In sintesi
- La maggior parte degli incidenti su Microsoft 365 parte da un account compromesso: l'autenticazione a più fattori è la prima difesa.
- Molte protezioni sono già disponibili nelle licenze aziendali, ma vanno attivate e configurate.
- Microsoft protegge l'infrastruttura; la configurazione, gli accessi e i dati restano responsabilità dell'azienda.
- Microsoft Secure Score indica il livello di sicurezza del tenant e le azioni consigliate.
Microsoft 365 è il cuore del lavoro di molte aziende: posta, documenti, Teams. Per questo è anche uno dei principali bersagli degli attacchi. Le otto impostazioni che seguono sono quelle che ALAconnect controlla per prime quando prende in gestione un tenant.
1. Autenticazione a più fattori per tutti
L'MFA va attivata per tutti gli utenti, non solo per gli amministratori. Si può usare la configurazione di base di Microsoft (impostazioni predefinite per la sicurezza) oppure, con le licenze che la includono, l'accesso condizionale, che permette regole più precise. Da verificare: esistono account, anche condivisi o di servizio, che accedono senza secondo fattore?
2. Account amministrativi separati e ridotti al minimo
Chi amministra il tenant dovrebbe usare un account dedicato, diverso da quello con cui legge la posta, protetto da MFA e con i soli privilegi necessari. Gli amministratori globali dovrebbero essere pochissimi. Da verificare: quanti utenti hanno ruoli amministrativi, e servono davvero tutti?
3. Protocolli di accesso obsoleti bloccati
I vecchi metodi di autenticazione, che non supportano l'MFA, sono una porta d'ingresso classica per gli attacchi alle password. Microsoft ha disattivato l'autenticazione di base per Exchange Online, ma conviene verificare che nessuna applicazione o dispositivo usi ancora protocolli legacy e bloccarli con l'accesso condizionale dove disponibile.
4. Inoltro automatico verso l'esterno bloccato
Dopo aver violato una casella, gli attaccanti creano spesso una regola che inoltra la posta a un indirizzo esterno, per leggerla anche dopo il cambio della password. Bloccare l'inoltro automatico verso domini esterni, salvo eccezioni approvate, chiude questa via. Da verificare: ci sono regole di inoltro esterno attive nelle caselle?
5. Protezione da phishing e allegati pericolosi
Oltre al filtro antispam di base, Microsoft Defender per Office 365, incluso in alcune licenze come Microsoft 365 Business Premium, controlla link e allegati al momento del clic e riconosce i tentativi di impersonare colleghi o fornitori. Va attivato con criteri adeguati, non lasciato alle impostazioni minime.
6. SPF, DKIM e DMARC sul dominio
Questi tre record DNS dicono ai server di posta del mondo quali messaggi sono davvero inviati dall'azienda. Senza DMARC chiunque può inviare email apparentemente provenienti dal vostro dominio a clienti e fornitori, per esempio per chiedere un pagamento su un IBAN diverso.
7. Condivisione esterna di file sotto controllo
SharePoint e OneDrive permettono di condividere documenti con chiunque. Conviene limitare i link "chiunque abbia il link", impostare scadenze per i link esterni e consentire la condivisione solo con utenti autenticati o con domini approvati, soprattutto per i dati sensibili.
8. Log di controllo, Secure Score e backup
Il registro di controllo permette di ricostruire cosa è successo in caso di incidente e va mantenuto attivo. Microsoft Secure Score assegna un punteggio alla configurazione e suggerisce le azioni più utili. Infine, la conservazione dei dati in Microsoft 365 non sostituisce un backup: un backup dedicato consente di ripristinare caselle, file e siti anche dopo cancellazioni o attacchi ransomware.
Da dove partire
Se i primi tre punti non sono a posto, sono la priorità: MFA, account amministrativi separati e blocco dei protocolli obsoleti riducono drasticamente il rischio di furto degli account. Gli altri punti completano la protezione di posta, file e dati. Per un quadro generale vedi anche la checklist cybersecurity per PMI.
Come lavora ALAconnect
ALAconnect configura e gestisce tenant Microsoft 365 per aziende e studi professionali: verifica delle impostazioni di sicurezza, MFA e accesso condizionale, protezione della posta, record DNS, condivisione dei file e backup dedicato. Scopri il servizio Microsoft 365 e cloud oppure richiedi una verifica del tuo tenant.