Sicurezza Microsoft 365 per PMI italiane

Risposta rapida: come mettere in sicurezza Microsoft 365 per la NIS2?

La sicurezza Microsoft 365 per una PMI italiana richiede un insieme minimo di controlli da attivare sul tenant: MFA obbligatoria su tutti gli account, Conditional Access con block legacy authentication, Defender for Office 365 Plan 1, Intune per la gestione dei dispositivi, Purview per la classificazione dei dati, backup separato di Exchange/SharePoint e formazione awareness del personale. Una PMI di 25-100 utenti raggiunge un livello di sicurezza adeguato con licenze Microsoft 365 Business Premium (circa 22 EUR/utente/mese) più 5-10 giornate consulenziali di hardening. Il riferimento normativo è la NIS 2, in vigore in Italia dal 18 ottobre 2024.

Perché una baseline di sicurezza M365 serve a tutte le PMI italiane

Le PMI italiane sono il bersaglio preferito del ransomware perché percepite come meno protette delle grandi aziende. Oltre il 60% degli attacchi gestiti dai SOC italiani nel 2025 ha coinvolto realtà sotto i 250 dipendenti. La buona notizia: Microsoft 365 contiene tutti i controlli necessari per fermare il 90% degli attacchi comuni, se configurato correttamente. La cattiva notizia: la configurazione di default è insufficiente.

La NIS 2, applicabile in Italia dal 18 ottobre 2024, ha esteso gli obblighi di sicurezza a un perimetro molto ampio di soggetti "importanti" e "essenziali", inclusa tutta la filiera. Molte PMI scoprono di esserci dentro proprio perché fornitrici di soggetti regolati. Le sanzioni sono personali per amministratori e dirigenti: fino a 10 milioni di euro o il 2% del fatturato globale.

Questa guida riassume i 12 controlli essenziali da attivare su Microsoft 365 per portare una PMI italiana a un livello di sicurezza adeguato e in compliance con la NIS 2. È basata sull'esperienza diretta di Nexsys come Microsoft Solution Partner che ha condotto oltre 50 progetti di hardening M365 su PMI venete e nazionali.

Licensing: cosa serve davvero per la baseline NIS 2

Il singolo piano che meglio bilancia costi e copertura per una PMI italiana è Microsoft 365 Business Premium. Vediamo perché, confrontandolo con le altre opzioni.

Raccomandazione Nexsys: Business Premium è il punto di partenza giusto per il 90% delle PMI italiane. Per esigenze specifiche (Defender for Endpoint P2, Defender for Identity) si aggiungono add-on selettivi senza saltare al piano E5, che resta giustificato solo per organizzazioni oltre 250 dipendenti o settori regolamentati (banking, healthcare, energy).

Controllo 1-3: Identità (MFA, Conditional Access, password-less)

MFA obbligatoria su tutti gli utenti

Microsoft ha introdotto i Security Defaults che attivano MFA automatica per i nuovi tenant, ma su tenant migrati o vecchi va verificata. Configurazione raccomandata 2026:

• MFA obbligatoria per il 100% degli utenti (zero eccezioni, nemmeno il CEO o l'amministratore di sistema)
• Disabilitare SMS come secondo fattore preferito (vulnerabile a SIM swap), privilegiare Microsoft Authenticator con number matching
• Definire metodi di backup (security key FIDO2 o secondo dispositivo)
• Audit mensile degli account senza MFA attiva o con metodi deboli

Conditional Access: il cuore della baseline

Conditional Access (Entra ID P1, incluso in Business Premium) è il singolo controllo più importante. Le policy minime da attivare:

• Block legacy authentication (POP, IMAP, SMTP AUTH, ActiveSync legacy) — questa singola policy ferma il 90% degli attacchi di password spray
• Require MFA for all users (con esclusione dei break-glass account)
• Require MFA for admins (policy separata con condizioni più stringenti)
• Require compliant or hybrid joined device per operazioni amministrative
• Block sign-in from high-risk locations o sign-in risk = high
• Session control: persistent browser sessions disabilitate sui dispositivi non-managed

Per il dettaglio operativo della configurazione, Microsoft mantiene la documentazione ufficiale su learn.microsoft.com/microsoft-365/business-premium. L'esperienza concreta su scenari PMI italiani è coperta dal Corso Microsoft 365 Administration di Nexsys, che dedica un modulo specifico a Conditional Access in ambienti M365 Business Premium.

Password-less per ruoli critici

Per i ruoli amministrativi e gli utenti high-value (CEO, CFO, IT manager, responsabili finanza), l'evoluzione 2026 è il password-less con security key FIDO2 o Windows Hello for Business. Riduce drasticamente il phishing-driven account takeover, che è oggi la prima causa di breach in M365.

