Per la privacy italiana/GDPR non esiste più una regola fissa tipo “cambio password ogni 3 mesi” valida per tutti.

Oggi il principio corretto è: il titolare deve adottare misure tecniche e organizzative adeguate al rischio. Il Garante richiama l’art. 32 GDPR e chiarisce che non ci sono più obblighi generalizzati di “misure minime” uguali per tutti: la valutazione va fatta caso per caso.

Ogni quanto cambiare la password?

Regola pratica consigliata oggi

Per utenti normali/client aziendali:

non obbligare il cambio periodico ogni 30/60/90 giorni, salvo casi particolari.

Il cambio password va imposto quando:

1. c’è sospetto o certezza di compromissione;
2. un dipendente lascia l’azienda o cambia mansione;
3. una password è stata condivisa;
4. un account è stato usato da più persone;
5. c’è stato malware, phishing, accesso anomalo o data breach;
6. è una password iniziale/temporanea;
7. è una password debole o riutilizzata.

Questa impostazione è coerente anche con le linee guida moderne NIST: non richiedere cambi periodici arbitrari, ma forzare il cambio se ci sono evidenze di compromissione.

Quindi il cambio “ogni 90 giorni” è sbagliato?

Non è sempre sbagliato, ma oggi è considerato una pratica vecchia se applicata in modo automatico a tutti.

Il problema è che il cambio frequente porta spesso gli utenti a usare password prevedibili:

• Password01
• Password02
• Estate2026!
• Primavera2026!

Oppure a scriverle su fogli, post-it o file Excel.

Configurazione consigliata per un’azienda

Per un normale ambiente aziendale con PC Windows / dominio / Microsoft 365, noi impostiamo così:

Tipo account	Cambio periodico	Consiglio
Utenti normali	No, non forzato	Cambiare solo se compromessa o sospetta
Password temporanea	Sì	Cambio obbligatorio al primo accesso
Amministratori	Sì, più controllato	Meglio MFA + password lunghe + account separati
Account condivisi	Da evitare	Se inevitabili, rotazione documentata
Account di servizio	No cambio casuale	Password lunga, protetta, rotazione pianificata
Utenti esterni/clienti	No forzatura frequente	MFA e recupero password sicuro

Come devono essere le password

Impostazione consigliata:

• almeno 12 caratteri per utenti normali;
• meglio 14–16 caratteri per amministratori;
• evitare password già usate;
• bloccare password comuni o compromesse;
• non usare nome azienda, anno, stagione, nome utente;
• usare MFA dove possibile;
• preferire frasi lunghe, ad esempio:
  MioCaneCorreNelParco2026!

In sintesi: per il GDPR non serve dimostrare che cambi password ogni 90 giorni; serve dimostrare che hai adottato misure adeguate al rischio. Il cambio periodico può restare sensato per sistemi molto critici o dati particolarmente delicati, ma dovrebbe essere un’eccezione motivata, non una regola generale per tutti.