Oltre il 90% delle aziende italiane di medie dimensioni utilizza oggi Microsoft 365 o Google Workspace come piattaforma principale per email, documenti e collaborazione. Eppure, quando analizziamo i tenant dei nostri clienti, troviamo quasi sempre le stesse vulnerabilità: configurazioni di default lasciate invariate, protocolli legacy mai disabilitati, nessun sistema di alert su accessi anomali. Il cloud è straordinariamente potente, ma porta con sé superfici di attacco completamente diverse rispetto all'infrastruttura on-premise che molti conoscono bene.
Il problema non è il cloud in sé. Microsoft e Google investono miliardi in sicurezza delle proprie infrastrutture. Il problema è la configurazione del tenant, ovvero come l'azienda ha impostato il proprio ambiente. La responsabilità condivisa è il concetto chiave: il provider protegge l'infrastruttura sottostante, ma la configurazione sicura del tenant, la gestione degli accessi e la protezione dei dati sono responsabilità del cliente. Questa distinzione è fondamentale, e molte aziende non la hanno ancora interiorizzata.
Perché il cloud aziendale è diventato il bersaglio preferito degli attaccanti
I dati del 2025 sono inequivocabili: gli attacchi che prendono di mira le piattaforme cloud aziendali sono aumentati del 75% rispetto all'anno precedente, secondo i report di Microsoft e CrowdStrike. Le ragioni sono strutturali.
Prima di tutto, la concentrazione. In un singolo tenant Microsoft 365 di un'azienda da 50 dipendenti ci sono le email di tutti i collaboratori, i documenti su SharePoint, le chat su Teams, i calendari, le credenziali di accesso a decine di applicazioni connesse. Compromettere un account privilegiato significa potenzialmente accedere a tutto questo in un colpo solo. Per un attaccante, è un obiettivo ad altissimo rendimento rispetto all'effort richiesto.
Secondo, la superficie esposta. A differenza di un server on-premise raggiungibile solo dalla rete aziendale, il portale di accesso a Microsoft 365 e Google Workspace è accessibile da qualsiasi browser nel mondo. Questo è il punto di forza per la produttività; è anche la porta d'ingresso per gli attaccanti. Il credential stuffing (l'utilizzo di credenziali rubate da altre violazioni) funziona bene su queste piattaforme se non sono attivati controlli aggiuntivi come l'MFA.
Terzo, il Business Email Compromise (BEC) via cloud. Una volta compromesso un account email aziendale, l'attaccante può intercettare le comunicazioni, inserirsi nelle catene email con fornitori, modificare coordinate bancarie sulle fatture e dirottare pagamenti. Le perdite globali da BEC nel 2024 hanno superato i 2,9 miliardi di dollari solo negli USA (dati FBI IC3). In Italia, le PMI sono particolarmente esposte a causa di processi di verifica dei pagamenti spesso informali.
Infine, lo shadow IT: i dipendenti connettono al tenant aziendale decine di applicazioni di terze parti (plugin, strumenti di produttività, servizi di automazione) spesso senza che l'IT ne sia a conoscenza. Ogni app connessa tramite OAuth è un potenziale vettore di accesso se non viene verificata e monitorata.
Le 6 configurazioni critiche che devi verificare oggi su Microsoft 365
Quando effettuiamo una cloud security review su un tenant Microsoft 365, questi sono i primi sei punti che verifichiamo sistematicamente. Sono anche i più frequentemente trovati in stato non sicuro.
- MFA obbligatorio per tutti gli utenti: è il controllo singolo con il più alto impatto. Microsoft stima che l'MFA blocchi oltre il 99% degli attacchi di account compromise automatizzati. Eppure troviamo ancora tenant dove l'MFA è facoltativo o abilitato solo per gli amministratori. La configurazione corretta prevede Conditional Access policy che richiedano MFA per tutti gli accessi, con nessuna eccezione non documentata. I metodi consigliati sono Microsoft Authenticator (push notification o passkey) e FIDO2; SMS è accettabile ma meno sicuro per via del SIM swapping.
- Conditional Access policies: le Conditional Access sono il sistema nervoso della sicurezza in Microsoft 365. Permettono di definire regole granulari: "richiedi MFA se l'accesso avviene da fuori rete aziendale", "blocca l'accesso da paesi non autorizzati", "richiedi dispositivo conforme per accedere ai dati sensibili". Una configurazione base dovrebbe includere almeno: blocco degli accessi da paesi ad alto rischio, richiesta MFA per tutti gli accessi esterni, e blocco dell'accesso legacy authentication. Le licenze Microsoft 365 Business Premium includono già Conditional Access; molte aziende non lo utilizzano.
