Per la privacy italiana/GDPR non esiste più una regola fissa tipo “cambio password ogni 3 mesi” valida per tutti.
Oggi il principio corretto è: il titolare deve adottare misure tecniche e organizzative adeguate al rischio. Il Garante richiama l’art. 32 GDPR e chiarisce che non ci sono più obblighi generalizzati di “misure minime” uguali per tutti: la valutazione va fatta caso per caso.
Ogni quanto cambiare la password?
Regola pratica consigliata oggi
Per utenti normali/client aziendali:
non obbligare il cambio periodico ogni 30/60/90 giorni, salvo casi particolari.
Il cambio password va imposto quando:
- c’è sospetto o certezza di compromissione;
- un dipendente lascia l’azienda o cambia mansione;
- una password è stata condivisa;
- un account è stato usato da più persone;
- c’è stato malware, phishing, accesso anomalo o data breach;
- è una password iniziale/temporanea;
- è una password debole o riutilizzata.
Questa impostazione è coerente anche con le linee guida moderne NIST: non richiedere cambi periodici arbitrari, ma forzare il cambio se ci sono evidenze di compromissione.
Quindi il cambio “ogni 90 giorni” è sbagliato?
Non è sempre sbagliato, ma oggi è considerato una pratica vecchia se applicata in modo automatico a tutti.
Il problema è che il cambio frequente porta spesso gli utenti a usare password prevedibili:
Password01Password02Estate2026!Primavera2026!
Oppure a scriverle su fogli, post-it o file Excel.
Configurazione consigliata per un’azienda
Per un normale ambiente aziendale con PC Windows / dominio / Microsoft 365, noi impostiamo così:
|
Tipo account |
Cambio periodico |
Consiglio |
|---|---|---|
|
Utenti normali |
No, non forzato |
Cambiare solo se compromessa o sospetta |
|
Password temporanea |
Sì |
Cambio obbligatorio al primo accesso |
|
Amministratori |
Sì, più controllato |
Meglio MFA + password lunghe + account separati |
|
Account condivisi |
Da evitare |
Se inevitabili, rotazione documentata |
|
Account di servizio |
No cambio casuale |
Password lunga, protetta, rotazione pianificata |
|
Utenti esterni/clienti |
No forzatura frequente |
MFA e recupero password sicuro |
Come devono essere le password
Impostazione consigliata:
- almeno 12 caratteri per utenti normali;
- meglio 14–16 caratteri per amministratori;
- evitare password già usate;
- bloccare password comuni o compromesse;
- non usare nome azienda, anno, stagione, nome utente;
- usare MFA dove possibile;
- preferire frasi lunghe, ad esempio:
MioCaneCorreNelParco2026!
In sintesi: per il GDPR non serve dimostrare che cambi password ogni 90 giorni; serve dimostrare che hai adottato misure adeguate al rischio. Il cambio periodico può restare sensato per sistemi molto critici o dati particolarmente delicati, ma dovrebbe essere un’eccezione motivata, non una regola generale per tutti.