La MFA va attivata prima sugli account che possono fare più danni: posta, amministratori, servizi cloud, VPN, pannelli DNS, backup e strumenti di fatturazione. Non serve partire da tutto: serve partire dai punti giusti. Il rischio più comune è trattare la MFA come un fastidio uniforme. In realtà è una misura da graduare: obbligatoria sugli account critici, pianificata sugli altri, accompagnata da procedure di recupero. Funziona meglio se è sostenuta da un password manager e da una buona documentazione tecnica, soprattutto per evitare blocchi quando un telefono viene perso o un collaboratore cambia ruolo. Per valutare un metodo resistente al phishing, prosegui con la guida pratica alle passkey e con il confronto tra passkey, password e MFA. Prima di cambiare configurazione prepara anche il recupero degli account in caso di perdita del telefono.