- Disabilitare i protocolli legacy (SMTP AUTH, POP, IMAP): questi protocolli non supportano l'autenticazione moderna e non possono essere protetti dall'MFA. Un attaccante che ottiene le credenziali di un utente può connettersi direttamente via IMAP e scaricare tutta la posta, bypassando completamente le Conditional Access. Se i vostri utenti non usano client email che richiedono SMTP/POP/IMAP (la maggior parte delle aziende che usano Outlook Web o Outlook moderno non ne ha bisogno), disabilitate questi protocolli a livello di tenant. È un'operazione di 5 minuti con impatto di sicurezza enorme.
- Audit Log abilitato e configurato: di default, l'Audit Log in Microsoft 365 è abilitato nei tenant moderni, ma la retention può essere limitata (90 giorni per le licenze base). Verificate che l'audit log sia attivo, che la retention sia adeguata (almeno 180 giorni, un anno per i dati critici), e che stiate registrando gli eventi rilevanti: login, accessi ai file, modifiche alle configurazioni di sicurezza, regole di inoltro email create dagli utenti. Quest'ultimo è particolarmente importante: una delle prime cose che fa un attaccante dopo aver compromesso un account è creare una regola di inoltro silenzioso verso un indirizzo esterno.
- External Sharing limitato su SharePoint e OneDrive: la configurazione di default di SharePoint permette la condivisione con chiunque tramite link anonimi. Questo significa che un dipendente può condividere pubblicamente l'intero archivio documenti senza rendersene conto. Verificate che la policy di sharing sia impostata su "Solo utenti nella propria organizzazione" o al massimo "Utenti esistenti" (guest con account verificato). Abilitate la scadenza automatica dei link di condivisione e la notifica all'amministratore per le condivisioni esterne.
- Microsoft Defender for Office 365: le licenze Microsoft 365 Business Premium includono Defender for Office 365 Plan 1, che offre protezioni fondamentali: Safe Links (riscrive i link nelle email per verificarli al click in tempo reale), Safe Attachments (esegue gli allegati in sandbox prima della consegna), Anti-phishing policies avanzate con impersonation protection. Queste funzionalità non sono abilitate di default in molte configurazioni: vanno attivate e configurate esplicitamente.
Google Workspace: impostazioni di sicurezza spesso ignorate
Google Workspace ha una console di amministrazione molto completa, ma anche in questo caso la configurazione di default non è ottimale dal punto di vista della sicurezza. Queste sono le impostazioni che troviamo più spesso non configurate correttamente.
- 2-Step Verification forzata a livello di organizzazione: non basta raccomandare agli utenti di abilitare la verifica in due passaggi. Va resa obbligatoria dalla console admin, con un periodo di grazia per l'enrollment e la possibilità di bloccare l'accesso agli utenti che non la completano. Per gli account amministratori, Google consiglia l'uso di security key fisiche (FIDO2) come secondo fattore.
- Context-Aware Access: equivalente delle Conditional Access di Microsoft, permette di limitare l'accesso alle app Google in base a contesto (rete, dispositivo, posizione geografica). È disponibile dal piano Business Plus in su. Configurarlo per richiedere dispositivi verificati per l'accesso a Gmail e Drive è un controllo ad alto impatto.
- Data Loss Prevention (DLP): Google Workspace include regole DLP integrate che permettono di rilevare e bloccare la condivisione di dati sensibili (numeri di carte di credito, codici fiscali, dati sanitari) fuori dall'organizzazione. Queste regole vanno definite in base alla tipologia di dati che l'azienda tratta e sono spesso completamente assenti nei tenant che esaminiamo.
- Google Vault per retention e legal hold: Vault permette di definire politiche di retention per email, chat e file Drive, e di applicare legal hold su account specifici in caso di procedimenti legali o indagini interne. Fondamentale per le aziende soggette a obblighi di conservazione documentale.
- App di terze parti autorizzate: la Google Workspace Marketplace permette agli utenti di installare app e connettere servizi di terze parti via OAuth. Ogni app installata può avere accesso alle email, ai file Drive, al calendario. La console admin permette di limitare le app autorizzate a una whitelist approvata dall'IT. È un controllo che quasi nessuna PMI ha configurato.