Controllo 4-5: Email e collaboration (Defender for Office 365)

Defender for Office 365 Plan 1 è incluso in Business Premium e copre i tre vettori principali: phishing, malware via allegati, malware via link.

• Safe Attachments: detonation degli allegati in sandbox prima della consegna all'utente
• Safe Links: riscrittura degli URL e click-time verification (utile contro link che diventano malevoli dopo l'invio)
• Anti-phishing policy con impersonation protection sui domini interni e VIP (proteggere CEO e CFO contro CEO fraud)
• Quarantine notifications agli utenti (riduce il "il mio email è sparita" che intasa il helpdesk)
• Configurare Tenant Allow/Block List per false positive ricorrenti

Su Teams chat, SharePoint e OneDrive, abilitare Safe Attachments per la collaboration. È un check spesso dimenticato che lascia un buco enorme: oggi la maggior parte del phishing interno passa via Teams, non via email.

Per il dettaglio architetturale di Defender for Office 365 nel quadro più ampio della suite XDR Microsoft, vedi l'approfondimento dedicato di Nexsys su Microsoft 365 Defender come soluzione di sicurezza aziendale.

Controllo 6-7: Endpoint (Intune e device compliance)

Intune (incluso in Business Premium) gestisce i dispositivi aziendali Windows, macOS, iOS e Android. Configurazione baseline 2026:

• Compliance policy per Windows: BitLocker attivo, antivirus aggiornato, firmware patched, secure boot on, TPM 2.0
• Compliance policy per iOS/Android: passcode obbligatorio, jailbreak/root detection, OS minimo (iOS 16+, Android 12+)
• App protection policy (MAM) per BYOD: separazione dati aziendali/personali senza enrollment completo del dispositivo
• Endpoint security baseline (Microsoft preset) come template di partenza
• Autopilot per il provisioning automatico dei nuovi laptop senza pass-through IT
• BitLocker enforcement automatico con escrow delle chiavi in Entra ID

Le competenze tecniche per implementare Intune correttamente non sono banali. Per chi deve gestire l'ambiente internamente, il corso MD-102 Microsoft 365 Endpoint Administrator di Nexsys copre la configurazione operativa di Intune in scenari PMI italiane con laboratori pratici.

Controllo 8-9: Dati (Purview, sensitivity labels, DLP)

Purview (ex Microsoft Information Protection) consente di classificare i dati, applicare etichette di sensibilità e prevenire data leak. La baseline minima per una PMI:

• Definire 4 livelli di sensibilità: Pubblico, Interno, Confidenziale, Strettamente confidenziale
• Etichettatura automatica basata su pattern (codici fiscali, IBAN, partita IVA, dati sanitari ICD-10, numeri carte di credito)
• DLP policy che blocca la condivisione esterna di documenti etichettati Confidenziale o sopra
• DLP policy che impedisce l'invio di allegati con dati personali via Outlook esterno
• Audit log abilitato (Business Premium retention 90gg, E5 fino a 1 anno)

Per le PMI sotto i 50 utenti, partire da etichettatura manuale guidata + 2-3 DLP policy mirate. Andare oltre da subito porta spesso a configurazioni complesse che gli utenti aggirano (cosa che peggiora la situazione invece di migliorarla).

Controllo 10: Backup e disaster recovery

Punto critico spesso trascurato: Microsoft 365 NON è un sistema di backup. La retention nativa è limitata (30-180 giorni per Exchange, 93 giorni per SharePoint/OneDrive) e non protegge da ransomware con sovrascrittura né da cancellazioni malevole. Serve un backup di terze parti.

• Soluzioni mature 2026: Veeam Backup for Microsoft 365, Druva, AvePoint, Acronis Cyber Protect
• RPO target: 24 ore per dati operativi
• RTO target per ripristino mailbox singola: <4 ore
• Conservare le copie di backup in un tenant/storage separato (3-2-1-1-0 rule)
• Testare il ripristino almeno semestralmente, non solo "sperare che funzioni"
• Backup esplicito di Teams chat, OneDrive aziendale, SharePoint sites

Controllo 11: Logging, monitoring, incident response

Su Business Premium gli audit log sono attivi ma non aggregati centralmente. Baseline minima per una PMI:

• Verificare Unified Audit Log attivo (default ma vale la pena controllare)
• Configurare alert su Entra ID per: nuove user creation, role assignment, MFA disabled, mailbox forwarding rule esterne aggiunte
• Per PMI con budget security ridotto: Microsoft 365 Defender portal come SIEM lite
• Per esigenze più strutturate: integrazione con Microsoft Sentinel o SOC esterno
• Definire un Incident Response Plan formale con escalation e contatti chiave

Nexsys offre servizi di SOC As a Service e Incident Response dedicati a PMI senza un team security interno, con monitoraggio 24/7 e team di intervento entro 4 ore dalla rilevazione dell'incidente.

