Configurare Microsoft 365 in modo sicuro non è un’attività una tantum. Utenti, ruoli, applicazioni, condivisioni, dispositivi e policy cambiano continuamente: per questo il tenant deve essere sottoposto a una verifica periodica basata su evidenze, non solo a un controllo occasionale delle impostazioni.

Questa guida descrive un metodo di self-check. Se cerchi invece una baseline tecnica di hardening, consulta sicurezza Microsoft 365 per PMI. Se vuoi una verifica professionale con gap analysis, priorità e remediation, il riferimento è il Microsoft 365 Security Assessment.

Prima regola: verifica ciò che è cambiato, non solo ciò che esiste

Per ogni controllo registra almeno quattro elementi: stato attuale, evidenza raccolta, owner e data della prossima verifica. Una checklist utile non dice soltanto “MFA attiva: sì/no”; deve permettere di capire chi è escluso, con quale metodo si autentica, quali eccezioni esistono e se la configurazione è ancora coerente con il rischio.

1. Identità e metodi di autenticazione

Verifica che tutti gli utenti abbiano una protezione MFA adeguata e che gli account privilegiati usino, dove possibile, metodi resistenti al phishing come passkey/FIDO2, Windows Hello for Business o autenticazione basata su certificati. Per gli ambienti che richiedono policy granulari, controlla Conditional Access; per tenant semplici senza Entra ID P1, Security Defaults rimane una baseline.

L’approfondimento sull’MFA resta nella pagina autenticazione multifattore: qui interessa solo verificare che il controllo sia applicato e documentato.

2. Account amministrativi e privilegi

Rivedi Global Administrator, Exchange Administrator, SharePoint Administrator e gli altri ruoli privilegiati. Cerca assegnazioni permanenti non necessarie, account amministrativi usati anche per posta e navigazione, credenziali condivise e assenza di account di emergenza. Microsoft raccomanda due emergency access account cloud-only per gli scenari di lockout.

3. Conditional Access, autenticazione legacy e device code

Controlla che le policy non contengano esclusioni dimenticate, gruppi di test diventati permanenti o applicazioni non coperte. Verifica il blocco dell’autenticazione legacy e valuta il device code flow: dal 1° luglio 2026 i nuovi tenant Entra lo bloccano come parte di Security Defaults, perché può essere abusato in campagne di phishing.

4. Applicazioni enterprise, consenso e credenziali applicative

Inventaria Enterprise Applications e App Registrations: proprietari, permessi, admin consent, certificati/segreti in scadenza e applicazioni non più utilizzate. Un tenant può essere compromesso senza rubare una password se un’applicazione dispone di autorizzazioni eccessive o di una credenziale dimenticata.

5. Protezione di Exchange Online e della posta

Controlla anti-phishing, anti-spoofing, Safe Links e Safe Attachments in base alle licenze disponibili. Microsoft raccomanda l’uso delle preset security policies Standard o Strict in Defender for Office 365, da adattare a utenti e scenari critici. Verifica inoltre regole di inoltro, mailbox privilegiate ed eccezioni ai filtri.

6. SharePoint, OneDrive e condivisione esterna

Rivedi il livello di external sharing a tenant e sito, i link “Anyone”, i guest non più necessari e i siti con informazioni sensibili. Per la governance dei link, mantieni il dettaglio operativo nella guida sulle best practice di condivisione in SharePoint Online.

7. Endpoint e accesso da dispositivi non gestiti

Verifica quanti accessi arrivano da dispositivi non conformi o non gestiti e quali applicazioni consentono comunque download o sincronizzazione. Se usi Intune e Conditional Access, controlla compliance, cifratura, stato EDR e policy di accesso; non limitarti al numero di dispositivi “registrati”.

8. Protezione e classificazione dei dati

Controlla dove risiedono i dati sensibili, quali utenti possono condividerli e se le policy di retention, sensitivity label o DLP realmente applicate sono coerenti con i flussi aziendali. Non trasformare questa verifica in una guida DLP: l’obiettivo è raccogliere evidenze e identificare gap da approfondire.

9. Audit, log e capacità di indagine

Verifica che il team sappia cercare eventi nel Microsoft Purview Audit e che la retention disponibile sia sufficiente per gli obiettivi di indagine. Audit Standard conserva oggi normalmente i record per 180 giorni per gli eventi generati dal 17 ottobre 2023 in poi; requisiti più lunghi dipendono da licenze e policy di retention.

