Molte aziende pensano che Microsoft 365 basti da solo come strategià di protezione. In realtà il punto non è solo la disponibilita del servizio, ma il recupero di mailbox, OneDrive, SharePoint e Teams in tempi utili. Un esempio concreto: utente che cancella una cartella importante e se ne accorge settimane dopo. Se ti affidi solo ai meccanismi standard e non hai un backup esterno o una retention adatta, potresti recuperare meno di quanto serve. Il controllo pratico è capire cosa viene protetto, per quanto tempo, da dove si ripristina e chi può farlo. Se il restore richiede procedure improvvisate, non hai ancora chiuso il problema. Per completare il percorso sulla protezione e sul recupero dei dati, leggi [C...

Molte aziende pensano che Microsoft 365 basti da solo come strategià di protezione. In realtà il punto non è solo la disponibilita del servizio, ma il recupero di mailbox, OneDrive, SharePoint e Teams in tempi utili. Un esempio concreto: utente che cancella una cartella importante e se ne accorge settimane dopo. Se ti affidi solo ai meccanismi standard e non hai un backup esterno o una retention adatta, potresti recuperare meno di quanto serve. Il controllo pratico è capire cosa viene protetto, per quanto tempo, da dove si ripristina e chi può farlo. Se il restore richiede procedure improvvisate, non hai ancora chiuso il problema. Per completare il percorso sulla protezione e sul recupero dei dati, leggi Come verificare se Microsoft 365 ha davvero sincronizzato tutto e Regola 3-2-1 del backup: applicarla in una piccola azienda.

Per ordinare i ticket IT servono impatto, urgenza, proprietario e prossimo aggiornamento. Ecco una procedura con esempi per evitare priorità assegnate a voce. Nel percorso della guida ITSM per piccole aziende questa tappa produce una coda unica e tre casi di priorità verificati. Il referente interno non deve diventare il tecnico di tutto: deve aiutare a rendere leggibile il problema e a farlo prendere in carico. 1. Definire un punto di ingresso Scegli un canale tracciabile per le segnalazioni e una regola per i casi urgenti. Anche una telefonata che avvia un intervento deve lasciare una registrazione. La pratica di [incident manag...

Per ordinare i ticket IT servono impatto, urgenza, proprietario e prossimo aggiornamento. Ecco una procedura con esempi per evitare priorità assegnate a voce. Nel percorso della guida ITSM per piccole aziende questa tappa produce una coda unica e tre casi di priorità verificati. Il referente interno non deve diventare il tecnico di tutto: deve aiutare a rendere leggibile il problema e a farlo prendere in carico. 1. Definire un punto di ingresso Scegli un canale tracciabile per le segnalazioni e una regola per i casi urgenti. Anche una telefonata che avvia un intervento deve lasciare una registrazione. La pratica di incident management descritta da PeopleCert è orientata al ripristino del servizio: il ticket deve aiutare quel risultato. Campi minimi: servizio, sintomo, utenti coinvolti, inizio osservato, alternativa disponibile, contatto e referente dell'attività. Evita credenziali o dati riservati negli allegati; raccogli soltanto evidenze pertinenti. 2. Separare impatto e urgenza L'impatto descrive quanto lavoro è coinvolto. L'urgenza descrive quanto tempo hai prima che la conseguenza diventi rilevante. Non coincide con quanto insistentemente qualcuno chiede aiuto. Per l'esercizio usa tre priorità interne da concordare: P1: servizio essenziale fermo, attività imminente e nessuna alternativa praticabile. P2: servizio degradato o gruppo bloccato, con un'alternativa temporanea. P3: problema limitato o richiesta pianificabile, senza un blocco immediato. Queste categorie sono un modello di lavoro, non tempi universali di assistenza. Associa obiettivi di presa in carico compatibili con orari e accordi effettivi del supporto. 3. Applicare i criteri a tre casi Il gestionale è fermo per tutti e le spedizioni iniziano fra un'ora: nel modello è P1. Assegna subito un referente e informa chi coordina le attività operative. Una stampante non funziona ma è disponibile quella del reparto vicino: nel modello può essere P2 o P3, secondo il lavoro realmente coinvolto. Registra l'alternativa invece di lasciare la priorità dipendere dal titolo "stampante guasta". Una persona chiede un secondo monitor per la settimana successiva: è una richiesta da valutare e pianificare, non un incidente con servizio da ripristinare. Il request fulfillment aiuta a separare i percorsi. 4. Rendere visibile la prossima azione Ogni ticket aperto deve avere proprietario, stato, prossima azione e prossimo aggiornamento. "In lavorazione" senza una scadenza di comunicazione lascia il richiedente nell'incertezza. Esempio: il tecnico attende il fornitore del gestionale. Scrivi chi lo ha contattato, cosa manca e quando verrà aggiornato il referente. Attesa non significa abbandono del ticket. 5. Chiudere con un esito verificato Conferma che l'attività sia tornata possibile e registra ciò che è stato fatto. Se una soluzione temporanea ripristina il servizio, distinguila dall'intervento definitivo e collega l'attività successiva. Tre episodi analoghi meritano una verifica della causa, seguendo il problem management. Il risultato è una coda che il team sa leggere senza spiegazioni a voce. Collega i ticket all'inventario, usa il registro dei cambiamenti per gli interventi e prepara il monitoraggio con avvisi assegnati per le segnalazioni automatiche.

