Sicurezza Microsoft 365 in azienda: le impostazioni che fanno la differenza

La sicurezza Microsoft 365 dipende soprattutto da come l'azienda configura il proprio ambiente: Microsoft protegge l'infrastruttura, ma account, impostazioni e dati sono responsabilità di chi li usa. Le misure che fanno la differenza sono poche e chiare: autenticazione a più fattori per tutti, accessi condizionali, account amministrativi separati, protezione della posta, regole sulle condivisioni e un backup indipendente dei dati.

Microsoft 365 è diventato il luogo in cui molte aziende tengono quasi tutto: posta, documenti, calendari, chat, riunioni. Per la stessa ragione è uno dei bersagli preferiti di chi prova a entrare nei sistemi aziendali. Vediamo le impostazioni da controllare, in ordine di priorità.

Perché la sicurezza Microsoft 365 non è automatica?

La sicurezza Microsoft 365 non è automatica perché la piattaforma segue un modello di responsabilità condivisa: Microsoft garantisce data center, rete e disponibilità del servizio, mentre la configurazione del tenant, la gestione degli account e la protezione dei dati spettano all'azienda. Molti strumenti di protezione esistono già, ma non tutti sono attivi o configurati in modo adeguato per impostazione predefinita.

Le conseguenze di un account compromesso sono concrete: accesso alla corrispondenza con clienti e fornitori, ai file condivisi e alla possibilità di inviare email credibili a nome dell'azienda, che è la base di molte frodi sui pagamenti.

La buona notizia è che le misure più efficaci non richiedono investimenti importanti: in gran parte sono già comprese nelle licenze che l'azienda paga, e vanno soltanto attivate e configurate con criterio. Il lavoro vero sta nel farlo in modo coerente con il modo in cui le persone lavorano, senza bloccare attività legittime.

Come attivare l'autenticazione a più fattori in Microsoft 365?

L'autenticazione a più fattori va attivata per tutti gli utenti, tramite le impostazioni predefinite di sicurezza o, per un controllo più fine, con gli accessi condizionali. È la misura con il miglior rapporto fra impegno e risultato: una password rubata, indovinata o riutilizzata da un altro servizio non basta più per entrare.

Quale metodo scegliere

Non tutti i secondi fattori hanno la stessa solidità. In ordine di robustezza crescente:

1. SMS e chiamate vocali: meglio di niente, ma esposti a intercettazioni e furto del numero.
2. App di autenticazione con conferma del numero: l'utente digita nell'app il numero mostrato a schermo, il che riduce le approvazioni date per sbaglio.
3. Passkey e chiavi di sicurezza fisiche: resistenti al phishing, perché legate al sito autentico e non trasferibili a una pagina falsa.

Bloccare l'autenticazione legacy

I vecchi protocolli di accesso alla posta non supportano il secondo fattore e restano una porta laterale ancora sfruttata. Vanno bloccati, verificando prima che nessun dispositivo o applicazione in uso, come una stampante che invia scansioni via email, dipenda ancora da loro.

Cosa sono gli accessi condizionali e quando servono?

Gli accessi condizionali sono regole che decidono chi può accedere ai dati aziendali, da dove e con quali dispositivi. Sono disponibili con le licenze che includono Microsoft Entra ID P1, come Microsoft 365 Business Premium, e servono quando le impostazioni predefinite non bastano più. Alcune regole tipiche:

• richiedere il secondo fattore per tutti gli accessi, o almeno per quelli dall'esterno della rete aziendale;
• bloccare gli accessi dai paesi in cui l'azienda non opera;
• consentire l'accesso ai dati aziendali solo da dispositivi gestiti e conformi alle regole di sicurezza;
• chiedere una verifica più forte per le operazioni amministrative e per gli accessi considerati a rischio.

Sono regole potenti, e proprio per questo vanno progettate con cura, provate in modalità di sola segnalazione e applicate gradualmente, per non lasciare fuori le persone sbagliate o, peggio, dentro quelle sbagliate.

Come proteggere gli account amministrativi e le password?

Gli account amministrativi si proteggono tenendoli pochi, separati e con l'autenticazione più robusta disponibile. Gli amministratori globali dovrebbero usare account dedicati, distinti da quelli con cui leggono la posta ogni giorno, e ricevere solo i privilegi che servono davvero. È utile anche un account di emergenza, custodito con attenzione, per riprendere il controllo se una regola di accesso dovesse bloccare tutti.

Per le password degli utenti, oltre al secondo fattore, conta l'abitudine di non riutilizzarle fra servizi diversi. Un password manager aziendale permette di avere credenziali uniche e complesse senza doverle ricordare, e di condividere in modo controllato quelle di reparto.

Quali impostazioni proteggono posta, file e dispositivi?

La posta, le condivisioni e i dispositivi si proteggono con poche impostazioni mirate, che riducono sia il rischio di compromissione sia i danni se qualcosa va storto.