- Advanced Protection Program per gli admin: il programma di protezione avanzata di Google è stato progettato per proteggere gli account ad alto rischio. Richiede security key fisiche per l'autenticazione, limita l'accesso delle app di terze parti e aggiunge controlli aggiuntivi sul recupero account. Tutti gli amministratori di Google Workspace dovrebbero averlo abilitato.
Il rischio delle app di terze parti connesse al cloud
Uno dei vettori di attacco più sottovalutati nel cloud aziendale è l'ecosistema di app di terze parti. Tramite il protocollo OAuth, gli utenti possono connettere al proprio account Microsoft 365 o Google Workspace un numero illimitato di applicazioni esterne: strumenti di produttività, automazioni, plugin per riunioni, servizi di firma digitale, integrazioni CRM. Ogni connessione OAuth rilascia un token di accesso che, a seconda dei permessi richiesti, può dare all'app accesso a email, file, contatti, calendario.
Il problema del token harvesting OAuth è reale: esistono campagne di phishing che si presentano come app legittime (finte versioni di Zoom, DocuSign, Slack) per convincere gli utenti ad autorizzare permessi ampi. Una volta ottenuto il token, l'attaccante può accedere ai dati dell'account senza bisogno delle credenziali, e il token rimane valido anche se l'utente cambia la password.
Come verificare lo stato attuale: su Microsoft 365, la sezione "Enterprise Applications" nell'Azure Active Directory elenca tutte le app che hanno ricevuto autorizzazioni dagli utenti del tenant. Su Google Workspace, la console admin mostra le app di terze parti con accesso agli account. Rivedete periodicamente questa lista e revocate l'accesso a app non riconosciute, non più utilizzate o con permessi eccessivi rispetto alla funzione dichiarata. Una policy formale di approvazione IT per le nuove connessioni OAuth è un controllo organizzativo efficace.
Come gestire l'offboarding dei dipendenti senza lasciare backdoor
L'offboarding di un dipendente, soprattutto se avviene in modo non pianificato o conflittuale, è uno dei momenti di maggiore rischio per la sicurezza del cloud aziendale. Account non disabilitati, token MFA non revocati, sessioni attive su dispositivi personali, accesso a app di terze parti mai rimosso: ognuno di questi elementi può diventare un vettore di accesso non autorizzato dopo la cessazione del rapporto di lavoro.
Una checklist pratica di offboarding sicuro dovrebbe includere:
- Revoca immediata delle sessioni attive: su Microsoft 365, il pulsante "Revoke all sessions" nel profilo utente invalida tutti i token di sessione attivi, su tutti i dispositivi, in modo immediato. Su Google Workspace, la funzione equivalente è "Sign out from all devices" nella console admin. Questo deve essere il primo step, eseguito dal momento in cui l'offboarding è formalizzato.
- Disabilitazione dell'account (non eliminazione immediata): l'account va disabilitato, non eliminato subito. L'eliminazione immediata può causare problemi con dati, deleghe e workflow dipendenti dall'account. Mantenete l'account disabilitato per almeno 30 giorni prima dell'eliminazione definitiva, conservando i dati secondo le policy aziendali.
- Trasferimento della proprietà dei file: sia su Microsoft 365 (OneDrive) che su Google Workspace (Drive), i file dell'utente che escono devono essere trasferiti al manager o a un archivio centralizzato. Su Google Workspace, la console admin permette il trasferimento in massa della ownership.
- Revoca dei token MFA e delle app di terze parti: disabilitare l'account non revoca automaticamente tutti i token OAuth rilasciati a app di terze parti. Verificate e revocate esplicitamente tutte le autorizzazioni OAuth associate all'account.
- Cambio delle password condivise: se il dipendente aveva accesso a account condivisi (social media aziendali, strumenti di team, credenziali di servizio), queste password vanno cambiate immediatamente. È anche l'occasione per formalizzare la gestione delle credenziali condivise tramite un password manager aziendale.
- Verifica delle regole di inoltro email: controllate che l'account non abbia regole di inoltro attive verso indirizzi esterni prima di disabilitarlo.
Backup cloud: lo hai configurato davvero?
Questo è il punto che genera più sorpresa nelle nostre review: molte aziende credono che Microsoft e Google facciano automaticamente il backup dei propri dati. Non è così, o meglio, non nel senso in cui si intende normalmente il backup.