Controllo 12: Formazione del personale (l'anello più debole)

Oltre l'85% dei breach inizia con un errore umano: una mail di phishing aperta, una password riutilizzata, un MFA approvato per sbaglio. Tutti i controlli tecnici precedenti hanno efficacia limitata se il personale non è formato. La NIS 2 lo richiede esplicitamente all'articolo 21.

Nexsys offre due strumenti complementari per la formazione del personale: il Corso Cyber Security Awareness per Utenti Aziendali in modalità corporate dedicata (600 EUR per gruppo da 20 partecipanti, ovvero 30 EUR a persona) e la piattaforma Cyber Guru distribuita come partner ufficiale per il micro-learning continuativo con simulazioni phishing adattive. Le due soluzioni possono essere combinate in un modello blended.

Per una panoramica completa dei provider di awareness italiani, dei modelli (SaaS, corporate dedicato, blended) e dei criteri di scelta in base alla dimensione aziendale, vedi la guida dedicata Migliori provider di Cyber Security Awareness in Italia.

Checklist sintetica baseline 2026

I 12 controlli da attivare in ordine di priorità, con localizzazione esatta nel portale Microsoft:

Quanto costa implementare la baseline M365 per una PMI

Distinguere tre voci di costo:

• Licenze Microsoft 365 Business Premium: ~22 EUR/utente/mese. Per una PMI da 50 utenti = ~13.000 EUR/anno.
• Intervento consulenziale di hardening (una tantum): 5-10 giornate di lavoro per portare il tenant alla baseline. Costo indicativo: 4.000-9.000 EUR.
• Backup di terze parti: 3-5 EUR/utente/mese. Per 50 utenti = 1.800-3.000 EUR/anno.
• Formazione del personale (NIS 2 obbligatoria): corporate dedicato a 600 EUR per gruppo da 20 + Cyber Guru a 4-8 EUR/utente/mese. Per 50 utenti = 3.000-7.000 EUR/anno totale.

Totale primo anno per una PMI da 50 utenti: tra 22.000 e 32.000 EUR. Negli anni successivi (senza più l'hardening una tantum) il costo scende a circa 18.000-23.000 EUR/anno, ovvero 360-460 EUR per dipendente all'anno per stare in compliance NIS 2.

Per una stima personalizzata e modulare, Nexsys offre un assessment iniziale gratuito di 1 ora con identificazione dei gap principali del tenant.

I 5 errori più frequenti nelle PMI italiane

Su oltre 50 audit M365 condotti da Nexsys nelle PMI venete e nazionali, questi sono i pattern di errore più ricorrenti:

• Legacy authentication ancora attiva. Trovata in circa il 70% dei tenant migrati prima del 2023. Permette agli attaccanti di bypassare l'MFA usando protocolli legacy (POP/IMAP/SMTP AUTH).
• Nessun break-glass account. Quando un Conditional Access mal configurato blocca l'amministratore stesso, senza break-glass account il tenant resta inaccessibile.
• MFA non obbligatoria per gli amministratori. Paradossale ma frequente: l'MFA è attiva per gli utenti finali ma gli admin hanno esenzioni "temporanee" diventate permanenti.
• Backup esterno assente. Convinzione errata che Microsoft "faccia il backup". In caso di ransomware con sovrascrittura, recupero impossibile.
• Audit log mai consultato. L'audit log esiste ma nessuno lo legge mai. In caso di breach, è impossibile ricostruire cosa è successo se gli alert non sono stati configurati al momento giusto.

Domande frequenti

La baseline M365 copre i requisiti NIS 2?

Copre la parte tecnica delle "misure tecniche e organizzative" richieste dalla NIS 2 per soggetti importanti/essenziali, in particolare nei domini multi-factor authentication, gestione vulnerabilità, sicurezza supply chain digitale, business continuity. Va integrata con la parte governance (policy, procedure di incident response, gestione fornitori) e con la formazione del personale (vedi guida Migliori provider Cyber Security Awareness Italia).

Se ho già Microsoft 365 Business Standard, devo per forza passare a Business Premium?

Sì, se vuoi raggiungere la baseline. Business Standard non include Conditional Access, Intune e Defender for Office 365 P1, che sono i pilastri tecnici. Esistono add-on separati ma il prezzo combinato è quasi sempre superiore al Business Premium. Per il confronto dettagliato vedi Microsoft 365 Business Premium: la scelta ideale per aziende.

