Proteggere Microsoft 365: partire dalle identità, non solo dalle email

Quando si parla di sicurezza di Microsoft 365, il primo pensiero va spesso alla posta: antispam, antiphishing, allegati pericolosi. Sono protezioni necessarie, ma intercettano solo una parte del rischio. In un ambiente cloud l'accesso a posta, file e applicazioni passa sempre da un'identità: un nome utente, le sue credenziali e i permessi che ha. Se quell'identità viene compromessa, chi la usa entra dalla porta principale.

MFA: il punto di partenza

L'autenticazione a più fattori (MFA) richiede, oltre alla password, una seconda prova: un'approvazione nell'app Microsoft Authenticator, un codice, una chiave di sicurezza. È la misura con il miglior rapporto tra impegno e protezione, e Microsoft la considera ormai un requisito di base.

Alcuni dettagli fanno la differenza:

• Tutti gli utenti, non solo alcuni. Gli account senza MFA sono quelli che un attaccante cerca per primi.
• Bloccare l'autenticazione legacy. I protocolli meno recenti, come IMAP o POP3 con autenticazione di base, non supportano l'MFA e possono essere usati per aggirarla.
• Scegliere metodi robusti. I metodi resistenti al phishing, come passkey e chiavi FIDO2, offrono una protezione maggiore dei codici inviati via SMS o chiamata.

Per gli amministratori la questione non è più facoltativa: Microsoft ha reso obbligatoria l'MFA per l'accesso al portale di Azure, all'interfaccia di amministrazione di Microsoft Entra e a quella di Intune a partire da ottobre 2024, e per l'interfaccia di amministrazione di Microsoft 365 a partire da febbraio 2025, con un'applicazione graduale.

Che cosa si può fare con ciascuna licenza

Le possibilità di controllo dipendono dalle licenze disponibili nel tenant.

Funzionalità	Che cosa permette	Licenza richiesta
Security defaults	Impostazioni predefinite non personalizzabili: registrazione MFA per tutti, MFA per gli amministratori, blocco dell'autenticazione legacy.	Nessuna: disponibili in tutti i tenant.
Conditional Access	Regole personalizzate su chi può accedere, a cosa, da dove, con quale dispositivo e con quali verifiche.	Microsoft Entra ID P1, incluso ad esempio in Microsoft 365 Business Premium.
Policy basate sul rischio	Reazioni automatiche ad accessi o utenti ritenuti a rischio (ID Protection).	Microsoft Entra ID P2.
Privileged Identity Management	Ruoli amministrativi attivati solo quando servono, per un tempo limitato e con approvazione.	Licenze di livello superiore (Microsoft Entra ID Governance).

Security defaults e Conditional Access sono alternativi: chi adotta il Conditional Access deve disattivare le impostazioni predefinite e sostituirle con policy equivalenti o più restrittive.

Account privilegiati

Un account con privilegi amministrativi compromesso vale molto più di un account utente. Alcune pratiche riducono il rischio in modo significativo:

• Account separati per l'amministrazione e per il lavoro quotidiano: la posta e la navigazione non si fanno con l'account amministratore.
• Ruoli minimi necessari. Pochi amministratori globali; per le altre attività esistono ruoli specifici (Exchange, SharePoint, utenti, helpdesk).
• Account di accesso di emergenza. Microsoft raccomanda almeno due account cloud-only, con un metodo di autenticazione resistente al phishing diverso da quello degli altri amministratori, esclusi dalle policy che potrebbero bloccarli e il cui utilizzo deve generare un avviso.
• Revisioni periodiche di chi ha quali ruoli, soprattutto dopo cambi di personale o di fornitori.

Conditional Access: regole, non solo MFA

Il Conditional Access valuta ogni accesso in base a segnali (utente, applicazione, posizione, stato del dispositivo, rischio) e decide se consentirlo, richiedere verifiche aggiuntive o bloccarlo. Alcune policy di uso comune:

• richiedere l'MFA a tutti gli utenti e una forma più robusta agli amministratori;
• bloccare i protocolli di autenticazione legacy;
• consentire l'accesso a determinate applicazioni solo da dispositivi gestiti e conformi;
• limitare gli accessi da paesi in cui l'azienda non opera.

Controllare nel tempo

Le configurazioni si degradano: arrivano nuovi utenti, si concedono eccezioni temporanee che restano, si collegano applicazioni di terze parti. Un minimo di controllo periodico comprende:

1. la lettura dei log di accesso, con attenzione agli accessi falliti ripetuti e a quelli da posizioni insolite;
2. la verifica degli utenti senza MFA e delle esclusioni dalle policy;
3. la revisione degli account inattivi e degli account ospite;
4. il controllo delle applicazioni a cui gli utenti hanno concesso accesso ai dati aziendali;
5. la verifica che gli account di emergenza funzionino e non vengano usati impropriamente.

La protezione della posta resta importante. Ma un'organizzazione che controlla bene chi accede, come e con quali privilegi ha già ridotto molto la superficie che un attaccante può sfruttare.