Audit di sicurezza Microsoft 365
Verifichiamo accessi, amministratori, posta, condivisioni e app collegate del tuo Microsoft 365 e ti consegniamo un rapporto con le priorità e un piano per sistemare.
- Analisi da remoto in sola lettura
- Accessi, amministratori, posta e condivisioni
- Rapporto con priorità e piano di intervento
- Utile anche come prova per NIS2 e clienti
- Per gli enti pubblici acquisto anche tramite MePA
In questa pagina 9 sezioni
In breve
- Controlliamo come è configurato il tuo Microsoft 365: accessi, amministratori, posta, condivisioni, app collegate.
- L’analisi si fa da remoto con un accesso in sola lettura: non tocchiamo nulla finché non decidi tu.
- Ricevi un rapporto con i problemi in ordine di gravità e un piano per sistemarli.
Un tenant Microsoft 365 nasce con impostazioni pensate per funzionare subito, non per essere il più sicuro possibile. Negli anni si aggiungono utenti, licenze, app di terze parti, condivisioni con l’esterno, regole di inoltro della posta. Nessuno ricorda più chi ha i permessi di amministratore e perché. L’audit serve a fotografare la situazione reale e a chiudere le porte rimaste aperte.
Quando conviene farlo
- Il tenant è stato configurato anni fa, magari da un fornitore che non c’è più.
- Non sai con certezza se tutti gli utenti usano l’autenticazione a più fattori.
- C’è stato un episodio sospetto: una casella che ha inviato email strane, un accesso dall’estero, un cliente che ha ricevuto una finta fattura a tuo nome.
- Un cliente, un’assicurazione o la NIS2 ti chiedono di dimostrare le misure di sicurezza adottate.
- Stai per passare a un piano diverso, ad esempio Business Premium, e vuoi capire cosa attivare.
Cosa controlliamo
| Area | Esempi di verifiche |
|---|---|
| Accessi e identità | Utenti senza autenticazione a più fattori, protocolli di accesso obsoleti ancora attivi, criteri di accesso condizionale, password che non scadono su account di servizio |
| Amministratori | Quanti account hanno privilegi elevati, se sono nominativi, se sono protetti meglio degli altri, account di emergenza |
| Posta | Regole che inoltrano la posta all’esterno, protezione antiphishing e antispam, record SPF, DKIM e DMARC del dominio |
| Condivisioni | File e cartelle di OneDrive e SharePoint condivisi con link pubblici, utenti ospiti ancora attivi |
| App e integrazioni | Applicazioni di terze parti a cui gli utenti hanno dato accesso ai dati |
| Registri e controllo | Registro di controllo attivo, avvisi di sicurezza, Microsoft Secure Score |
| Licenze e dati | Licenze assegnate a utenti non più presenti, caselle orfane, presenza di un backup |
Come lavoriamo
- Accesso in sola lettura Ci assegni un account con un ruolo di sola lettura, come il lettore globale: possiamo vedere le impostazioni senza modificarle.
- Raccolta e analisi Esaminiamo configurazione, utenti, posta, condivisioni e registri, e confrontiamo le impostazioni con le raccomandazioni di Microsoft.
- Rapporto Ti consegniamo un documento con ogni problema trovato, il rischio che comporta e cosa fare, in ordine di priorità. Scritto per chi decide, non solo per i tecnici.
- Incontro di restituzione Lo commentiamo insieme e separiamo gli interventi rapidi da quelli che richiedono una pianificazione, ad esempio perché toccano il lavoro quotidiano degli utenti.
- Correzioni, se vuoi Possiamo applicare noi le modifiche, oppure lasciarle al tuo fornitore attuale con le indicazioni del rapporto.
I problemi più comuni
- Autenticazione a più fattori attiva solo per alcuni utenti, spesso non per i titolari.
- Troppi amministratori globali, a volte account condivisi o di ex collaboratori.
- Vecchi protocolli di posta ancora attivi, che permettono di aggirare il secondo fattore.
- Regole di inoltro verso indirizzi esterni create da un attaccante dopo un furto di password e mai notate.
- Cartelle condivise con link pubblico rimaste attive per anni.
- Dominio senza DKIM e DMARC, quindi facile da falsificare nelle truffe verso i clienti.
- Nessun backup dei dati di Microsoft 365, nella convinzione che lo faccia Microsoft.
Su molti di questi punti trovi un approfondimento nel blog, ad esempio sull’autenticazione a più fattori e sul phishing.
Cosa ricevi
- Un rapporto scritto con lo stato attuale, i rischi e le azioni consigliate in ordine di priorità.
- Un elenco di interventi rapidi, che si possono applicare senza disagi per gli utenti.
- Un piano per gli interventi più impegnativi, con tempi e impatto sul lavoro.
- Un documento utile anche come prova delle verifiche svolte, per clienti, assicurazioni e obblighi come la NIS2.
Quanto costa
L’audit ha un prezzo fisso, definito prima di iniziare in base al numero di utenti e alla complessità del tenant. Le eventuali correzioni si preventivano a parte, dopo il rapporto, così sai esattamente cosa stai acquistando. Gli enti pubblici possono acquistare il servizio anche tramite il MePA, dove siamo abilitati.
Per chi è
Aziende, studi professionali ed enti pubblici in Basilicata, Puglia e Campania che usano Microsoft 365, con qualsiasi piano. L’audit si svolge da remoto; l’incontro di restituzione può essere in videochiamata o nella vostra sede.
Domande frequenti
L’audit può bloccare la posta o il lavoro degli utenti?
No. Lavoriamo con un accesso in sola lettura e non modifichiamo nulla durante l’analisi. Le correzioni si fanno solo dopo, se le approvi, e in modo pianificato.
Che accesso dobbiamo darvi?
Un account con un ruolo di sola lettura, come il lettore globale di Microsoft 365. Alla fine dell’audit l’account si può disattivare.
Serve avere Microsoft 365 Business Premium?
No, l’audit si fa con qualsiasi piano. Nel rapporto indichiamo anche se e per quali utenti un piano diverso porterebbe protezioni utili.
Abbiamo già un fornitore IT: possiamo fare solo l’audit?
Sì. Il rapporto è scritto in modo che il tuo fornitore possa applicare le correzioni. Possiamo anche confrontarci direttamente con lui.
Il rapporto serve per la NIS2?
Aiuta a documentare le verifiche su accessi, autenticazione e posta, che fanno parte delle misure richieste. Da solo non basta per l’adeguamento completo, che riguarda anche organizzazione, processi e altri sistemi.
Un ente pubblico può acquistarlo tramite MePA?
Sì, siamo abilitati sul Mercato Elettronico della Pubblica Amministrazione.
Vuoi sapere come è messo il tuo Microsoft 365? Il primo incontro per definire il perimetro dell’audit è gratuito.
