Microsoft 365 è il cuore del lavoro quotidiano di gran parte delle aziende italiane, e la sua superficie di sicurezza cresce a ogni rilascio: identità, posta, endpoint, dati. In questa pagina raccogliamo — aggiornate al 2026 — le domande che gli amministratori IT ci pongono più spesso durante i progetti e i corsi, con risposte rapide e operative.
Se invece cerchi un percorso completo di messa in sicurezza del tenant, parti dalla guida operativa alla sicurezza Microsoft 365 per le PMI con i 12 controlli baseline in ottica NIS 2, oppure richiedi un Microsoft 365 Security Assessment del tuo tenant.
Defender e protezione dalle minacce
Che differenza c'è tra Microsoft 365 Security e Microsoft Defender?
Microsoft 365 Security è l'insieme dei controlli di sicurezza inclusi nelle licenze Microsoft 365 (identità, posta, endpoint, dati). Microsoft Defender XDR è la piattaforma che li unifica: comprende Defender for Office 365 (posta e collaborazione), Defender for Endpoint (dispositivi), Defender for Identity e Defender for Cloud Apps, con portale unico su security.microsoft.com
Che fine ha fatto Office 365 ATP?
Office 365 ATP è stato rinominato Microsoft Defender for Office 365. Le funzionalità (Safe Links, Safe Attachments, anti-phishing avanzato) sono le stesse, estese nel tempo. Il Piano 1 è incluso in Microsoft 365 Business Premium; il Piano 2 aggiunge Attack Simulation Training, Threat Explorer e automazione della risposta ed è incluso in Microsoft 365 E5.
Ho un firewall di perimetro e le licenze Defender: servono entrambi?
Sì. Proteggono livelli diversi: il firewall controlla il traffico di rete on-premises, Defender protegge identità, posta, endpoint e app cloud, che il firewall non vede quando gli utenti lavorano fuori sede. La difesa in profondità prevede entrambi, integrati tramite l'invio dei log a un punto di raccolta comune. Sul disegno complessivo del perimetro cloud, vedi i nostri servizi di cloud security.
Identità e accessi: MFA, Conditional Access, Entra ID
Vogliamo attivare l'MFA ma alcuni utenti usano ancora l'autenticazione legacy: a cosa fare attenzione?
L'autenticazione legacy (basic auth) non supporta l'autenticazione a più fattori (MFA) ed è il canale preferito dagli attacchi password spray: Microsoft l'ha disattivata per Exchange Online, ma va verificata su client SMTP, scanner e applicazioni datate. Prima di forzare il blocco, individuate chi la usa con i log di accesso di Entra ID, aggiornate o sostituite quei client, poi applicate una policy di Conditional Access che la blocchi. Comunicate il piano agli utenti in anticipo, con istruzioni ed esempi delle schermate di registrazione MFA.
Posso applicare l'MFA solo su dispositivi mobili e web, escludendo i client desktop?
Sì. Con il Conditional Access di Microsoft Entra ID si costruiscono policy per piattaforma, posizione, rischio di accesso e stato del dispositivo: ad esempio MFA sempre da rete esterna e nessuna richiesta aggiuntiva da dispositivi aziendali conformi a Intune. È il modo corretto di modulare l'MFA senza esenzioni permanenti per utente.
Gli account Global Admin possono essere protetti con il Conditional Access?
Sì, ed è una priorità: policy dedicate ai ruoli amministrativi con MFA resistente al phishing (FIDO2/passkey), blocco dell'autenticazione legacy e, con licenza Entra ID P2, accesso just-in-time tramite Privileged Identity Management. Mantenete al massimo 2-4 Global Admin, più account di emergenza (break-glass) esclusi dalle policy e monitorati. La protezione degli account privilegiati rientra nei nostri servizi di identity security.
Un Global Admin può impedire a un altro Global Admin di cambiargli la password?
No: due Global Admin hanno gli stessi privilegi e non si limitano a vicenda. La soluzione non è tecnica ma organizzativa: ridurre il numero di Global Admin, assegnare ruoli meno privilegiati (Exchange Admin, User Admin, Security Admin) secondo il principio del privilegio minimo e usare PIM per elevazioni temporanee e approvate.
Secure Score
Perché il punteggio massimo del Microsoft Secure Score è diverso da tenant a tenant?
Il punteggio massimo dipende dalle licenze attive: ogni prodotto porta con sé azioni di miglioramento valutabili, quindi un tenant E5 ha più punti disponibili di un tenant Business Basic. Per questo il confronto corretto è la percentuale sul proprio massimo, non il valore assoluto. Il Secure Score si consulta su security.microsoft.com/securescore.
