Log di controllo che non mostrano dati: cause e soluzioni per la risoluzione dei problemi

By Mirko Peters · 2026-04-22

Se ti stai grattando la testa perché i log di controllo non mostrano le informazioni che ti aspetti, non sei il solo. I dati di controllo mancanti possono compromettere in…

Automatically translated with AI from the original post. Read the English original

Titelbild: Audit Logs Not Showing Data: Troubleshooting Causes and Solutions

Se ti stai grattando la testa perché i log di controllo non mostrano le informazioni che ti aspetti, non sei il solo. I dati di controllo mancanti possono compromettere le indagini, mettere a rischio la conformità o semplicemente far perdere la pazienza a chi monitora Microsoft 365, Azure o ambienti cloud ibridi. Questa guida analizza subito le cause più comuni, come errori di configurazione, criteri di conservazione, autorizzazioni e anomalie di sistema, che generano lacune nei log di controllo. Troverai diagnosi passo passo, spiegazioni sull'impatto dell'ambiente, soluzioni pratiche e suggerimenti per mantenere la situazione sotto controllo nel lungo periodo. Che tu stia affrontando una verifica di sicurezza, un audit interno o semplicemente voglia dormire più tranquillo, al termine avrai gli strumenti per mantenere i log accurati e una documentazione di conformità solida. Mettiamoci al lavoro e chiudiamo una volta per tutte questo mistero.

Introduzione alle lacune nei log di controllo negli ambienti Microsoft

Nell'universo Microsoft, i log di controllo sono come le registrazioni della telecamera di sicurezza: servono a documentare chi ha fatto cosa e quando. Ti aspetti che ogni azione dell'utente e ogni modifica di sistema rilevante venga registrata, che si tratti di Microsoft 365, Azure o Power Platform.

Ma a volte gli eventi attesi scompaiono dai log. Magari l'attività degli utenti non compare, oppure azioni importanti, come modifiche ai criteri o alla modifica dei documenti, non vengono registrate. Non si tratta solo di un fastidio: rende impossibili le verifiche di conformità e le indagini. In alcuni casi può mettere a rischio la capacità dell'organizzazione di rispettare i requisiti normativi o di superare un audit IT.

Queste “lacune” nei log di controllo hanno molte cause: alcune tecniche, altre legate alle impostazioni, altre ancora dovute alla complessità degli ambienti ibridi. E quando si lavora con prodotti cloud Microsoft che coprono più piattaforme e servizi, le variabili in gioco aumentano.

Se vuoi avere il controllo su governance, gestione dei rischi o requisiti normativi, non puoi ignorare queste lacune. I log di controllo sono fondamentali per dimostrare chi ha avuto accesso a cosa, ricostruire gli incidenti di sicurezza e dimostrare di avere la situazione sotto controllo dal punto di vista della conformità. Se vuoi approfondire la registrazione delle attività degli utenti, puoi consultare questa guida su Microsoft Purview Audit.

Riconoscere i sintomi e i problemi quando mancano i dati di controllo

Ricerche nel log vuote o parziali: apri la ricerca nel log di controllo (magari in Microsoft Purview) e non trovi risultati per un periodo in cui sai che c'è stata attività. È uno dei primi segnali d'allarme: se le azioni degli utenti o gli eventi di sistema non compaiono, qualcosa non va.
Nessuna traccia di specifici eventi di utenti o amministratori: che si tratti di condivisione di file, modifiche alle autorizzazioni o accesso alle caselle di posta, l'evento atteso non viene registrato. Cerchi un utente che ha modificato un documento o cambiato un'impostazione, ma i log risultano vuoti.
Lacune inspiegabili o salti temporali nei dati di controllo: noti un salto improvviso negli orari, con un evento alle 10 e il successivo alle 14, senza nulla in mezzo. Questo indica che manca una parte dei dati di log, che può dipendere dalla scadenza della conservazione, da un guasto di sistema o da lacune di configurazione.
Monitoraggio delle modifiche non riuscito o incompleto: modifiche importanti, come aggiornamenti ai gruppi di sicurezza o ai criteri di prevenzione della perdita di dati (DLP), non vengono registrate. Non esiste quindi una traccia chiara delle responsabilità, il che può compromettere la conformità o le indagini.
Disallineamento tra sistemi diversi: a volte i log compaiono in un sistema (ad esempio in una dashboard SIEM) ma non nella piattaforma di origine. Oppure, peggio ancora, i log non raggiungono mai la soluzione di monitoraggio centrale a causa di errori di inoltro o integrazione.
Ritardo nella disponibilità dei log: negli ambienti cloud, a volte i log arrivano semplicemente con ritardo. Non si tratta di una lacuna permanente, ma può dare la stessa impressione: i log risultano temporaneamente “mancanti” mentre sono ancora in elaborazione a causa del carico di sistema o della limitazione delle richieste.
Punti ciechi legati alle autorizzazioni: non tutti gli utenti possono vedere ogni voce del log di controllo. Se il controllo degli accessi basato sui ruoli (RBAC) o le autorizzazioni utente sono troppo restrittivi, i dati potrebbero esserci, ma tu non hai i diritti per visualizzarli. Questa distinzione è fondamentale: a volte il problema non è il tracciamento, ma la visibilità.
Criteri di conservazione e scadenza dei dati: I dati del registro di controllo potrebbero essere scaduti o essere stati archiviati in base ai criteri di conservazione, facendoli apparire «mancanti» quando in realtà hanno semplicemente superato la durata di conservazione. Per un approfondimento sulla governance oltre i controlli standard, ascolta questo podcast sull'illusione della governance.