Posta elettronica

• Inoltro automatico verso l'esterno bloccato: è una delle prime cose che un attaccante configura su una casella compromessa, per continuare a leggere la posta anche dopo il cambio della password.
• SPF, DKIM e DMARC configurati sul dominio, per rendere più difficile a terzi l'invio di email che sembrano provenire dalla tua azienda.
• Criteri antiphishing e analisi di link e allegati, con le funzioni di Microsoft Defender per Office 365 dove la licenza lo consente.
• Un'indicazione visibile sui messaggi esterni, che aiuta le persone a riconoscere le imitazioni.

Condivisioni e dispositivi

SharePoint e OneDrive rendono facilissimo condividere file, anche troppo. Conviene limitare i link accessibili a chiunque, impostare una scadenza per le condivisioni esterne e rivedere periodicamente chi ha accesso a cosa. Sui dispositivi, una gestione centralizzata permette di applicare cifratura, aggiornamenti e blocco schermo, e di cancellare i dati aziendali da un portatile o da uno smartphone smarrito.

Le persone

Le impostazioni tecniche funzionano meglio quando chi usa la posta sa riconoscere un tentativo di phishing e sa a chi segnalarlo. Una formazione sulla cybersecurity breve e concreta, con esempi realistici, completa la protezione.

Serve un backup di Microsoft 365?

Sì, serve un backup indipendente di Microsoft 365, perché cestini e funzioni di conservazione hanno limiti di tempo e di ambito e non sono pensati per ogni scenario di recupero. È l'equivoco più diffuso: «i dati sono nel cloud di Microsoft, quindi sono al sicuro». Alcuni casi in cui solo un backup permette di recuperare:

• una cancellazione scoperta dopo settimane;
• la casella di un collaboratore che ha lasciato l'azienda, rimossa insieme alla licenza;
• file cifrati da un ransomware su un computer e sincronizzati su OneDrive o SharePoint;
• un errore di configurazione o un'azione dannosa da parte di un account compromesso.

Un backup di posta, OneDrive, SharePoint e Teams, con tempi di conservazione decisi dall'azienda e ripristini provati, fa parte di un piano di backup e disaster recovery completo.

I controlli da fare nel tempo

Le impostazioni di sicurezza non si configurano una volta per tutte: utenti, licenze e funzioni cambiano, e con loro i rischi. Alcuni controlli da inserire in una revisione periodica:

• verificare che il registro di controllo sia attivo e che gli avvisi sugli accessi sospetti arrivino a qualcuno che li legge;
• rivedere l'elenco degli amministratori e degli account non più usati, disattivando quelli di chi ha lasciato l'azienda;
• controllare le applicazioni di terze parti autorizzate ad accedere ai dati del tenant;
• esaminare le condivisioni esterne ancora attive su SharePoint e OneDrive;
• consultare il punteggio di sicurezza di Microsoft per individuare le raccomandazioni ancora aperte.

Un tenant configurato con criterio all'inizio e seguito con costanza richiede molto meno lavoro, negli anni, di uno da rimettere in ordine dopo un incidente.

Per una verifica approfondita della sicurezza del tuo ambiente cloud puoi contare anche su Cybernix, la divisione cybersecurity di VAY.

Se vuoi sapere come è configurato oggi il Microsoft 365 della tua azienda e quali impostazioni conviene sistemare per prime, contattaci per una revisione insieme.

Domande frequenti

Microsoft 365 fa il backup dei miei dati?

Microsoft garantisce la disponibilità del servizio e offre cestini e funzioni di conservazione, ma con limiti di tempo e di ambito. Per recuperare dati cancellati da tempo, account rimossi o file cifrati da un ransomware serve un backup indipendente, gestito con regole decise dall'azienda.

Cosa sono le impostazioni predefinite di sicurezza di Microsoft 365?

Sono un insieme di protezioni di base che Microsoft mette a disposizione senza costi aggiuntivi: chiedono l'autenticazione a più fattori, bloccano i protocolli di accesso legacy e proteggono le operazioni amministrative. Sono un buon punto di partenza per le realtà più piccole, ma non permettono regole personalizzate.

Quale licenza serve per gli accessi condizionali?

Gli accessi condizionali richiedono Microsoft Entra ID P1, incluso ad esempio in Microsoft 365 Business Premium e nei piani Enterprise E3 ed E5. Con queste licenze si possono definire regole basate su utente, posizione, dispositivo e tipo di applicazione.

Perché bloccare l'inoltro automatico delle email verso l'esterno?

Chi compromette una casella imposta spesso una regola che inoltra la posta a un indirizzo esterno, così da continuare a leggerla anche dopo il cambio della password. Bloccare l'inoltro automatico, salvo eccezioni autorizzate, chiude questa possibilità.

Gli SMS sono un secondo fattore sicuro?

Sono meglio di nessun secondo fattore, ma sono il metodo più debole perché esposti a intercettazioni e furti del numero. Sono preferibili l'app di autenticazione con conferma del numero, le passkey o le chiavi di sicurezza fisiche.