Arriva il questionario della compagnia di cyber-insurance, oppure la richiesta di un cliente più grande nell’ambito NIS2: “descrivete le misure di sicurezza del vostro ambiente Microsoft 365”. È il momento in cui molte PMI scoprono che un tenant Microsoft 365 appena attivato non è sicuro per impostazione predefinita: l’MFA non è imposto a tutti, l’autenticazione legacy è aperta, l’auto-forward verso l’esterno è consentito, i dispositivi non sono verificati.
L’hardening è proprio questo: accendere, in modo ordinato, i controlli che riducono la superficie d’attacco. Non serve un progetto da mesi per partire — serve sapere quali interruttori contano e in che ordine. Questa guida elenca la baseline operativa per le PMI, divisa in 5 aree, e la trovi pronta nella checklist Excel scaricabile con stato, owner e scadenza.
1. Identità e accesso: dove si gioca la partita
Oltre il 90% degli attacchi reali passa dall’identità, non da exploit sofisticati. È l’area con il miglior rapporto impatto/costo:
- MFA per tutti gli utenti, a partire dagli amministratori (su account separati dall’uso quotidiano). È il singolo controllo che blocca la maggioranza degli attacchi su account.
- Blocco dell’autenticazione legacy via Conditional Access: i protocolli vecchi aggirano l’MFA e vanno chiusi.
- Account break-glass di emergenza, esclusi dalle policy, per non restare chiusi fuori se qualcosa va storto.
- PIM / accesso just-in-time per i ruoli privilegiati e revisioni periodiche degli accessi, così l’offboarding non lascia porte aperte.
Per misurare a che punto sei, parti da Microsoft Secure Score, che assegna un punteggio alle azioni di sicurezza del tenant.
2. Email e Defender for Office 365: il canale d’ingresso n.1
La posta resta il vettore principale di phishing e frodi (BEC). I controlli base:
- Policy anti-phishing con protezione impersonation (spoofing di dirigenti e domini simili).
- Safe Links e Safe Attachments: controllo dei link al click e detonazione degli allegati in sandbox.
- SPF, DKIM e DMARC configurati sul dominio.
- Blocco dell’auto-forward verso domini esterni: una regola di inoltro verso l’esterno è un segnale tipico di casella compromessa.
Il setup operativo è descritto in Defender for Office 365: configurare l’anti-phishing.
3. Endpoint e Intune: i dispositivi che accedono ai dati
Se un portatile compromesso accede al tenant, le policy sull’identità non bastano. Con Intune:
- Device compliance: solo dispositivi cifrati e aggiornati accedono ai dati aziendali.
- BitLocker con chiave di recupero in escrow, Defender AV con Tamper Protection.
- Regole ASR contro macro e comportamenti tipici del ransomware.
- App Protection (MAM) per proteggere i dati sui telefoni personali (BYOD) senza gestire il device, e rimozione dei diritti di admin locale.
4. Dati e Purview: governance e condivisione
Qui si previene la fuga di dati e si abilita l’indagine:
- Audit log unificato abilitato: senza log non c’è indagine né compliance.
- Link di condivisione ristretti in SharePoint/OneDrive (default “persone specifiche” invece di “chiunque”): è la causa più comune di oversharing.
- Sensitivity label e policy DLP per i dati sensibili (PII, IBAN, carte), più governance degli accessi ospiti.
5. Monitoraggio e risposta: prima che succeda
La sicurezza non è un progetto “una tantum”:
- Secure Score con un obiettivo definito e rivisto periodicamente.
- Alert policy su attività rischiose (elevazioni di privilegio, forward, accessi anomali) e triage degli incidenti in Defender XDR.
- Backup Microsoft 365 verificato e testato (il cestino non è un backup) e un piano di risposta agli incidenti pronto prima dell’incidente — anche per rispettare le finestre di notifica NIS2.
Come usare la checklist
La checklist Excel riporta i 34 controlli con colonne Stato (Da fare / In corso / Completato / Non applicabile), Priorità, Owner e Scadenza. Usala come self-audit e piano d’azione: assegna un responsabile a ogni riga e parti dalle priorità Alta (le misure base e anti-ransomware), poi passa a Media e Bassa.
Attenzione: è una baseline indicativa per PMI, non una certificazione. I controlli disponibili e le licenze necessarie (Microsoft 365 Business Premium, Defender, Purview, Intune) vanno verificati sul tuo tenant.
Hardening e NIS2: utile, ma non basta da solo
L’hardening del tenant copre molte misure tecniche richieste da NIS2 (controllo accessi, sicurezza endpoint, gestione incidenti), ma il quadro completo include anche governance, gestione del rischio, procedure di notifica e misure sulla filiera. Per il contesto vedi le priorità di cyber security per le PMI nel 2026.
Quando ha senso un servizio gestito
Accendere e tenere monitorati questi controlli in modo coordinato — senza rompere il lavoro degli utenti e con le licenze giuste — richiede competenze e tempo che molte PMI non hanno internamente. Un partner che presidia il tenant garantisce che la baseline non solo venga attivata, ma resti attiva nel tempo.
Se vuoi un assessment del tuo tenant e l’implementazione chiavi in mano, dai un’occhiata all’Assistenza cybersecurity gestita oppure parla con un nostro consulente.
Domande frequenti
Cosa significa fare hardening di Microsoft 365? Significa configurare il tenant in modo sicuro per impostazione, riducendo la superficie d’attacco: MFA su tutti gli account, blocco dell’autenticazione legacy, protezione anti-phishing, cifratura e conformità dei dispositivi, controllo della condivisione dei dati e monitoraggio. Un tenant Microsoft 365 appena attivato non è hardenizzato di default: i controlli vanno accesi.
Da dove si parte per mettere in sicurezza Microsoft 365? Dalle priorità ad alto impatto e basso costo: MFA per tutti (a partire dagli amministratori), blocco dell’autenticazione legacy via Conditional Access, account break-glass, protezione anti-phishing di Defender e blocco dell’auto-forward verso domini esterni. Sono i controlli che fermano la maggior parte degli attacchi reali alle PMI.
Serve una licenza specifica per l’hardening di Microsoft 365? Molti controlli base sono disponibili anche nei piani standard, ma le funzioni avanzate (Conditional Access completo, Defender for Office 365, Intune, Purview DLP) richiedono in genere Microsoft 365 Business Premium o le licenze di sicurezza dedicate. La checklist indica le aree; le licenze necessarie vanno verificate sul tuo tenant.
L’hardening di Microsoft 365 basta per la conformità NIS2? È una base importante ma non sufficiente da sola. L’hardening del tenant copre molte misure tecniche richieste (controllo accessi, gestione incidenti, sicurezza degli endpoint), ma NIS2 richiede anche governance, gestione del rischio, procedure di notifica degli incidenti e misure sulla filiera. La checklist è il punto di partenza tecnico, non l’intero programma di compliance.