Guida alla sicurezza di Microsoft 365
Cyber Essentials e Microsoft 365: cosa preparare
Cyber Essentials La preparazione per Microsoft 365 inizia con i servizi e i dispositivi cloud interessati, da chi implementa i controlli pertinenti e dalle prove a supporto delle risposte. Microsoft 365, a volte chiamato ancora Office 365, è solo una parte del quadro. La revisione del solo inquilino non garantisce la conformità dell'intera organizzazione.
Pubblicato · Ultima revisione · Di CyberProva
Esegui la tua valutazione gratuita della sicurezza di Microsoft 365Nessuna scheda richiesta · Connessione Microsoft 365 di sola lettura opzionale
Preparare le prove per le domande Danzell
Il controllo di preparazione gratuito dispone di una sezione Cyber Essentials opzionale con otto suggerimenti selezionati e un riepilogo delle azioni separato. Si tratta di un aiuto alla preparazione indipendente, non del questionario o della certificazione ufficiale Danzell.
Utilizza le domande di preparazione Cyber EssentialsIn che modo Microsoft 365 si adatta alle cinque aree di controllo?
Cyber Essentials copre firewall, configurazione sicura, gestione degli aggiornamenti di sicurezza, controllo dell'accesso degli utenti e protezione da malware. Microsoft 365 è particolarmente rilevante per gli account, l'accesso e la configurazione sicura; anche i tuoi dispositivi e altri servizi contano.
- Definisci il confine di valutazione con il tuo Organismo di Certificazione.
- Identificare i servizi cloud utilizzati per archiviare o elaborare informazioni organizzative.
- Documento che controlla l'implementazione della tua organizzazione, fornitore e fornitore cloud.
Cosa dovresti preparare in Microsoft 365?
Raccogli prove che rispondano alle domande di valutazione per i tuoi utenti e servizi effettivi, anziché fare affidamento su una dichiarazione generica del fornitore.
- Un elenco di account, revisione dei ruoli privilegiati e processo di abbandono.
- Configurazione MFA ed eccezioni documentate.
- Prova di impostazioni sicure e gestione di metodi di accesso non supportati.
- Protezione del dispositivo e prove di aggiornamento per un ambito più ampio.
Cosa può fare una revisione della preparazione?
Una revisione della preparazione aiuta a individuare lacune nelle prove e a concordare soluzioni correttive prima di una richiesta di certificazione. Mantenere separate la preparazione e la certificazione formale.
- Utilizzare Danzell per le valutazioni acquistate dal 27 aprile 2026, insieme ai requisiti v3.3; conferma la versione assegnata alla tua valutazione.
- Chiedere all'organismo di certificazione informazioni sull'ambito e sull'interpretazione.
- Conserva le prove e le date a supporto delle risposte inviate.
Dove verificarlo in Microsoft 365
Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.
AMF: Conditional Access o Security Defaults
Centro di amministrazione di Microsoft Entra: ID Entra > Conditional Access > Criteri; ID Entra > Panoramica > Proprietà > Impostazioni di sicurezza; Metodi di autenticazione > Attività per i report di registrazione.
Conditional Access necessita dell'ID Entra P1 o P2; Business Premium include P1. Security Defaults è disponibile con Entra Free ed è una linea di base alternativa, non un livello aggiuntivo da abilitare insieme a Conditional Access.
Accesso amministratore: ruoli Entra e PIM
Centro di amministrazione di Microsoft Entra: ID Entra > Ruoli e amministratori per gli incarichi attuali; Governance degli ID > Gestione delle identità privilegiate per l'accesso idoneo e le impostazioni di attivazione, ove concesso in licenza.
PIM necessita di Entra ID P2 o Entra ID Governance per gli utenti interessati. Non è incluso semplicemente perché un inquilino ha Business Premium/P1. La disponibilità all’accesso di emergenza necessita di una revisione umana.
Protezione e aggiornamenti degli endpoint: Defender per Business e Intune
Portale Microsoft Defender: Risorse > Dispositivi e report relativi a endpoint/sicurezza. Interfaccia di amministrazione di Microsoft Intune: Sicurezza dei dispositivi e degli endpoint > Conformità del dispositivo; ispezionare le policy di aggiornamento e i report di distribuzione assegnati per ciascuna piattaforma.
Il Defender per Business è incluso in Business Premium o può essere acquistato separatamente. Anche i diritti di Intune e del dispositivo/sistema operativo devono adattarsi alla distribuzione. Le osservazioni avanzate del dispositivo possono non essere disponibili se manca il consenso richiesto; ispezionare la pagina delle autorizzazioni e le lacune segnalate.
