Sicurezza Microsoft 365: le impostazioni da attivare subito

Molte aziende attivano Microsoft 365, migrano la posta e iniziano a lavorare senza mai rivedere le impostazioni di sicurezza. Il risultato è un ambiente che funziona, ma che lascia aperte porte facili da sfruttare: account senza secondo fattore, condivisioni pubbliche dimenticate, filtri della posta lasciati ai valori di partenza. Ecco le impostazioni da controllare per prime.

Perché le impostazioni predefinite non bastano

Microsoft 365 offre molti strumenti di protezione, ma non tutti sono attivi o configurati in modo adatto alla tua azienda. Le impostazioni predefinite cercano un equilibrio tra sicurezza e comodità valido per tutti, e quindi non tengono conto di come lavorano davvero i tuoi collaboratori, di chi accede da fuori sede o di quali dati sono più sensibili.

Inoltre, nel tempo l'ambiente cambia: arrivano nuovi utenti, se ne vanno altri, si creano gruppi e cartelle condivise. Senza una revisione periodica, la configurazione iniziale perde efficacia.

Autenticazione a più fattori per tutti gli account

La misura più importante è l'autenticazione a più fattori (MFA). Con la sola password, chi ottiene le credenziali tramite phishing o un furto di dati può entrare nella casella di posta come se fosse il titolare dell'account.

Cosa fare:

• attivare l'MFA per tutti gli utenti, senza eccezioni "per comodità";
• dare priorità agli account amministrativi, che devono avere protezioni ancora più robuste;
• preferire app di autenticazione o chiavi di sicurezza rispetto agli SMS, quando possibile;
• disattivare i protocolli di autenticazione legacy, che non supportano l'MFA e possono aggirarla.

Gli account amministrativi andrebbero inoltre separati da quelli usati ogni giorno per posta e documenti: chi gestisce il tenant dovrebbe avere un account dedicato, da usare solo per le attività di amministrazione.

Accessi condizionali: chi entra, da dove e con cosa

Gli accessi condizionali permettono di definire regole che valutano il contesto di ogni accesso: l'utente, il dispositivo, la posizione, il livello di rischio. In base a queste informazioni, l'accesso viene consentito, bloccato o sottoposto a verifiche aggiuntive.

Alcuni esempi di regole comuni:

• richiedere l'MFA quando l'accesso arriva da fuori dalla rete aziendale;
• consentire l'accesso ai dati aziendali solo da dispositivi gestiti o conformi;
• bloccare gli accessi da paesi in cui l'azienda non opera;
• limitare le sessioni dai browser di computer non aziendali.

La disponibilità di queste funzioni dipende dal piano di licenza. Prima di attivarle conviene pianificare con attenzione, perché una regola scritta male può bloccare utenti legittimi, compresi gli amministratori.

Protezione della posta elettronica

La posta resta il principale canale di attacco: phishing, allegati malevoli, finte richieste di pagamento. In Microsoft 365 conviene verificare:

• i criteri anti-phishing e anti-spam, portandoli a un livello adeguato al rischio;
• l'analisi di allegati e link, se inclusa nella licenza;
• la configurazione di SPF, DKIM e DMARC sul dominio, per rendere più difficile l'uso del tuo nome nelle email contraffatte;
• le regole di inoltro automatico verso l'esterno, spesso usate dagli attaccanti per copiare la posta in silenzio;
• gli avvisi sugli accessi anomali alle caselle.

Nessun filtro è infallibile: alla tecnologia va affiancata la formazione dei collaboratori, perché sappiano riconoscere una richiesta sospetta e verificarla per un altro canale.

Permessi di condivisione in SharePoint, OneDrive e Teams

Microsoft 365 rende facilissimo condividere file, anche con l'esterno. È un vantaggio, ma senza regole chiare i documenti aziendali finiscono raggiungibili tramite link aperti a chiunque.

Le impostazioni da rivedere:

• limitare o disattivare i link accessibili senza accesso ("chiunque abbia il link");
• impostare una scadenza predefinita per i link condivisi con l'esterno;
• decidere chi può invitare utenti ospiti in Teams e SharePoint;
• verificare periodicamente cosa è condiviso fuori dall'azienda.

Per approfondire come strutturare i file e i permessi puoi leggere la nostra guida su SharePoint e OneDrive.

Checklist rapida

• ☐ MFA attiva su tutti gli account, amministratori compresi
• ☐ Autenticazione legacy disattivata
• ☐ Account amministrativi separati da quelli di uso quotidiano
• ☐ Regole di accesso condizionale pianificate e testate
• ☐ Criteri anti-phishing e analisi di allegati e link verificati
• ☐ SPF, DKIM e DMARC configurati
• ☐ Inoltri automatici verso l'esterno controllati
• ☐ Link di condivisione pubblici limitati e con scadenza
• ☐ Log di accesso e avvisi monitorati con regolarità
• ☐ Backup dei dati di Microsoft 365 valutato a parte

L'ultimo punto merita attenzione: Microsoft garantisce la disponibilità del servizio, ma la protezione dei dati da cancellazioni, errori o ransomware va valutata con una soluzione di backup dedicata.

Come può aiutarti Area GUI

Area GUI verifica la configurazione del tuo tenant Microsoft 365, attiva le protezioni adatte al tuo piano di licenza e le tiene sotto controllo nel tempo. Scopri il nostro servizio di posta e archiviazione o contattaci per una revisione delle impostazioni di sicurezza.