Il hardening di Microsoft 365 consiste nel verificare e rafforzare le configurazioni del proprio ambiente: identità, accessi, privilegi e condivisione dei documenti. Non è un pulsante da attivare e non garantisce l’assenza di incidenti. Serve una configurazione coerente con utenti, dispositivi, licenze e attività dell’azienda.
Questa checklist aiuta a preparare una verifica. Non applicare regole agli account di produzione senza autorizzazione, test e un piano per mantenere l’accesso amministrativo.
1. Sapere cosa c’è nel tenant
Prima delle modifiche, raccogli utenti attivi, amministratori, account di servizio, applicazioni collegate e licenze disponibili. Verifica chi gestisce il dominio, chi autorizza i cambiamenti e quali attività non possono essere interrotte.
Per ciascun controllo annota situazione iniziale, problema, responsabile e verifica da eseguire. Questa documentazione evita di modificare una configurazione senza sapere quali processi dipendono da essa.
2. Verificare MFA e metodi di autenticazione
Controlla come viene richiesta l’autenticazione a più fattori e quali metodi sono registrati. Utenti non registrati, dispositivi persi e applicazioni incompatibili devono essere gestiti prima di cambiare le regole di accesso.
I Security Defaults offrono una protezione di base; le regole di Conditional Access permettono configurazioni più articolate e richiedono le licenze appropriate. La scelta va valutata nel tenant: non attivare o disattivare questi strumenti senza esaminare ciò che è già in uso. Consulta la documentazione Microsoft sui Security Defaults.
3. Ridurre i privilegi degli account amministrativi
Verifica chi dispone di ruoli amministrativi e perché. Assegna i permessi necessari alle attività effettive, distinguendo l’uso quotidiano dagli accessi di amministrazione. Gli account non più necessari e il passaggio di responsabilità quando cambia il personale devono avere un processo documentato.
Mantieni un percorso di accesso di emergenza verificato. Microsoft raccomanda due o più account dedicati, con protezioni, custodia e controlli specifici. Non considerarli semplicemente account senza MFA: segui le indicazioni Microsoft per gli account di emergenza.
4. Provare le nuove regole prima di imporle
Quando usi Conditional Access, valuta le regole in modalità report-only e controlla i risultati degli accessi prima dell’attivazione. La modalità di valutazione non applica i controlli della regola: serve a osservare il possibile impatto, non è una protezione già attiva.
Procedi con gruppi di test e verifica applicazioni, accessi degli amministratori e utenti coinvolti. Alcune regole hanno limitazioni o possono generare richieste aggiuntive anche durante la valutazione: leggi la guida Microsoft alla modalità report-only.
5. Controllare condivisione e accessi esterni
Esamina come vengono condivisi file e siti in OneDrive e SharePoint: chi può invitare ospiti, quali link vengono usati e chi mantiene l’accesso quando termina una collaborazione. La regola corretta deve proteggere i documenti senza bloccare il lavoro necessario con clienti e fornitori.
Definisci un responsabile per le verifiche periodiche e documenta le eccezioni. Ridurre una condivisione indiscriminatamente, senza coinvolgere chi usa quei file, può interrompere un’attività legittima.
6. Concordare controlli, registri e ripristino
Verifica quali registri e strumenti di controllo sono disponibili, chi li consulta e quali eventi richiedono un approfondimento. Disponibilità e conservazione dei log dipendono dalle funzionalità e dalle licenze effettive: vanno verificate, non presunte.
Documenta inoltre quali dati devono poter essere ripristinati e come verificare il recupero. La protezione degli accessi e il backup dei dati aziendali rispondono a problemi diversi e devono essere coordinati.
Una checklist da portare al confronto tecnico
- Elenco degli utenti, dei ruoli amministrativi e delle applicazioni collegate.
- Stato della MFA e processo per recuperare l’accesso.
- Regole esistenti, licenze disponibili e gruppi di test.
- Accessi esterni e responsabilità sui documenti condivisi.
- Registri disponibili e referenti per gli avvisi.
- Dati da proteggere e verifiche di ripristino previste.
Non serve promettere una configurazione completa in un tempo fisso: dimensioni e dipendenze del tenant cambiano da azienda ad azienda. Il risultato utile è un elenco di priorità, interventi autorizzati e controlli da mantenere.
Vuoi verificare il tuo ambiente Microsoft 365?
Leo’s Computer può valutare il contesto e definire le attività da svolgere. Parti dal servizio Microsoft 365 per aziende oppure dalla sicurezza informatica aziendale. Per organizzare il lavoro nel tempo, consulta i servizi IT gestiti.
Richiedi un confronto sul tuo ambiente: indica numero di utenti, strumenti in uso e problema da affrontare. Non inviare password o credenziali amministrative nel modulo.