Microsoft e Google proteggono i propri data center con ridondanza geografica. Se un datacenter va offline, i dati sono disponibili da un altro. Ma questo protegge dall'indisponibilità dell'infrastruttura, non dalla perdita dei dati causata da errori umani, ransomware, o cancellazioni accidentali. Se un utente elimina tutti i suoi file su OneDrive, Microsoft li conserva nel Cestino per 93 giorni (periodo configurabile). Trascorso quel termine, sono persi. Se un ransomware cifra i file sincronizzati su OneDrive, la cifratura si propaga al cloud.
La retention nativa delle piattaforme non è un sostituto del backup. Per Microsoft 365, soluzioni come Veeam Backup for Microsoft 365, Acronis Cyber Protect Cloud o Barracuda Cloud-to-Cloud Backup offrono backup granulare di email, SharePoint, OneDrive e Teams con possibilità di ripristino puntuale. Per Google Workspace, soluzioni equivalenti includono Backupify e Spanning Backup. La scelta dipende dal budget, dal volume dei dati e dai requisiti di compliance. L'importante è averla.
Monitoraggio e alert: sapere cosa succede nel tuo tenant
Senza visibilità, non c'è sicurezza. Avere le giuste configurazioni è necessario ma non sufficiente: bisogna anche sapere quando qualcosa di anomalo accade, e sapere rispondere rapidamente. Gli ambienti cloud producono una quantità enorme di log: il valore sta nel riuscire a trasformarli in alert azionabili.
Per Microsoft 365, il Microsoft Defender XDR (ex Microsoft 365 Defender) offre un pannello unificato per alert di sicurezza su identità, email, endpoint e dati cloud. Gli alert più importanti da configurare includono: accessi da paesi insoliti, accessi da più posizioni geografiche in poco tempo (impossible travel), elevato numero di tentativi di login falliti, creazione di regole di inoltro email, modifiche alle impostazioni di sicurezza del tenant. Per le organizzazioni con esigenze più avanzate, Microsoft Sentinel è il SIEM nativo di Microsoft Azure che permette correlazione avanzata e hunting proattivo.
Per Google Workspace, il Security Center (disponibile dal piano Enterprise) offre dashboard e alert su eventi di sicurezza. Il Security Investigation Tool permette di analizzare e rispondere a incidenti. Anche senza i piani Enterprise, la console admin permette di configurare alert email su eventi critici come modifiche ai permessi admin, accessi sospetti e installazioni di app.
Per le PMI che non hanno un team di sicurezza interno dedicato, la soluzione più pragmatica è spesso un servizio MDR (Managed Detection and Response) che include il monitoraggio del cloud come parte di un servizio gestito. Il costo è proporzionato al profilo di rischio e alla dimensione aziendale, e offre la garanzia di una risposta professionale agli incident 24/7.
Come Nerd Herd esegue la Cloud Security Review
Il nostro approccio alla cloud security review è strutturato in tre fasi, ognuna con deliverable concreti e immediamente utilizzabili dal cliente.
La prima fase è l'assessment tecnico del tenant. Accediamo al vostro ambiente con permessi di lettura (senza mai toccare configurazioni in produzione senza autorizzazione esplicita) e analizziamo sistematicamente tutte le impostazioni rilevanti: configurazioni MFA, Conditional Access policies, protocolli abilitati, impostazioni di condivisione, applicazioni di terze parti connesse, stato dei log di audit, configurazioni anti-phishing. L'output è un report dettagliato con ogni finding classificato per severità e impatto.
La seconda fase è il hardening guidato. Non ci limitiamo a consegnare un report: lavoriamo con il vostro team IT per implementare le correzioni, spiegando ogni modifica e le sue implicazioni operative. Alcune configurazioni hanno impatto sugli utenti (l'abilitazione obbligatoria dell'MFA, ad esempio, richiede un piano di rollout comunicato) e la nostra esperienza ci permette di gestire questo cambiamento in modo controllato.
La terza fase è il monitoring continuativo. La sicurezza cloud non è uno stato da raggiungere una volta per tutte, ma un processo continuo. Offriamo servizi di monitoraggio del tenant con alert su eventi anomali, revisioni periodiche della configurazione e supporto in caso di incidenti. Per saperne di più sui nostri servizi di cloud security, visitate la pagina servizi.
Se gestite Microsoft 365 o Google Workspace e non siete sicuri dello stato della vostra configurazione di sicurezza, il primo passo è capire dove siete. Contattateci per una cloud security review gratuita: nel giro di pochi giorni avrete un quadro chiaro delle vulnerabilità critiche e un piano di azione prioritizzato per correggerle.