Se stai abilitando MFA "perche si deve", rischi due errori tipici:
- regole troppo permissive (che non proteggono davvero)
- regole troppo aggressive (che bloccano persone e processi)
Baseline consigliata
- MFA obbligatoria per tutti gli account umani (no eccezioni permanenti).
- Account di emergenza (break-glass) separati, protetti e monitorati.
- Accesso condizionale per limitare l accesso da paesi non necessari e per richiedere MFA in scenari ad alto rischio.
- Rollout a gruppi: prima IT, poi key users, poi tutti.
Cosa misurare
- tentativi di accesso bloccati
- utenti impattati da policy
- eccezioni richieste (e perche)
Se vuoi farlo bene: prima assessment del tenant, poi policy a step con monitoraggio.