestori di password dove opportuno [5]. - Attivi il secondo fattore sul gestore. In questo modo un attaccante deve conoscere la password principale e possedere anche il secondo fattore [2]. Anche la CNIL raccomanda l'autenticazione a due fattori quando il servizio la offre [1]. - Non salvi nel browser alcuna password di lavoro. - Lasci che sia lo strumento a generare le password. La CISA consiglia password lunghe (almeno 16 caratteri), casuali e uniche per ogni account [4]. - Per la password principale scelga una frase d'accesso: la CISA propone una sequenza di 4-7 parole senza legame tra loro [4]. - Segnali ogni perdita di un dispositivo. ## Le insidie ### Una password principale debole Tutta la cassaforte dipende da lei. L'NCSC avverte che, se l'utente la dimentica, perde l'accesso a tutte le password salvate e che un metodo di recupero può essere sfruttato per accedere alle credenziali [2]. Scelga quindi una frase lunga, ricordata a memoria e mai annotata in un file o su un post-it. La CNIL include post-it, file di testo, smartphone e messaggistica tra i supporti non pensati per conservare password [1]. ### La sincronizzazione con un account personale Alcuni gestori aziendali offrono una cassaforte personale per gli account privati. L'NCSC chiede allora una buona separazione: le password di lavoro non devono essere accessibili dalla cassaforte personale, e viceversa [2]. Osserva che, se l'azienda consente dispositivi personali o account personali al lavoro, l'utente non sempre vede quale cassaforte sta usando [2]. Prima di attivare una sincronizzazione, verifichi quindi che non mescoli le due. ### L'esportazione in chiaro Alcuni gestori esportano tutte le password in un file di testo. Una volta esportato, da un utente legittimo o da un attaccante, il file non è più protetto [2]. Esporti la cassaforte solo se la regola aziendale lo consente e tratti il file come indica tale regola. ### Il phishing che imita una pagina di accesso Qui il riempimento automatico aiuta: il gestore propone le credenziali solo sul sito registrato [2]. Se lo strumento non propone nulla su una pagina di accesso che dovrebbe essere nota, è un segnale d'allarme. Non ricopi la password a mano su una pagina sospetta. ### La cassaforte come bersaglio L'NCSC ricorda che i gestori, come qualsiasi software di sicurezza, non sono infallibili e sono un bersaglio attraente [5]. Chiede l'autenticazione a più fattori su tutti i gestori sincronizzati nel cloud e per gli account con privilegi [2]. ## Per approfondire La revisione 800-63-3 del NIST, sostituita dal 1° agosto 2025, raccomandava che i servizi consentissero l'incolla nei campi password [6]. La CNIL descrive il gestore come un database di password cifrato da un'unica password «principale» la cui sicurezza ha potuto essere verificata [1]. ## Fonti 1. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 gennaio 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultato il 3 novembre 2026) 2. NCSC (Royaume-Uni), «Password manager buyers guide», 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®», 12 febbraio 2020. https://attack.mitre.org/techniques/T1555/003/ (consultato il 3 novembre 2026) 4. CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Password policy: updating your approach», 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (consultato il 3 novembre 2026) 6. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.