Crittografia applicata in modo errato: come evitare costose falle di sicurezza

By Mirko Peters · 2026-04-22

Se pensi che attivare la crittografia basti a proteggere i tuoi dati, ripensaci. Applicarla in modo errato, per una configurazione sbagliata, scelte architetturali inadeguate o configurazioni datate rimaste attive, può aprire enormi falle nella sicurezza, a volte senza che tu te ne accorga. Queste lacune non mettono solo a rischio le informazioni: compromettono l'intera strategia di sicurezza, fac

Automatically translated with AI from the original post. Read the English original

Titelbild: Encryption Not Applied Correctly: Preventing Costly Security Gaps

Questa guida approfondisce i modi concreti in cui le organizzazioni sbagliano con la crittografia, soprattutto negli ambienti grandi e basati su Microsoft. Troverai analisi pratiche e suggerimenti per la risoluzione dei problemi di crittografia, dagli errori nei criteri di Group Policy o Intune alle impostazioni dei dispositivi trascurate e al comportamento delle applicazioni non considerato. Se sei responsabile della protezione dei dati aziendali, cloud o sui dispositivi, specialmente in Microsoft 365 e Azure, sei nel posto giusto per capire cosa può andare storto, perché, e come risolverlo davvero.

Errori comuni di crittografia che portano a falle di sicurezza

Nessuno decide di applicare la crittografia in modo sbagliato, ma molte organizzazioni cadono nelle stesse trappole. A volte il problema sta nell'affidarsi al livello di crittografia sbagliato; altre volte nel lasciare software obsoleto in uso e nel dare per scontato che "crittografato" significhi "sicuro". Questi errori spesso passano inosservati finché non si verifica una violazione, oppure finché non si controllano le dashboard di conformità e ci si accorge che non raccontano tutta la storia.

Non è solo una questione tecnologica: strumenti sovrapposti, criteri fraintesi e la fretta di spuntare caselle possono creare punti deboli. Questo vale soprattutto in ambienti come Microsoft 365 o Azure, dove più sistemi lavorano insieme, e a volte l'uno contro l'altro. Si possono avere le migliori intenzioni e ritrovarsi comunque con una copertura della crittografia incompleta o con schemi superati che lasciano silenziosamente la porta aperta agli attaccanti.

Analizziamo i principali errori architetturali delle organizzazioni, insieme ai casi in cui si sbaglia usando crittografia debole, trascurando gli aggiornamenti software o semplicemente non abbinando la soluzione giusta alla minaccia giusta. Comprendere questi problemi è fondamentale per chiunque sia responsabile di mantenere i dati aziendali sicuri, conformi e davvero protetti, e non solo "crittografati sulla carta".

Scelte architetturali che causano errori nei sistemi di crittografia

Affidarsi esclusivamente alla crittografia a livello di dispositivo: fidarsi di strumenti come BitLocker per tutto, perdendo però di vista i dati delle applicazioni archiviati nei servizi cloud o nelle directory temporanee.
Uso incoerente della crittografia del software e del sistema operativo: mancato allineamento tra crittografia del dispositivo, Azure Information Protection o soluzioni di terze parti, con conseguente esposizione di alcuni tipi di dati.
Mancata integrazione tra endpoint e cloud: si trascurano le copie dei file create dagli strumenti di sincronizzazione o dai dispositivi mobili che non rientrano nella crittografia completa del disco.
Mancata considerazione dei bypass delle applicazioni: consentire alle app di salvare dati sensibili in file temporanei o cache non crittografati, fuori dalla portata delle soluzioni di crittografia dell'intero disco.

Uso di schemi di crittografia deboli e software obsoleto

Algoritmi obsoleti: affidarsi a schemi superati come SHA-1 o a modalità di crittografia meno recenti, che gli attaccanti possono violare con l'hardware moderno.
Software di crittografia non supportato: utilizzare versioni legacy di BitLocker o di altri strumenti che non ricevono più patch di sicurezza o non sono compatibili con le minacce più recenti.
Mancata installazione degli aggiornamenti critici: ignorare o rinviare gli aggiornamenti di software e firmware che chiudono vulnerabilità critiche della crittografia.
Assenza di monitoraggio degli standard: non tenere il passo con l'evoluzione degli standard crittografici, con il rischio che gli strumenti non proteggano più davvero i dati negli scenari reali.

Dati a riposo: sei sicuro che tutti i dati archiviati siano davvero protetti?

