Microsoft 365 e Google Workspace: configurazione sicura per le PMI

Molte PMI italiane lavorano su Microsoft 365 o Google Workspace, ma le lasciano con le impostazioni predefinite, e questo è un rischio: le piattaforme sono sicure come infrastruttura, ma la configurazione resta a carico del cliente. Le dieci impostazioni che contano di più sono: autenticazione a più fattori per tutti, pochi amministratori protetti da chiavi di sicurezza, blocco dei protocolli di accesso obsoleti, protezione della posta (SPF, DKIM, DMARC, filtri), controllo delle condivisioni esterne, gestione dei dispositivi, log e avvisi attivi, backup indipendente, ruoli e uscite gestiti e revisione periodica. Qui trovi una guida pratica valida per entrambe le piattaforme, con i termini che cambiano da servizio a servizio.

Le denominazioni dei menu cambiano spesso: fai riferimento alla documentazione ufficiale del produttore per i percorsi aggiornati.

Il modello di responsabilità condivisa

Il fornitore cloud garantisce disponibilità, sicurezza fisica e dell'infrastruttura. L'azienda resta responsabile di identità, accessi, configurazioni, dati e utenti. Il fornitore non ti protegge da una password rubata, da una condivisione pubblica per errore, da un dipendente che cancella cartelle o da un ransomware che sincronizza file cifrati. Per questo le impostazioni e i controlli periodici sono parte della sicurezza dell'azienda.

Le dieci impostazioni essenziali

Account amministrativi

Gli amministratori sono il bersaglio più prezioso. Regole pratiche:

1. Due o tre amministratori al massimo, con account dedicati all'amministrazione, diversi da quelli usati per posta e navigazione.
2. Chiavi di sicurezza fisiche o passkey per gli amministratori, se possibile.
3. Un account di emergenza ("break glass") con password molto lunga conservata offline, escluso da alcune regole, monitorato e usato solo in caso di blocco.
4. Nessun amministratore condiviso tra persone o fornitori: i fornitori devono avere propri account o accessi delegati tracciati e a scadenza.
5. Revisione trimestrale dei ruoli assegnati.

Posta elettronica

La posta è il bersaglio privilegiato di phishing e truffe BEC (vedi la guida sul falso fornitore e finto dirigente). Controlla:

• SPF, DKIM e DMARC configurati sul dominio, con DMARC progressivamente portato a una policy restrittiva dopo un periodo di monitoraggio. Sbagliare la configurazione può bloccare email legittime: procedi per fasi e con report.
• Filtri per phishing, malware e impersonificazione di utenti e domini simili.
• Blocco o revisione dell'inoltro automatico verso indirizzi esterni.
• Avvisi quando vengono create nuove regole nelle caselle o accessi da paesi insoliti.
• Segnalazione semplice: un pulsante o un indirizzo per segnalare email sospette.

Condivisione di file e dati

Le condivisioni con "chiunque abbia il link" sono comode ma rischiose. Valuta:

1. condivisione esterna consentita solo a utenti o domini approvati, oppure con link a scadenza;
2. etichette di riservatezza o livelli di classificazione per i documenti più sensibili, dove disponibili;
3. revisione periodica delle condivisioni pubbliche e di chi ha accesso a cartelle sensibili (personale, contratti, bilanci);
4. regole di prevenzione della perdita di dati per bloccare l'invio di dati come codici fiscali o IBAN in massa, quando previste dal tuo piano di licenza;
5. cestino e versioni: verifica per quanto tempo sono conservati i file eliminati.

Dispositivi e accessi condizionali

Con le funzioni di gestione dei dispositivi puoi richiedere, per accedere ai dati aziendali, che il dispositivo abbia lo schermo bloccato, il disco cifrato, un sistema aggiornato, e poter cancellare i dati aziendali da un dispositivo smarrito. Le regole di accesso condizionale permettono di richiedere MFA più rigida in situazioni a rischio (accesso da paesi inattesi, dispositivi non gestiti) e di bloccare accessi da luoghi in cui l'azienda non opera. Le funzioni disponibili dipendono dal piano e dai livelli di licenza: verifica cosa include il tuo.