Posso configurare tutto in autonomia o serve consulenza esterna?

Tecnicamente sì, Microsoft documenta tutti i controlli su learn.microsoft.com. Operativamente la maggior parte delle PMI sbaglia almeno una di queste tre cose: lascia il legacy auth attivo, configura male i break-glass account, dimentica il backup esterno. Un assessment iniziale di 2-3 giornate evita errori che costano caro in caso di incidente. Nexsys offre un assessment M365 di 1 ora gratuito per identificare i gap principali.

Che competenze deve avere il mio team IT per gestire la baseline?

Servono competenze concrete su Entra ID, Conditional Access, Intune, Defender e Purview. La via più rapida è formare il personale interno con percorsi mirati: il Corso Microsoft 365 Administration di Nexsys copre l'amministrazione completa del tenant; per la parte sicurezza dedicata, il corso MD-102 Microsoft 365 Endpoint Administrator si concentra sui dispositivi e Intune. Per la figura di security manager, valutare anche una certificazione CEH (vedi guida CEH vs OSCP vs eJPT).

Quanto tempo serve per implementare la baseline?

In modalità progettuale strutturata: 2-3 settimane per analisi e design, 4-6 settimane per implementazione e roll-out graduale, 2 settimane di pilot utenti e fine-tuning. In totale 2-3 mesi calendario con un IT manager dedicato al 30% del tempo. Il fattore limitante non è quasi mai tecnico, è il change management con gli utenti finali.

Cosa cambia tra hardening fai-da-te e consulenza Nexsys?

Differenza principale: l'esperienza su casi reali italiani. Nexsys ha condotto oltre 50 progetti di hardening M365 su PMI venete e nazionali, e conosce i pattern di errore tipici, le configurazioni che funzionano davvero nel contesto italiano, gli aspetti di compliance NIS 2/GDPR/ISO 27001 più rilevanti. Vedi i servizi cybersecurity Nexsys per dettaglio dell'offerta consulenziale.

La baseline è valida anche per la NIS 2 nel settore PA?

Sì, ma con integrazioni. Le PA italiane hanno requisiti aggiuntivi su data sovereignty (preferenza per tenant EU-hosted), audit più stringenti, e devono integrarsi con AgID. Per le PA il Business Premium resta la base ma vanno aggiunti add-on di Purview avanzato e procedure di archiviazione legale.

Quante volte serve aggiornare la baseline?

Audit completo annuale. Microsoft aggiorna le funzionalità di sicurezza in M365 con cadenza settimanale e rilascia nuove feature anche più di una volta al mese. Una configurazione che era ottimale 18 mesi fa oggi è probabilmente sub-ottimale. Il SecureScore Microsoft (nel Defender portal) fornisce una metrica continua dello stato del tenant.

Come iniziare un progetto di hardening M365

Nexsys è Microsoft Solution Partner specializzato in cybersecurity e infrastruttura M365 per PMI italiane. Eseguiamo assessment di sicurezza, hardening guidato, gestione Intune/Entra ID, formazione del personale e servizi SOC continuativi. I nostri trainer sono certificati MCT con certificazioni operative MS-500, AZ-500, SC-300, e operano quotidianamente su progetti reali di clienti italiani.

Operiamo in modalità consulenza informatica strutturata con due modelli: per PMI senza IT interno svolgiamo il ruolo di IT manager esterno (vCIO/vIT Manager); per aziende con un referente IT lo affianchiamo come secondo livello specialistico su Microsoft, cloud, sicurezza e progetti complessi.

→ Servizi cybersecurity Nexsys  |  → Brand Microsoft Nexsys  |  → Consulenza informatica Verona

→ Formazione Microsoft  |  → Awareness aziendale  |  → Cyber Guru tramite Nexsys

→ Richiedi un assessment gratuito

Articoli correlati

• Microsoft 365 Business Premium: la scelta ideale per aziende — confronto dei piani M365 con focus sicurezza.
• Microsoft 365 Defender: sicurezza endpoint per le aziende — dettaglio della suite XDR Microsoft per la protezione integrata.
• Microsoft 365 Security: domande e risposte — FAQ tecniche raccolte da progetti reali Nexsys.
• Migliori provider Cyber Security Awareness Italia — la formazione del personale è il controllo n. 12 della baseline.
• Migliori corsi cybersecurity Italia 2026 — formazione tecnica per il team IT che deve gestire la baseline.
• CEH vs OSCP vs eJPT — quale certificazione per il responsabile security che deve presidiare M365.
• Quanto costa un penetration test in Italia — il pentest periodico verifica l'efficacia della baseline implementata.
• Costo corso ethical hacker in Italia — investimento formativo cybersecurity complessivo in una PMI tipica.