Come attivare la verifica in due passaggi per tutti in Microsoft 365?

Che cosa sono le impostazioni predefinite di sicurezza?

Sono un pacchetto di protezioni già pronto, incluso gratis in Microsoft 365. Non devi configurare regole una per una: o è acceso o è spento. Microsoft dichiara che l'autenticazione a più fattori, insieme al blocco dei protocolli vecchi, ferma oltre il 99,9% degli attacchi comuni contro gli account.

Quando è acceso succede questo:

• tutti gli utenti devono registrare un secondo fattore di verifica (di norma l'app Microsoft Authenticator);
• gli amministratori devono usarlo a ogni accesso;
• gli altri lo ricevono quando Microsoft lo ritiene necessario, in base a luogo, dispositivo e operazione;
• i vecchi sistemi di accesso, che non supportano il secondo fattore, vengono bloccati;
• l'accesso ad Azure e al centro di amministrazione Entra richiede sempre la verifica.

È già attivo nella tua azienda?

Forse sì. Microsoft lo attiva da sola sui tenant (l'ambiente della tua azienda in Microsoft 365) creati dal 22 ottobre 2019 in poi, se non hai regole di accesso condizionale né licenze premium. Controllarlo richiede un minuto, come descritto nella prossima sezione.

Se la tua azienda ha licenze Microsoft Entra ID P1 o P2 (incluse, per esempio, in alcuni piani Business Premium), Microsoft consiglia di usare l'accesso condizionale al posto di questo pacchetto: è più flessibile, ma va configurato.

Come si attiva?

Serve un account con almeno il ruolo Amministratore dell'accesso condizionale (Conditional Access Administrator); l'amministratore globale va bene.

1. Accedi a https://entra.microsoft.com con l'account amministratore.
2. Apri Entra ID → Panoramica → Proprietà.
3. Seleziona Gestisci le impostazioni predefinite di sicurezza.
4. Imposta Impostazioni predefinite di sicurezza su Abilitato.
5. Seleziona Salva.

I nomi dei menu possono variare leggermente nella versione italiana dell'interfaccia: se non trovi una voce, cerca quella equivalente nella stessa posizione. Se il menu non esiste o l'opzione è bloccata, probabilmente la tua azienda usa già l'accesso condizionale.

Prima di salvare, avvisa i colleghi: alla prima apertura di Outlook, Teams o del portale dovranno registrare il secondo fattore. Da quando Microsoft ha tolto il periodo di tolleranza di 14 giorni, la registrazione è richiesta subito. Chi è già connesso potrebbe non vedere nulla finché non si ricollega: l'amministratore può forzare un nuovo accesso revocando le sessioni attive.

Come registra il secondo fattore ogni dipendente?

Alla richiesta Sono necessarie ulteriori informazioni (More information required) ognuno segue questi passaggi:

1. Seleziona Avanti: si apre la procedura Mantieni protetto il tuo account.
2. Installa l'app Microsoft Authenticator sul telefono (pulsante Scarica ora), poi seleziona Avanti sul computer.
3. Nell'app consenti le notifiche, aggiungi un account e scegli Account aziendale o dell'istituto di istruzione.
4. Consenti l'uso della fotocamera e inquadra il codice QR mostrato sul computer. Se non si legge, scegli Impossibile analizzare l'immagine e inserisci a mano codice e URL.
5. Approva la notifica di prova che arriva sul telefono e seleziona Avanti.

Chi preferisce un'altra app di codici può scegliere Desidero usare un'altra app di autenticazione. In seguito, quando compare una notifica con un numero, bisogna digitare quel numero nell'app: serve a evitare le approvazioni distratte. Se qualcuno cambia telefono, deve registrare il nuovo dispositivo da https://myprofile.microsoft.com, voce Informazioni di sicurezza, prima di disfarsi del vecchio.

Che cosa può smettere di funzionare?

Il blocco dei protocolli vecchi è la parte che crea più sorprese. Possono fermarsi:

• programmi di posta molto datati, come Office 2010, o account collegati con POP, IMAP o SMTP e sola password;
• scanner e stampanti multifunzione che inviano la scansione via posta con nome utente e password di una casella Microsoft 365 (SMTP con autenticazione di base);
• vecchi gestionali che mandano email allo stesso modo.

Prima di attivare, fai un elenco dei dispositivi che inviano posta. Microsoft indica alternative per questi casi, come l'invio tramite connettore (SMTP relay) con indirizzo IP fisso, oppure High Volume Email se i destinatari sono solo interni. Se il dispositivo non supporta nulla di tutto ciò, valuta di sostituirlo.

Che cosa conviene fare subito dopo?

• Controlla che tutti gli utenti abbiano completato la registrazione.
• Evita di disattivare metodi di verifica nelle impostazioni dell'azienda mentre il pacchetto è acceso: potresti restare bloccato fuori dal tuo stesso tenant.
• Usa un account separato per l'amministrazione e uno per il lavoro quotidiano: l'amministratore riceve così la richiesta di verifica meno spesso.
• Microsoft raccomanda anche due account di emergenza solo cloud, con ruolo di amministratore globale, per i casi in cui gli altri amministratori restino bloccati.

Fonti

• Security defaults in Microsoft Entra ID
• Set up security info from a sign-in page
• How to set up a multifunction device or application to send email using Microsoft 365 or Office 365

Ti serve una mano in azienda?

Mi occupo di consulenza IT e AI per piccole aziende e professionisti, in Puglia e da remoto.

Servizi

Guida scritta con l'assistenza dell'AI e controllata da me prima della pubblicazione.