Riconoscere questi sintomi in anticipo fa risparmiare tempo e restringe il campo delle verifiche. A volte si tratta di un vero guasto tecnico. Altre volte il registro è quello giusto, ma le autorizzazioni sbagliate ne impediscono la visualizzazione oppure i log sono semplicemente scaduti.

Diagnosticare in modo efficace le voci mancanti del registro di controllo

Individuare i dati di controllo mancanti è solo l'inizio. Ora inizia il lavoro vero: serve una strategia per capire perché esistono quelle lacune. Nel mondo di Microsoft 365, Azure e Power Platform, la diagnosi è un processo metodico, non un gioco di supposizioni.

Innanzitutto, tieni presente che il problema può avere origine ovunque, da un errore nelle impostazioni del criterio di controllo a modifiche nella struttura dell'ambiente. Potrebbe trattarsi di un errore di configurazione, di un'impostazione predefinita inattesa o anche di un problema nell'acquisizione o nell'inoltro dei log. A volte i log sono presenti, ma autorizzazioni o problemi di integrazione li tengono nascosti nei risultati di ricerca che stai controllando.

Questa sezione ti guida attraverso un processo logico: si parte dalle verifiche di configurazione più ovvie, per poi passare ai fattori dell'ambiente, allo stato dei servizi e ai flussi di dati che potrebbero interrompere o ritardare la consegna del registro di controllo. Analizzando ogni elemento in sequenza, riduci al minimo i punti ciechi ed eviti la trappola comune di accettare la prima spiegazione che salta fuori.

Seguendo un approccio diagnostico accurato, aumenti le probabilità di ripristinare un tracciamento affidabile delle attività e di mantenere una documentazione di conformità solida. Nella prossima parte esamineremo nel dettaglio le cause più comuni negli ambienti Microsoft reali, così potrai intervenire con decisione invece di applicare semplici pezze al problema.

