In sintesi: MSAT (Microsoft Security Assessment Tool) è un'applicazione Microsoft gratuita di autovalutazione del rischio basata su questionari: si risponde a domande su persone, processi e tecnologia e si ottiene un report con raccomandazioni. La versione 4.0 risale al 2008, funziona offline su sistemi Windows legacy e non si collega a Microsoft 365 né a Microsoft Entra ID. Per valutare la configurazione attuale di un tenant servono strumenti diversi.
Da dove viene MSAT
MSAT deriva dal Microsoft Security Risk Self-Assessment Tool (MSRSAT) del 2004 e dalla versione 2.0 del 2006. La versione 4.0 è stata pubblicata nell'ottobre 2008. Il Microsoft Download Center rende ancora disponibile il pacchetto, build 4.0.2.35. La data indicata sulla scheda (luglio 2024) riguarda la pagina del Download Center: requisiti e contenuti del software sono rimasti quelli di allora.
Cosa valuta: Business Risk Profile e Defense in Depth
Lo strumento si compone di due valutazioni. Business Risk Profile Assessment misura il profilo di rischio dell'organizzazione; Defense in Depth Assessment esamina i controlli di sicurezza a più livelli, tecnici, organizzativi e operativi. Secondo Microsoft, domande e raccomandazioni derivano da best practice diffuse, da standard come ISO 17799 e NIST 800.x e dalle indicazioni dell'allora Trustworthy Computing Group. Al termine si ottiene un report dettagliato con le aree da migliorare.
La scheda Microsoft prevede anche un confronto con aziende dello stesso settore e dimensione, previo caricamento anonimo dei risultati su un server MSAT. Non è possibile verificare che questo servizio sia ancora attivo.
Requisiti e limiti
I sistemi supportati indicati da Microsoft sono Windows 2000 Professional, Windows XP SP2, Windows Vista, Windows 7, Windows Server 2003 SP2 e Windows Server 2008, con .NET Framework 3.5, Internet Explorer 6.0 e SQL Server Compact 3.5. Non compaiono sistemi più recenti. Anche i riferimenti normativi sono datati: ISO 17799 è stato rinumerato ISO/IEC 27002 nel 2007 e da allora è stato aggiornato più volte. Chi vuole esplorare MSAT a scopo didattico o storico dovrebbe farlo in una macchina virtuale isolata.
Cosa MSAT non fa
MSAT non esegue scansioni e non legge configurazioni di server, endpoint o servizi cloud: il risultato dipende dalle risposte di chi compila il questionario. Il report non è una certificazione e non attesta la conformità a GDPR, NIS2 o ISO/IEC 27001.
Come si valuta oggi la sicurezza di Microsoft 365
Microsoft Secure Score
Nel portale Microsoft Defender, Secure Score è un indicatore numerico della postura di sicurezza basato su configurazioni, comportamento degli utenti e altre misure. Microsoft precisa che non è una misura assoluta della probabilità di subire una violazione né una garanzia. Diverse azioni raccomandate richiedono licenze specifiche e i punteggi si aggiornano con qualche ora di ritardo, fino a 24-48 ore.
Microsoft Entra recommendations
Microsoft Entra ID analizza ogni giorno la configurazione del tenant e la confronta con best practice di sicurezza: le raccomandazioni applicabili compaiono con un piano d'azione e le risorse coinvolte, e oggi includono quelle dell'Identity Secure Score. Alcune richiedono Microsoft Entra ID P2 o altre licenze.
ScubaGear (CISA)
ScubaGear è uno strumento open source dell'agenzia statunitense CISA che interroga le API di Microsoft 365, confronta la configurazione con le baseline SCuBA e produce report in HTML, JSON e CSV. I controlli disponibili dipendono dalle licenze del tenant: senza Microsoft Entra ID P2 o Defender for Office 365 alcuni requisiti delle baseline non possono essere soddisfatti.
A differenza di MSAT, questi strumenti leggono il tenant. Restituiscono però indicatori e scostamenti da una baseline, da interpretare alla luce di licenze, architettura e rischi specifici dell'azienda.
Risk assessment e trattamento del rischio, in breve
Nell'impostazione della ISO 31000 la valutazione del rischio comprende identificazione, analisi e ponderazione. Il trattamento, in sintesi, può evitare il rischio, ridurlo con controlli tecnici e organizzativi, condividerlo con terzi (per esempio con un'assicurazione o un fornitore) oppure accettarlo in modo consapevole. MSAT copre solo il primo passo: una fotografia autodichiarata.
Quando serve un assessment del tenant Microsoft 365
Se devi verificare come è configurato oggi il tuo tenant, dalle identità agli accessi condizionali, dalla posta ai dati e ai dispositivi, il riferimento è il Microsoft 365 Security Assessment di Nexsys. Perimetro, accessi in sola lettura e obiettivi si concordano prima dell'attività; al termine ricevi evidenze e priorità di intervento. Per l'infrastruttura on-premise il punto di partenza è il vulnerability assessment, per il dominio l'assessment e hardening di Active Directory.