Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Ridurre la probabilità di accesso
MFA, blocco dell’autenticazione legacy e Conditional Access riducono l’uso di credenziali rubate. Gli account privilegiati devono essere separati e maggiormente protetti.
SPF, DKIM e DMARC aiutano i destinatari a verificare i messaggi associati ai domini aziendali. La configurazione va progettata e monitorata, evitando passaggi bruschi senza visibilità sui mittenti legittimi.
- MFA e accesso condizionale
- Blocco dell’autenticazione legacy
- SPF, DKIM e percorso DMARC
- Protezione anti-phishing e impersonation
- Formazione e segnalazione semplice
Cercare segnali di compromissione
Inoltri esterni, regole inbox sospette, nuove applicazioni autorizzate, modifiche ai metodi MFA e accessi anomali possono indicare abuso.
Gli avvisi devono avere un proprietario e una procedura. Raccogliere log senza capacità di analisi non riduce il tempo di risposta.
Preparare la risposta
Il runbook dovrebbe includere blocco o revoca delle sessioni, messa in sicurezza dell’identità, analisi di regole e autorizzazioni, ricerca dei messaggi inviati e valutazione dell’impatto.
È importante preservare le evidenze e coordinare comunicazioni interne ed esterne, soprattutto in caso di frode o esposizione di dati.
Domande frequenti
Un buon filtro elimina il phishing?+
No. Riduce molti messaggi, ma restano necessari controlli sulle identità, formazione, monitoraggio e risposta.
DMARC si attiva subito in modalità reject?+
È preferibile conoscere prima tutti i mittenti legittimi, osservare i report e procedere gradualmente.
Cambiare la password chiude l’incidente?+
Non sempre. Occorre controllare sessioni, metodi MFA, regole, inoltri, applicazioni autorizzate e attività svolte.