Cause comuni delle lacune nel registro di controllo in Microsoft 365 e Azure

Criterio di controllo disattivato o non configurato: Se la registrazione del controllo non è attiva per determinati carichi di lavoro o tenant, non viene registrato nulla. Questo accade più spesso di quanto si pensi dopo migrazioni di tenant o nella configurazione iniziale. Verifica sempre che il controllo sia abilitato nelle app principali.
Criteri di conservazione e scadenza dei dati: A volte i dati esistevano, ma sono stati eliminati in base a un periodo di conservazione breve o a una finestra di archiviazione predefinita. In Microsoft 365, ad esempio, i log di controllo Standard possono essere conservati solo per 90 giorni. Passa a piani avanzati se ti servono periodi di conservazione più lunghi, altrimenti rischi di perdere prove storiche.
Autorizzazioni utente e limitazioni RBAC: Le voci di controllo potrebbero esistere, ma le autorizzazioni di chi le consulta ne limitano la visibilità. Le impostazioni del controllo degli accessi basato sui ruoli (RBAC) o gli ambiti personalizzati possono limitare quali eventi e quali utenti una persona può vedere nei log. Verifica sempre l'ambito dei privilegi quando i dati sembrano «scomparsi».
Interruzioni del servizio o ritardi nell'elaborazione: Guasti temporanei nei servizi cloud o durante picchi di carico possono causare ritardi nell'acquisizione dei log o set di dati incompleti. A volte i log non vengono elaborati abbastanza in fretta, soprattutto durante i picchi di attività o gli eventi legati al cloud.
Errori di inoltro o integrazione dei log: Quando si utilizzano SIEM o altri strumenti di analisi, i log potrebbero essere generati ma mai inviati correttamente ai sistemi esterni. Verifica lo stato degli agenti, la configurazione dei connettori e le mappature di acquisizione, così da non perdere la visibilità centralizzata.
Complessità ibrida e multipiattaforma: Negli ambienti ibridi, il passaggio degli eventi tra sistemi on-premise e cloud può interrompersi, lasciando lacune quando un lato non trasmette i log all'altro. La proprietà frammentata o la confusione tra piattaforme, come evidenziato in questo episodio sui fallimenti della governance, possono far sì che le impostazioni di controllo si disallineino o vadano perse.
Problemi di versioning e shadow IT: Le funzionalità di collaborazione moderne (come la salvataggio automatico in Microsoft 365) possono comprimere la cronologia delle versioni e far sì che i criteri di controllo non rilevino modifiche comportamentali sottili, come discusso in questo podcast sul compliance drift.

Il trucco è affrontarli uno alla volta: verificare i criteri di controllo, controllare le configurazioni di conservazione, confermare i diritti di accesso e validare gli agenti e le integrazioni di inoltro dei log, per isolare dove si nasconde il vero problema.

Come gli ambienti e le impostazioni di configurazione influiscono sulla registrazione di controllo

L'ambiente in cui operi, che sia una sandbox di sviluppo, un ambiente di test o il tenant di produzione, incide molto sul comportamento dei log di controllo. Ad esempio, le istanze di sviluppo o di staging hanno spesso configurazioni meno rigide, e il tracciamento delle attività può essere disattivato per risparmiare risorse. In produzione, i requisiti di conformità più stringenti di solito richiedono una registrazione più rigorosa e completa, ma solo se le impostazioni sono corrette.

Non dimenticare che non conta solo l'etichetta dell'ambiente. È la configurazione all'interno di ciascun ambiente, ovvero le opzioni a livello di tenant, le impostazioni DLP di Power Platform e quelle caselle di controllo "intuitive" dell'interfaccia, a determinare cosa viene registrato. A volte un controllo di sicurezza che dovrebbe essere globale viene invece impostato per singola app o singolo servizio, con una copertura incoerente. La situazione si complica se stai combinando infrastrutture legacy con strumenti cloud-native.

L'interfaccia di amministrazione è il punto di partenza, ma ciò che conta davvero è quello che accade in background. Tutti i carichi di lavoro sono stati integrati in Microsoft Purview Audit? Per i dati soggetti a controllo, Dataverse è preferibile a SharePoint? Scelte sbagliate in questo ambito favoriscono la proliferazione incontrollata della governance, come spiega questa discussione sugli errori di governance. Gli sviluppatori che usano elenchi SharePoint predefiniti e troppo permissivi potrebbero aggirare il tracciamento.

Infine, presta attenzione ai confini di sicurezza e ai modelli di autorizzazione. La sicurezza a livello di campo, l'isolamento delle unità di business e una gestione rigorosa dei ruoli, come illustrato in questo approfondimento sulla sicurezza di Dataverse, garantiscono che i log non solo vengano acquisiti, ma che possano essere visualizzati dalle persone giuste. La risoluzione dei problemi consapevole dell'ambiente ti evita di correggere la cosa sbagliata nel posto sbagliato.

Soluzioni rapide per i log di controllo e come verificare che abbiano funzionato

Una volta individuata la causa principale, è il momento di risolvere il problema dei log di controllo e tornare operativi. La soluzione tipica consiste nel (ri)abilitare i criteri di registrazione, attivando il controllo per tutti i carichi di lavoro, le app e le attività a livello di tenant interessati. Verifica sempre la presenza di impostazioni trascurate, sia nell'interfaccia grafica sia in PowerShell.