Quando senti parlare di “data at rest” (dati a riposo), potrebbe sembrarti una cosa semplice, ma va oltre i semplici file custoditi in silenzio su un server o un portatile. I dati a riposo sono qualsiasi informazione conservata a lungo termine: in un database, in un vecchio backup, nelle directory di sistema temporanee o anche nelle chiavette USB dimenticate in un cassetto. Gli attaccanti adorano i dati a riposo, perché è lì che di solito si nascondono i segreti aziendali sensibili, i dati personali e i problemi di conformità.

La vera sfida è sapere non solo dove si trovano i tuoi dati, ma anche se la cifratura protegge davvero tutti. Le organizzazioni spesso danno per scontato che una soluzione di cifratura dell'intero disco renda tutto sicuro, ma i file possono trovarsi in posti inattesi, come copie shadow, cartelle in cache e snapshot generati automaticamente. Per questo è così importante capire esattamente cosa comprende “data at rest” e quanto sia facile che si creino falle se non si presta molta attenzione.

Andando avanti, vedrai perché gli attaccanti cercano spesso crepe nell'archiviazione dei dati e perché una sicurezza completa richiede qualcosa di più di un approccio basato sulla semplice spunta di una casella. Se vuoi approfondire come prevenire le fuoriuscite di dati nel flusso dati aziendale, soprattutto nelle pipeline di Microsoft Fabric, dai un'occhiata a questo episodio su come proteggere le pipeline di dati in Microsoft Fabric, con consigli pratici per bloccare le esposizioni interne.

Archiviare dati non necessari crea falle nella cifratura

File temporanei dimenticati: applicazioni e utenti lasciano dati sensibili nelle cartelle temporanee, che spesso non rispettano i protocolli di cifratura.
Backup obsoleti non gestiti: i backup superati restano lì molto tempo dopo che non servono più, accumulandosi in posizioni meno sicure dove la cifratura potrebbe non essere applicata.
Dataset obsoleti o orfani: i dati legacy di applicazioni dismesse o di progetti passati raramente rispettano gli attuali standard di cifratura.
Copie shadow e duplicati non controllati: funzionalità come le copie shadow o la sincronizzazione nel cloud possono creare copie non cifrate dei file, a volte all'insaputa dell'utente.
Mancanza di criteri di eliminazione coerenti: senza regole chiare su conservazione ed eliminazione dei dati, le informazioni non necessarie restano in circolazione, ampliando la superficie di attacco. Per saperne di più su come costruire una gestione dei contenuti solida, leggi questa guida sul caos dei documenti e Purview.

Fondamenti della cifratura dei dati per dispositivi aziendali e client

Siamo sinceri: non puoi proteggere ciò che non capisci. La cifratura non serve solo per le casseforti ad alta sicurezza; è la base della sicurezza quotidiana, sia nei sistemi aziendali sia nei dispositivi di uso comune. Ma perché la cifratura funzioni, devi sapere come opera, come può essere compromessa e come le tue scelte si riflettono su portatili, desktop, dispositivi mobili e cloud.

In questa sezione troverai una panoramica pratica dei fondamenti della cifratura: cos'è, quali componenti contano e perché anche piccoli errori possono vanificare i tuoi piani migliori. Che tu gestisca dispositivi per gli utenti finali, un mix di carichi di lavoro on-premises e cloud, o che tu voglia semplicemente tenere al sicuro gli ecosistemi Microsoft, capire come la cifratura viene realmente applicata (non solo in teoria) è fondamentale.

Vedremo come si incastrano i vari elementi, dove si trovano i punti critici più comuni e come costruire flussi di cifratura end-to-end. Se cerchi buone pratiche che non ti lascino vulnerabile mentre i dati si spostano tra Microsoft 365, Azure e Power Platform, troverai qui consigli basati su casi reali per chiudere le falle e mantenere la protezione dei dati solida quanto richiede il business.