Registri, avvisi e conservazione

Senza log non puoi ricostruire cosa è accaduto. Verifica che:

• i registri di audit siano attivi e conservati per un periodo adeguato;
• ricevi avvisi su accessi sospetti, nuovi amministratori, regole di inoltro, condivisioni di massa;
• il tempo di conservazione sia coerente con le tue esigenze, tenendo conto delle norme sulla riservatezza e sul controllo dei lavoratori.

Ricorda che i log contengono dati personali di dipendenti: definisci finalità, accessi e tempi di conservazione, e valuta le garanzie dell'articolo 4 dello Statuto dei lavoratori quando i dati consentono un controllo a distanza dell'attività.

Backup indipendente

Le piattaforme offrono cestini e versioni, ma con tempi limitati e senza protezione contro tutti i casi (cancellazione di massa da un account compromesso, errori di amministrazione, ransomware che sincronizza file cifrati). Valuta un backup indipendente di posta, documenti e calendari, con credenziali separate e copia immutabile; vedi la guida sul backup aziendale. Verifica nei termini del servizio la conservazione dei dati dopo la cancellazione di un account.

Ingresso e uscita del personale

Integra la gestione degli account nei processi aziendali:

1. Ingresso: account personale con MFA registrata, formazione di base, dotazione dispositivi.
2. Cambio ruolo: revisione dei permessi, rimozione di quelli non più necessari.
3. Uscita: disattivazione entro un giorno, revoca delle sessioni, inoltro o archiviazione della posta secondo regole definite, trasferimento della proprietà dei documenti, recupero di dispositivi.

Non eliminare subito l'account: archivia dati e licenza secondo una procedura, per non perdere documenti necessari.

Controlli periodici: la routine trimestrale

1. Elenco amministratori e ruoli.
2. Utenti senza MFA o inattivi.
3. Condivisioni esterne e link pubblici.
4. Regole di inoltro e app collegate con permessi ampi.
5. Avvisi e accessi anomali dell'ultimo trimestre.
6. Stato dei backup e prova di ripristino di un campione.
7. Aggiornamento della checklist di sicurezza di base.

Errori frequenti

• Lasciare attive le impostazioni predefinite senza revisione.
• MFA solo per alcuni utenti, con eccezioni permanenti.
• Amministratore unico che usa lo stesso account per tutto.
• Link di condivisione pubblici mai revisionati.
• Nessuna procedura di uscita per chi lascia l'azienda.
• Credere che il cloud includa automaticamente un backup completo.

Domande frequenti

Microsoft 365 e Google Workspace sono sicuri per una PMI?

Come piattaforme offrono livelli di sicurezza elevati, ma la protezione effettiva dipende dalla configurazione e dall'uso. Con le impostazioni giuste sono una base solida.

Serve un piano di licenza più costoso per essere sicuri?

Alcune funzioni avanzate, come l'accesso condizionale e la gestione evoluta dei dispositivi, dipendono dal piano. Molte misure essenziali (MFA, SPF/DKIM/DMARC, limiti alle condivisioni) sono disponibili anche nei piani base: verifica nella documentazione ufficiale.

Chi è responsabile dei dati su un servizio cloud?

L'azienda, in qualità di titolare del trattamento, resta responsabile; il fornitore agisce di norma come responsabile del trattamento secondo l'accordo sul trattamento dei dati.

Ogni quanto devo controllare le impostazioni?

Una routine trimestrale e un controllo dopo ogni cambiamento importante sono un buon equilibrio per una PMI.

Fonti ufficiali

• Agenzia per la Cybersicurezza Nazionale — indicazioni sulla sicurezza dei servizi cloud.
• Garante per la protezione dei dati personali — responsabile del trattamento e controllo a distanza dei lavoratori.
• Microsoft Learn — documentazione ufficiale di Microsoft 365.
• Google Workspace Admin Help — documentazione ufficiale per gli amministratori di Google Workspace.