Autenticazione a più fattori su Microsoft 365: come attivarla senza bloccare l’ufficio
Con il secondo fattore una password rubata non basta più. Le due strade in Microsoft 365 e come introdurle senza disagi.
In questo articolo 8 sezioni
In breve
- Con l’autenticazione a più fattori una password rubata non basta più per entrare nella posta aziendale.
- In Microsoft 365 si attiva con le impostazioni predefinite di sicurezza oppure con l’accesso condizionale, incluso in Business Premium.
- L’introduzione va preparata: comunicazione, un giorno di riferimento e un piano per chi perde il telefono.
La maggior parte degli accessi abusivi alle caselle di posta aziendali non richiede attacchi sofisticati. Basta una password indovinata, riutilizzata su un altro sito violato o inserita per errore in una pagina di phishing. Secondo Microsoft, l’autenticazione a più fattori blocca la quasi totalità di questi tentativi.
Il principio è semplice: oltre alla password serve una seconda prova, di solito una notifica da approvare sull’app Microsoft Authenticator. Chi ruba la password non ha il tuo telefono, e si ferma lì.
Perché tante aziende non l’hanno ancora attivata
Di solito per timore di creare disagi: utenti bloccati, telefonate all’assistenza, il titolare che non riesce a leggere la posta in viaggio. Sono timori comprensibili, e si superano con un minimo di preparazione. Il disagio di un’introduzione fatta bene dura una mattina. Quello di una casella violata, con clienti che ricevono finte fatture a tuo nome, dura settimane.
Le due strade in Microsoft 365
Impostazioni predefinite per la sicurezza
Sono gratuite e incluse in tutti i piani. Attivano la verifica in più passaggi per tutti gli utenti tramite l’app Authenticator e bloccano i vecchi protocolli di posta che non la supportano. Microsoft le attiva già sui tenant nuovi, ma sui tenant creati anni fa spesso sono spente.
Il limite è che valgono per tutti allo stesso modo, senza eccezioni né regole personalizzate.
Accesso condizionale
È incluso in Microsoft 365 Business Premium e nei piani superiori. Permette regole più fini: chiedere il secondo fattore solo fuori dalla rete aziendale, bloccare gli accessi da paesi in cui non operi, consentire la posta solo da dispositivi gestiti dall’azienda. È la scelta migliore se hai già Business Premium o se gestisci dati sensibili.
Come introdurla senza bloccare l’ufficio
- Verifica le eccezioni. Stampanti multifunzione che inviano scansioni via email, gestionali che leggono la posta, vecchi programmi: vanno censiti prima, perché alcuni usano protocolli che verranno bloccati.
- Proteggi gli account di emergenza. Tieni uno o due account amministrativi di riserva con credenziali conservate al sicuro, per non restare chiuso fuori in caso di errore di configurazione.
- Comunica con anticipo. Una mail chiara a tutti, con data, motivo e una guida di una pagina per installare l’app Authenticator.
- Scegli un giorno e accompagna le persone. La registrazione richiede pochi minuti a testa. Avere qualcuno disponibile quella mattina evita che i dubbi si trasformino in blocchi.
- Parti dagli amministratori. Gli account con più privilegi sono i più cercati: la protezione va attivata per prima su di loro.
Il caso del telefono perso: decidi prima chi può reimpostare il secondo fattore di un collega e come verifica la sua identità. Chi chiama dicendo “ho cambiato telefono, sbloccami” potrebbe essere proprio un truffatore.
Cosa evitare
- Gli SMS come unico secondo fattore: sono meglio di niente, ma sono il metodo più debole. L’app Authenticator con il numero da confermare è più sicura e altrettanto comoda.
- Le eccezioni permanenti “solo per il titolare”: sono proprio gli account più esposti.
- Approvare notifiche che non hai richiesto. Se arriva una richiesta di accesso mentre non stai entrando, la password è già nelle mani di qualcuno: va cambiata subito, e va avvisato chi gestisce l’IT.
Dopo l’attivazione
L’autenticazione a più fattori chiude la porta più usata, non tutte. Conviene completare il lavoro con il controllo delle regole di inoltro automatico della posta, dei permessi di condivisione su OneDrive e SharePoint e degli accessi delle app di terze parti. E ricordare che i dati di Microsoft 365 vanno inclusi nel piano di backup.
Se vuoi sapere come è configurato oggi il tuo tenant, possiamo fare una verifica completa degli accessi e della sicurezza. Trovi i dettagli nella pagina Microsoft 365.