Poi, rivedi i criteri di conservazione. Assicurati che i log non scadano troppo rapidamente: se ti serve una conservazione più lunga dei dati, passa a un livello superiore di Microsoft Purview Audit, come spiegato in questa guida su Purview. Reimpostare le finestre di conservazione estende il periodo di consultazione e chiude le lacune causate da scadenze accidentali dei dati.

Non trascurare le autorizzazioni. Verifica che il tuo account o il servizio di reporting disponga dei diritti di accesso ai log di controllo necessari, con le autorizzazioni RBAC o delegate appropriate. Se non sei sicuro di chi debba vedere cosa, esegui una verifica degli accessi. Per approfondire la governance dell'accesso ai dati, consulta questa pagina sulla protezione della proprietà e sulle verifiche degli accessi.

Infine, verifica che la correzione funzioni. Esegui un'azione di prova, ad esempio creare un nuovo utente o modificare un documento, e controlla che compaia nei log. Se tutto risulta come previsto e le ricerche restituiscono risultati completi e tempestivi, probabilmente hai risolto il problema.

Ulteriori considerazioni per il successo a lungo termine dei log di controllo

Far tornare a funzionare i log di controllo è solo il primo passo. Mantenere una visibilità affidabile dei log nel tempo richiede di affrontare aspetti di più ampio respiro.

Innanzitutto, documenta l'intero percorso: dalla scoperta del problema alla causa principale, fino alla soluzione applicata. Questo aiuta il team a evitare di ripetere gli stessi errori se il problema si ripresenta e rende più agevoli le verifiche di conformità.

Rivedi e aggiorna con frequenza le impostazioni dei criteri di conservazione. Assicurati che i log che ti interessano durino più dei requisiti normativi e non vengano eliminati prematuramente. Integrare i dati di controllo con strumenti di analisi o SIEM (come Microsoft Sentinel) offre un quadro di sicurezza più completo. Non trascurare, però, gli errori di inoltro dei log verso questi sistemi: correla l'archiviazione interna ed esterna dei log per evitare perdite silenziose di dati.

Anche i permessi degli utenti cambiano, e le verifiche di accesso dovrebbero cambiare di conseguenza. Esegui controlli regolari per assicurarti che chi ha bisogno dell'accesso ai log di audit lo abbia, e che ex dipendenti o terze parti non conservino la possibilità di cercare nei log. Prendi come spunto l'approccio di audit in tempo reale nelle iniziative di compliance digitale e tratta i log come un asset aziendale fondamentale, non come un ripensamento dell'ultimo minuto.

Tieni d'occhio il drift dei sistemi, i bug di integrazione e i cambiamenti nei processi aziendali che potrebbero compromettere la completezza dei log di audit che hai costruito con tanta fatica. Monitoraggio, documentazione e un solido processo di governance chiudono il cerchio per il successo a lungo termine.

Questa guida ti è stata utile? Condividi il tuo feedback e le prossime domande

Ci impegniamo a mantenere questa guida per la risoluzione dei problemi utile e accurata. Se le informazioni qui riportate hanno risolto il tuo problema con i log di audit, faccelo sapere: il tuo feedback rende questa risorsa migliore per tutti coloro che si trovano di fronte a sfide simili. Hai idee per argomenti futuri o domande specifiche che non hanno trovato risposta? Condividile, così potremo aggiornare e migliorare questa guida per l'intera comunità Microsoft.

Se sei ancora bloccato o desideri un supporto più pratico, consulta la sezione successiva per i canali di assistenza e le risorse aggiuntive. I tuoi suggerimenti e commenti determinano il valore di questa guida, quindi non esitare a contribuire.

Hai ancora domande? Contatta il supporto o visita la community

Se hai seguito questa guida alla risoluzione dei problemi e il problema con i log di audit non è ancora risolto, è il momento di chiedere ulteriore aiuto. Sì, dovresti contattare i canali di supporto Microsoft, soprattutto se sospetti bug, problemi di sistema più profondi o scenari ibridi particolari che possono analizzare insieme a te.

Se il tuo ambiente è più complesso o desideri semplicemente qualche spunto in più, partecipare a forum di professionisti e community di pari è una mossa saggia. Troverai molte persone che hanno affrontato problemi simili con i log e che possono condividere le loro esperienze di risoluzione. Non esitare: in materia di compliance, l'unica domanda sciocca è quella che non fai.