Un pentest web e API deve verificare identità, autorizzazioni e logica applicativa. Ecco cosa preparare e quali risultati chiedere oltre alla scansione. Il sito visibile è soltanto una parte del servizio. Applicazioni mobili, integrazioni e interfacce web possono usare le stesse API con percorsi diversi. La guida al penetration testing spiega il metodo generale; qui affrontiamo le domande più utili per un'applicazione con utenti e documenti. Autenticazione e autorizzazione rispondono a domande diverse L'autenticazione verifica l'identità. L'autorizzazione stabilisce cosa quell'identità può fare. Un login robusto, anche con passkey, non gar...

Un pentest web e API deve verificare identità, autorizzazioni e logica applicativa. Ecco cosa preparare e quali risultati chiedere oltre alla scansione. Il sito visibile è soltanto una parte del servizio. Applicazioni mobili, integrazioni e interfacce web possono usare le stesse API con percorsi diversi. La guida al penetration testing spiega il metodo generale; qui affrontiamo le domande più utili per un'applicazione con utenti e documenti. Autenticazione e autorizzazione rispondono a domande diverse L'autenticazione verifica l'identità. L'autorizzazione stabilisce cosa quell'identità può fare. Un login robusto, anche con passkey, non garantisce che un utente veda soltanto i documenti assegnati. La WSTG OWASP dedicata alle autorizzazioni individua quest'area come una parte specifica delle verifiche. Per preparare il test, crea una matrice semplice: ruoli sulle righe, operazioni sulle colonne. Un cliente può consultare il proprio fascicolo; un operatore può gestire quelli assegnati; un amministratore può configurare utenti. Le eccezioni devono essere conosciute prima di interpretare un comportamento come difetto. Il controllo sull'oggetto richiesto OWASP descrive la Broken Object Level Authorization, o BOLA, come un problema nel controllo degli accessi agli oggetti gestiti da un'API. Non basta essere autenticati: il servizio deve verificare che l'utente possa compiere l'operazione proprio su quell'oggetto. Il riferimento è API1:2023 di OWASP. Esempio di preparazione: in un ambiente dedicato, due clienti fittizi hanno ciascuno documenti riconoscibili. Il tester può verificare che le operazioni consentite a uno non riguardino i dati dell'altro. La relazione deve specificare se la prova ha mostrato una lettura, una modifica o un'altra azione, senza confondere effetti differenti. Sessioni, flussi e canali alternativi Definisci anche cosa verificare quando un utente esce, cambia ruolo o reimposta una credenziale. La stessa funzione può essere disponibile nel sito, nell'app e nelle API: la copertura deve dire quali canali sono stati esaminati. Prepara casi realistici ma sintetici. Se il processo prevede richiesta, approvazione e pubblicazione di un documento, documenta le transizioni ammesse. Un tester che conosce le regole può verificare una deviazione; senza quelle informazioni rischia di osservare un comportamento senza comprenderne il significato. Le passkey proteggono una parte del percorso La guida alle passkey aiuta a comprendere un accesso resistente al phishing. Il pentest applicativo amplia la domanda: dopo il login, i dati e le operazioni restano separati correttamente? È un collegamento utile fra sicurezza dell'identità e sicurezza del servizio. Checklist prima del test • Ruoli e operazioni attese descritti. • Account distinti e dati fittizi per verificare la separazione. • API e versioni comprese nel perimetro. • Integrazioni di terze parti riconosciute e gestite separatamente. • Referente che conosce le regole del processo. • Evidenze richieste e limiti sulle operazioni che modificano dati. Scegli il modello di accesso del tester in funzione di queste domande e registra i confini nelle regole d'ingaggio. Dopo le prove, usa il report del pentest per assegnare le correzioni al componente giusto.