Cosa può controllare automaticamente CyberProva
Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.
- AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
- Accesso amministratore: ruoli Entra e PIM: Valutazione di base: assegnazioni attuali dei ruoli di directory e account o entità con il ruolo Amministratore globale. Valutazione avanzata: osservazioni supportate sugli accessi permanenti quando sono disponibili le fonti necessarie. I conteggi di base non determinano l’appartenenza ai gruppi né tutti gli accessi PIM idonei all’attivazione.
- Protezione e aggiornamenti degli endpoint: Defender per Business e Intune: Le valutazioni avanzate supportano alcune osservazioni sull’inventario Intune, sulla conformità, sulla crittografia e sui criteri classici, secondo le autorizzazioni e le licenze disponibili. La presenza di un criterio non ne dimostra l’applicazione effettiva. CyberProva non verifica automaticamente l’onboarding dei dispositivi in Defender EDR né lo stato dei sensori.
Cosa dovresti richiedere al tuo fornitore IT
Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.
- AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
- Accesso amministratore: ruoli Entra e PIM: Assegnazioni di ruoli, record separati di account amministratore, requisiti di attivazione e approvazione del PIM laddove utilizzati e record di custodia, monitoraggio e test esaminati per l'accesso di emergenza. Un ruolo denominato non stabilisce un'esigenza aziendale.
- Protezione e aggiornamenti degli endpoint: Defender per Business e Intune: Inventario dei dispositivi riconciliato, onboarding/integrità di Defender e copertura EDR, policy di conformità/aggiornamento assegnate, risultati di distribuzione e record di gestione delle vulnerabilità. Includere i dispositivi assenti da Intune e qualsiasi strumento di protezione di terze parti.
Rendi la risposta dimostrabile
Pacchetto di prove per questa guida
- L'ambito concordato e l'inventario dei servizi cloud.
- Accesso e prova dell'AMF per i conti rientranti nell'ambito di applicazione.
- Record di aggiornamento e protezione del dispositivo forniti dal team IT.
Come aiuta CyberProva
CyberProva aiuta a organizzare controlli selezionati e prove di supporto nelle cinque aree di controllo tecnico. I suoi risultati supportano la preparazione; CyberProva non è un Organismo di Certificazione e non rilascia certificati Cyber Essentials o Cyber Essentials Plus.
Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →
Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft
Esempio pratico
Esempio richiesta di preparazione Cyber Essentials
Invialo al tuo fornitore IT insieme alle domande sullo schema attuale e all'ambito proposto. Adattatelo ai requisiti applicabili alla vostra applicazione.
- Confermare gli utenti, i dispositivi e i servizi cloud interessati, inclusi i lavoratori remoti e l'accesso del provider.
- Fornire prove relative all'account datato, all'amministratore e alla policy MFA, con la spiegazione delle esclusioni.
- Fornisci l'inventario del dispositivo, le versioni del software supportate, i record di aggiornamento e le impostazioni di protezione per un ambito più ampio.
- Identificare ogni domanda irrisolta, la persona responsabile e l'azione successiva pianificata.
Cosa questo non può stabilire
- CyberProva supporta la preparazione tra controlli selezionati; non convalida ogni risposta nel questionario dello schema.
- Una valutazione del tenant non copre tutti i dispositivi, le reti o i servizi nell'ambito della certificazione. Conferma i requisiti e l'ambito attuali con il tuo organismo di certificazione.
Domande comuni
Le sole impostazioni di Microsoft 365 possono ottenere la certificazione?
No. La certificazione riguarda l'ambito organizzativo concordato e i requisiti dello schema. Altri dispositivi, servizi e controlli possono essere rilevanti.
Una valutazione CyberProva è Cyber Essentials Plus?
No. Cyber Essentials Plus prevede test tecnici indipendenti del sistema. Organizzare la certificazione tramite un organismo di certificazione.
Guida ufficiale
Utilizza queste fonti con il tuo fornitore IT quando esamini i controlli descritti sopra.
Dalle ipotesi alle prove
Scopri cosa richiede attenzione nella tua organizzazione
Inizia con una valutazione gratuita CyberProva. Esamina i risultati, identifica le lacune nelle prove e concorda le priorità con il tuo team IT.
La tariffa gratuita include 3 valutazioni fondamentali a vita. Le esportazioni di report e le funzionalità avanzate richiedono un piano a pagamento.