10. Microsoft Secure Score: usalo come trend, non come obiettivo assoluto

Registra Secure Score e variazione rispetto alla revisione precedente. Il punteggio aggrega raccomandazioni su identità, app, dispositivi, Exchange, Defender e altri servizi, ma Microsoft chiarisce che non copre tutte le superfici di attacco. Usa quindi il trend per individuare regressioni e priorità, non per dichiarare il tenant “sicuro”.

11. Backup e capacità di ripristino

Verifica cosa è realmente recuperabile, con quale retention e con quali RPO/RTO. La sicurezza del tenant non coincide con la disponibilità dei servizi Microsoft: cancellazioni, errori, compromissioni e requisiti di retention richiedono una strategia di recovery verificata. Per l’approfondimento resta separata la guida sul backup di Microsoft 365.

12. Chiudi la verifica con eccezioni, owner e remediation

Ogni eccezione deve avere una motivazione, un responsabile e una scadenza. Le criticità non risolte vanno trasformate in remediation ordinate per impatto e urgenza. Se il self-check evidenzia gap diffusi o non è possibile attribuire un rischio alle configurazioni trovate, passa a un Security Assessment Microsoft 365.

Periodicità consigliata

Scarica la checklist, ma usala come processo

Per trasformare questi controlli in una verifica ripetibile puoi scaricare la Microsoft 365 Security Checklist. La checklist è il supporto operativo; la sicurezza deriva dalla qualità delle evidenze, dalla gestione delle eccezioni e dalla remediation.

Cosa troverai all’interno della checklist?

Questa guida gratuita copre 5 argomenti fondamentali utili per la gestione dei tuoi sistemi. Parliamo infatti di uno strumento semplice ma pratico in ambito:

• Identity, scopri come abilitare la strong authentication e i controlli chiave per analizzare i diritti di accesso.
• E-mail, ottieni un maggiore controllo sulle impostazioni di Exchange Online.
• Teams, configura Microsoft 365 per lavorare in sicurezza con i tuoi partner
• SharePoint, configura in sicurezza il tuo SharePoint Online
• Endpoint Manager, gestisci il tuo Endpoint (client e server) in modo sicuro attraverso il cloud

Come utilizzare la checklist?

Come usarla è molto facile e intuitivo, è sufficiente seguire tre semplici passaggi per migliorare la sicurezza informatica della tua infrastruttura:

1. Innanzitutto, bisogna scaricare la guida. La si può trovare nell’apposita pagina sul nostro sito. Clicca il tasto “Scarica la Checklist”, inserisci la tua e-mail e si avvierà in automatico il download del pdf contenente la guida.

2. Per ogni argomento citato sopra si trovano una serie di azioni: controlla se sono già state eseguite nella tua infrastruttura, altrimenti effettuale subito. Scarica la checklist di sicurezza.
3. La checklist è in formato .pdf editabile, quindi per tutte le azioni completate con successo spunta l’apposita casella e non dimenticarti di salvare il file.

FAQ 

Ogni quanto va verificata la sicurezza di Microsoft 365?

I controlli ad alto rischio come ruoli privilegiati, applicazioni e Secure Score possono essere riesaminati mensilmente; una revisione più ampia di Conditional Access, sharing, endpoint e audit è normalmente trimestrale e va ripetuta dopo cambiamenti importanti.

Microsoft Secure Score basta per verificare il tenant?

No. Secure Score è una baseline utile e un indicatore di trend, ma Microsoft specifica che non copre tutte le superfici di attacco. Va integrato con verifiche di identità, privilegi, app, dati, condivisioni, endpoint, log e recovery.

Security Defaults e Conditional Access sono la stessa cosa?

No. Security Defaults offre una baseline preconfigurata; Conditional Access richiede almeno Entra ID P1 e consente policy granulari. Microsoft indica Conditional Access come scelta più adatta per organizzazioni con requisiti complessi.

La checklist sostituisce un Microsoft 365 Security Assessment?

No. La checklist supporta un self-check. Un assessment professionale analizza configurazioni, eccezioni, rischio, dipendenze, priorità e remediation.

Audit Standard conserva i log per quanto tempo?

Per gli eventi generati dal 17 ottobre 2023 in poi, Audit Standard conserva normalmente i record per 180 giorni. Retention più lunghe e criteri personalizzati dipendono dalle licenze disponibili.