Introdurre passkey in ufficio richiede account nominativi, regole sui dispositivi e un recupero verificato. Ecco una checklist per partire con un gruppo pilota. La tecnologia di accesso funziona meglio quando le responsabilità sono comprensibili. La guida pratica alle passkey offre il quadro iniziale; questo approfondimento propone un metodo organizzativo per piccoli team. Parti da un servizio e da un gruppo piccolo Scegli un servizio con proprietario identificato e persone disponibili a segnalare difficoltà. Prima di modificare le policy, descrivi lo stato attuale: quanti utenti, quali dispositivi, quali modalità di accesso e chi gestisce...

Introdurre passkey in ufficio richiede account nominativi, regole sui dispositivi e un recupero verificato. Ecco una checklist per partire con un gruppo pilota. La tecnologia di accesso funziona meglio quando le responsabilità sono comprensibili. La guida pratica alle passkey offre il quadro iniziale; questo approfondimento propone un metodo organizzativo per piccoli team. Parti da un servizio e da un gruppo piccolo Scegli un servizio con proprietario identificato e persone disponibili a segnalare difficoltà. Prima di modificare le policy, descrivi lo stato attuale: quanti utenti, quali dispositivi, quali modalità di accesso e chi gestisce le richieste di recupero. Non includere nella stessa prova tutti gli amministratori e tutti i servizi critici. Esempio: uno studio di otto persone prova la nuova modalità con due collaboratori su un servizio documentale. Il test include il portatile di lavoro, l'accesso fuori sede e una richiesta simulata di assistenza. Una settimana dopo il responsabile valuta gli ostacoli osservati e decide se ampliare il gruppo. Il successo non si misura soltanto dal numero di registrazioni: conta riuscire a lavorare e sapere come intervenire. Decidi quali luoghi di conservazione sono ammessi Una credenziale sincronizzata in un account personale può creare dipendenze diverse da una credenziale vincolata a un dispositivo aziendale. Per account privilegiati e requisiti di controllo stretti, valuta il modello con chi gestisce l'identità. Le indicazioni FIDO per ambienti ad alta garanzia affrontano questi scenari; quelle sui casi con garanzia moderata descrivono esigenze differenti. Non trasferire automaticamente una scelta personale a tutta l'organizzazione. Usa identità nominative e deleghe Se tre colleghi lavorano sullo stesso servizio, preferisci account distinti con autorizzazioni assegnate dal servizio. Una credenziale condivisa rende più difficile capire chi ha agito e revocare soltanto un accesso. Se un'applicazione impone un account tecnico comune, documenta l'eccezione, il proprietario e il percorso di emergenza, senza trasformarlo in un'abitudine generale. Collega recupero e uscita dei collaboratori Chi può autorizzare un nuovo dispositivo? Quali verifiche deve fare il supporto? Che cosa viene revocato quando una persona cambia ruolo? Prepara risposte prima del rollout. La procedura per recuperare gli account dopo la perdita del telefono aiuta a individuare le dipendenze; la gestione dell'identità deve includere anche sessioni e autorizzazioni residue. Checklist del gruppo pilota • Il servizio supporta il metodo previsto per gli account aziendali coinvolti. • Ogni partecipante conosce il luogo di conservazione della propria credenziale. • È stata verificata una nuova autenticazione, senza usare soltanto una sessione aperta. • Il supporto dispone di una procedura di recupero e di criteri per identificare il richiedente. • Gli accessi di emergenza sono documentati e custoditi da persone autorizzate. • La perdita del dispositivo e l'uscita del collaboratore hanno un responsabile definito. Misura e correggi prima di estendere Registra tentativi riusciti, problemi ricorrenti e richieste di assistenza, senza raccogliere PIN o altri segreti nei ticket. Se molti utenti scelgono un metodo alternativo, scopri perché: dispositivo non compatibile, istruzioni poco chiare o credenziale salvata nell'archivio sbagliato richiedono interventi diversi. Usa il confronto tra passkey e MFA per spiegare la scelta e la procedura di attivazione verificata per la formazione. Collegale alle priorità della MFA sugli account critici e alla gestione dei password manager: la collana diventa così un percorso operativo, dal primo accesso alla manutenzione.