Meglio un Secure Score alto o basso?
Alto: indica che una quota maggiore dei controlli disponibili è configurata. Non è però una certificazione di sicurezza: misura la postura di configurazione del tenant, non l'esposizione reale. Va usato come backlog di remediation con priorità, insieme a un assessment che verifichi anche processi e scenari d'attacco.
Gestione dei dispositivi con Intune
Posso usare Intune per distribuire software sui desktop o è solo per i dispositivi mobili?
Microsoft Intune gestisce anche PC Windows e Mac: distribuzione di applicazioni Win32, configurazioni, baseline di sicurezza e compliance. Configuration Manager resta in uso in molte realtà on-premises e i due strumenti convivono in co-management, ma per i nuovi progetti la direzione è la gestione cloud-native con Intune e Windows Autopilot.
Con Entra ID posso controllare cosa può fare un utente sul PC locale?
Sì, sui dispositivi aggiunti a Microsoft Entra ID e gestiti con Intune: profili di configurazione e catalogo impostazioni sostituiscono le GPO per privilegi locali, restrizioni e policy di sicurezza, e con LAPS per Entra ID si gestiscono le password degli amministratori locali. Il controllo granulare in stile Active Directory oggi passa da lì.
Active Directory, password e backup
Serve ancora Active Directory on-premises?
Dipende dai carichi di lavoro: applicazioni legacy, file server e stampanti legati a Kerberos/NTLM richiedono ancora AD, in configurazione ibrida con Entra Connect. Le realtà nate sul cloud possono lavorare solo con Entra ID; per le PMI, Business Premium con Entra ID e Intune copre la maggior parte degli scenari senza AD DS. La direzione consigliata è ridurre progressivamente la dipendenza dall'AD locale, che resta il bersaglio principale degli attacchi ransomware: un assessment e hardening di Active Directory è il punto di partenza per gli ambienti ibridi.
Devo forzare il cambio periodico delle password?
No: le linee guida di Microsoft e del NIST sconsigliano la scadenza periodica obbligatoria, che spinge verso password deboli e prevedibili. Meglio password lunghe e uniche, MFA ovunque, blocco delle password compromesse con Entra ID Password Protection e percorsi passwordless (Windows Hello for Business, passkey). Il reset va forzato solo su sospetta compromissione.
Microsoft 365 include il backup dei dati?
Microsoft garantisce la disponibilità del servizio, non un backup applicativo completo: è il modello di responsabilità condivisa. La retention nativa (Cestino, versioning, criteri di conservazione Purview) copre molti casi, ma per requisiti di retention lunga, ripristini granulari o protezione da ransomware servono Microsoft 365 Backup o una soluzione di terze parti. Il backup può essere attivato anche solo per gli utenti che ne hanno davvero bisogno, con licenze per utente.
Licenze Microsoft 365 e sicurezza
Qual è la licenza minima per avere Defender for Office 365?
Defender for Office 365 Piano 1 è incluso in Microsoft 365 Business Premium ed è acquistabile come add-on sulla maggior parte delle SKU. Per una PMI, Business Premium è il punto di partenza consigliato: include anche Entra ID P1, Intune e Defender for Business allo stesso prezzo per utente.
Metà azienda ha E3 e metà Business Basic: come funziona la sicurezza?
Le funzionalità seguono la licenza assegnata al singolo utente: gli utenti Basic non sono coperti dalle protezioni avanzate degli utenti E3, creando un perimetro disomogeneo che gli attaccanti sfruttano. Le opzioni: uniformare la SKU, oppure aggiungere agli utenti Basic un add-on (Defender for Office 365, Entra ID P1/P2, EMS) sulle sole funzioni necessarie. Attenzione anche ai requisiti di compliance: la direttiva NIS 2 non distingue tra utenti di serie A e di serie B.
Hai una domanda che qui non c'è?
L'ecosistema Microsoft evolve ogni settimana e ogni tenant ha la sua storia. Se vuoi una fotografia oggettiva della postura del tuo ambiente, il Microsoft 365 Security Assessment analizza identità, posta, dispositivi e configurazioni e restituisce un piano di remediation con priorità. Se invece vuoi portare queste competenze nel tuo team, il corso Microsoft 365 Administration copre amministrazione e sicurezza del tenant con laboratori pratici.
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 045 2456669, oppure scrivici dalla pagina contatti.