Come funziona la cifratura dei dati e cosa può andare storto

Processo di cifratura: i dati vengono cifrati con un algoritmo e una chiave di cifratura univoca, che li rende illeggibili senza quella chiave. Se l'algoritmo è debole o la chiave viene esposta, tutto crolla.
Gestione delle chiavi: la conservazione sicura e la rotazione delle chiavi di cifratura sono fondamentali. Perdere il controllo delle chiavi, o conservarle insieme ai dati cifrati, vanifica l'intero scopo.
Supporto hardware: i dispositivi con Trusted Platform Module (TPM) e un firmware adeguato rafforzano la sicurezza, ma hardware mal configurato o incompatibile causa guasti silenziosi che lasciano i dati non protetti.
Spostamento dei dati: I dati spesso restano esposti quando vengono spostati tra dispositivi o applicazioni. Se la crittografia non segue i dati, si aprono rapidamente delle falle.
Errore umano: Errori semplici, come gestire male le chiavi o non crittografare i dati in memoria, sono alla base di molte strategie di crittografia fallite.

Garantire la sicurezza di dati: crittografia, elaborazione e gestione su tutti i dispositivi

Flussi di lavoro di crittografia end-to-end: Assicurati che la crittografia venga mantenuta dalla creazione del dispositivo fino al transito dei dati, non solo nel punto di archiviazione.
Monitoraggio dei passaggi dei dati: Tieni d'occhio i punti in cui i dati escono dalle zone sicure, ad esempio quando passano da PC on-premises a servizi cloud, perché spesso questi passaggi non vengono controllati.
Governance di accessi e proprietà: Usa gli strumenti di Microsoft 365 per definire una chiara governance dell'accesso e della proprietà dei dati, così nessuno dovrà chiedersi chi è responsabile dei contenuti sensibili.
Applicazione della crittografia durante l'elaborazione: Non dare per scontato che la crittografia in memoria funzioni automaticamente: assicurati che app e processi non scrivano dati non crittografati nei log o nei file di swap.
Gestione unificata dei criteri: Usa i controlli dell'ecosistema Microsoft per garantire che Azure, Power Platform e i dispositivi client rispettino gli stessi standard di crittografia e monitoraggio.

Quando una configurazione errata dei criteri lascia la crittografia non applicata

A volte il punto debole più grande della tua configurazione di crittografia non è la tecnologia, ma il criterio. Negli ambienti più grandi, strumenti come Microsoft Group Policy, Intune o Azure AD dovrebbero semplificare le cose, applicando regole standard su tutti i dispositivi. Ma se questi criteri sono configurati in modo errato? La crittografia può fallire in silenzio, e potrebbe non esserci alcun segnale di allarme finché non esegui un audit (o, peggio, non si verifica una violazione).

L'impostazione giusta nel posto sbagliato, oppure la regola di accesso condizionale errata, può produrre dispositivi che sembrano sicuri ma non lo sono affatto. Soprattutto con BitLocker o strumenti simili, i fallimenti silenziosi nella configurazione dei criteri possono far credere che tutto sia crittografato, mentre alcune macchine restano silenziosamente esposte agli attacchi. Se ti stai chiedendo come individuare e correggere questi punti ciechi nascosti, imparare a monitorare e verificare la conformità dei criteri è fondamentale.

Per approfondire come rafforzare il tuo approccio alle regole di Accesso condizionale e ridurre le lacune invisibili nei criteri, puoi esaminare le strategie su problemi di affidabilità dei criteri di Accesso condizionale e i suggerimenti su come monitorare la conformità in Microsoft Defender for Cloud. Entrambi illustrano approcci per assicurarti che il sistema applichi ciò che dicono i tuoi criteri, e non solo ciò che mostrano le dashboard.

Come le impostazioni di Criteri di gruppo e MDM bloccano la crittografia BitLocker

Applicazione del TPM disattivata: I criteri che non richiedono un Trusted Platform Module consentono ai dispositivi di saltare la sicurezza hardware, bloccando silenziosamente l'attivazione di BitLocker.
Impostazioni di alimentazione o sospensione errate: Configurare le macchine per usare la sospensione invece dell'ibernazione può impedire l'autenticazione BitLocker prima dell'avvio, indebolendo la sicurezza fisica.
Script di avvio errati o mancanti: Se gli script destinati ad abilitare o verificare la crittografia falliscono o vengono applicati in modo errato, i dispositivi vengono saltati durante le distribuzioni di massa.
Criteri sovrapposti o in contrasto: Impostazioni concorrenti da Criteri di gruppo e Intune/MDM possono fare in modo che una disattivi ciò che l'altra cerca di attivare, lasciando la crittografia non applicata.
Assenza di governance orientata al sistema: Non monitorare errori e proprietà, come descritto in errori di governance di Microsoft 365, porta a endpoint dimenticati e a una deriva dei criteri che nessuna dashboard rileverà finché non sarà troppo tardi.