L’autenticazione a più fattori (MFA) blocca la grande maggioranza degli accessi con password rubate. Eppure in molte PMI è ancora spenta, per paura di bloccare il lavoro. Con un piano in cinque passi si attiva in pochi giorni, senza fermare nessuno.
Perché la password da sola non basta più
Phishing, password riutilizzate e furti di credenziali sono la via d’ingresso più comune negli incidenti che coinvolgono Microsoft 365. Con l’MFA, chi ruba la password non entra comunque: serve anche il secondo fattore, di solito una notifica sull’app Microsoft Authenticator.
1. Fai l’inventario degli account
- Utenti nominativi (dipendenti e collaboratori)
- Account amministrativi: vanno protetti per primi e con il metodo più forte
- Caselle condivise e account di servizio (stampanti, scanner, applicazioni): spesso non devono accedere in modo interattivo
- Almeno un account di emergenza (break-glass) con credenziali custodite in modo sicuro, escluso dai criteri automatici
2. Scegli il metodo giusto
Per la maggior parte delle aziende il metodo migliore è Microsoft Authenticator con corrispondenza dei numeri: l’utente digita sul telefono il numero mostrato sullo schermo, e gli attacchi che inviano notifiche a raffica diventano inefficaci. SMS e chiamate vanno evitati dove possibile; per gli amministratori valuta chiavi FIDO2 o passkey.
3. Security Defaults o Conditional Access?
Se hai licenze di base, i Security Defaults di Entra ID attivano l’MFA per tutti con poche impostazioni. Con Microsoft 365 Business Premium (o Entra ID P1) puoi usare l’accesso condizionale: regole più fini, ad esempio MFA sempre per gli amministratori, accessi consentiti solo dai Paesi in cui lavori, dispositivi aziendali gestiti con Intune.
4. Attiva per gruppi, non tutti insieme
- Parti dall’IT e dalla direzione, poi un reparto alla volta
- Manda una mail breve il giorno prima, con 3 schermate e il numero da chiamare in caso di problemi
- Blocca l’autenticazione legacy (protocolli vecchi che non supportano l’MFA), dopo aver verificato chi la usa ancora
5. Controlla nel tempo
Rivedi ogni mese gli accessi rifiutati e i nuovi dispositivi registrati: un tentativo dall’estero alle tre di notte è un segnale da non ignorare. È anche una misura richiesta, direttamente o indirettamente, da NIS2 e dalle buone pratiche ISO/IEC 27001.
Vuoi attivare l’MFA senza intoppi?
Analizzo il tuo tenant Microsoft 365 e preparo un piano di attivazione per gruppi, con le istruzioni per gli utenti.