Padroneggiare l'accesso condizionale in Microsoft Entra ID: costruire un perimetro Zero Trust

By Mirko Peters · 2026-08-27

Bentornati al podcast! Oggi approfondiamo un argomento che è il fondamento assoluto della sicurezza cloud moderna: l'accesso condizionale in Microsoft Entra ID. Se avete ascoltato la nostra ultima puntata, sapete che abbiamo passato un'ora buona a spiegare perché il tradizionale perimetro di rete è morto. Sono finiti i tempi in cui bastava fidarsi di tutto ciò che si trovava dietro il firewall azi

Automatically translated with AI from the original post. Read the English original

Titelbild: Mastering Conditional Access in Microsoft Entra ID: Building a Zero Trust Perimeter

L'accesso condizionale di Microsoft Entra ID è il motore che alimenta questo nuovo perimetro. Funziona come una guardia di sicurezza intelligente e automatizzata per la vostra organizzazione: valuta il contesto di ogni singola richiesta di accesso prima di decidere se concedere l'accesso, bloccarlo oppure richiedere un ulteriore livello di verifica. In questo articolo analizzeremo in profondità i componenti principali dei criteri di accesso condizionale. Vedremo come valutare i segnali, imporre un'autenticazione forte e costruire una postura di sicurezza Zero Trust solida, in grado di proteggere l'organizzazione senza paralizzare la produttività.

Introduzione all'accesso condizionale e a Zero Trust

Per padroneggiare davvero l'accesso condizionale dobbiamo prima allineare la mentalità ai principi di Zero Trust. La filosofia di fondo di Zero Trust si riassume in tre parole semplici: non fidarti mai, verifica sempre. In passato le organizzazioni si affidavano a una strategia da castello con fossato. Una volta che un utente riusciva a superare le mura del castello, collegandosi alla rete Ethernet dell'ufficio oppure autenticandosi con successo tramite una VPN aziendale, era in gran parte considerato affidabile e poteva muoversi lateralmente nella rete. Come abbiamo visto in innumerevoli attacchi informatici degli ultimi anni, questo approccio è fondamentalmente errato.

Zero Trust presume una violazione e verifica ogni richiesta come se provenisse da una rete non attendibile. Ogni richiesta di accesso deve essere autenticata, autorizzata e cifrata prima che l'accesso venga concesso. Ma la sola verifica non basta: il processo di verifica deve essere intelligente e consapevole del contesto.

È qui che entra in gioco l'accesso condizionale di Microsoft Entra ID. Pensate all'accesso condizionale come a un motore di istruzioni if-then: se si verifica un determinato insieme di condizioni, allora viene applicato un determinato insieme di controlli. Analizzando i segnali provenienti da diverse fonti, come chi sta tentando l'accesso, da dove si collega, quale dispositivo sta usando e se il comportamento appare sospetto, l'accesso condizionale prende decisioni automatiche in tempo reale che bilanciano sicurezza ed esperienza utente. Garantisce che gli utenti giusti abbiano l'accesso giusto alle risorse giuste, nelle condizioni giuste.

L'anatomia di un criterio: assegnazioni e condizioni

Costruire un criterio di accesso condizionale efficace richiede una conoscenza approfondita della sua architettura. Ogni criterio in Microsoft Entra ID è sostanzialmente suddiviso in due fasi principali: assegnazioni e controlli di accesso. Nella fase delle assegnazioni si definisce a chi si applica il criterio e a cosa stanno cercando di accedere. Vediamo nel dettaglio questi elementi fondamentali.

Innanzitutto abbiamo Utenti e gruppi. Qui si specifica l'ambito del criterio: volete che si applichi a tutti gli utenti dell'intera organizzazione oppure che riguardi reparti specifici, come Finanza o gli amministratori IT? Le best practice consigliano in genere di iniziare con gruppi pilota prima di distribuire i criteri in modo esteso, ma alla fine le baseline di sicurezza critiche dovrebbero coprire tutti.

Passiamo poi a App cloud o azioni. Qui si definiscono le risorse che il criterio protegge. Si possono destinare criteri ad applicazioni specifiche, come Microsoft Exchange Online, SharePoint o applicazioni aziendali personalizzate integrate con Entra ID. È inoltre possibile applicare i criteri a tutte le app cloud, un modo efficace per imporre una baseline di sicurezza per ogni applicazione SaaS utilizzata dall'organizzazione.

Oltre a chi e a cosa, passiamo alle Condizioni. Le condizioni consentono di restringere l'ambito del criterio in base a fattori contestuali. Tra queste:

Rischio utente e rischio di accesso

Sfruttando l'enorme rete di threat intelligence di Microsoft, Entra ID calcola in modo continuo la probabilità che un account utente sia stato compromesso (rischio utente) oppure che una specifica richiesta di autenticazione provenga da un malintenzionato (rischio di accesso). Le condizioni ti permettono di attivare i criteri specificamente quando viene rilevato un rischio medio o alto.

Piattaforme dei dispositivi

Puoi applicare i criteri in base al sistema operativo del dispositivo utilizzato, che sia Windows, macOS, iOS, Android o Linux. In questo modo puoi applicare requisiti di sicurezza diversi a seconda del tipo di dispositivo.

Posizioni

Accesso condizionale ti consente di definire intervalli di indirizzi IP attendibili (ad esempio le reti dell'ufficio aziendale) oppure di integrare posizioni denominate basate sui codici paese. Puoi usare questi segnali di posizione per bloccare l'accesso da paesi ad alto rischio oppure per richiedere l'autenticazione a più fattori solo quando gli utenti si connettono dall'esterno del perimetro aziendale attendibile.

Valutare i segnali in tempo reale: posizione, rischio e conformità del dispositivo

La vera forza dell'Accesso condizionale sta nella capacità di valutare segnali in tempo reale. In un tradizionale ambiente IT, i criteri di sicurezza erano statici. Se avevi il nome utente e la password corretti, entravi, indipendentemente dal fatto che tu stessi accedendo da un laptop aziendale gestito a New York o da un terminale pubblico compromesso in un paese straniero alle 3:00 del mattino. L'Accesso condizionale cambia completamente questa dinamica, trasformando l'autenticazione in una valutazione del rischio continua.

Prendiamo, per esempio, lo stato del dispositivo. Grazie all'integrazione con Microsoft Intune o con soluzioni di gestione dei dispositivi mobili (MDM) di terze parti supportate, l'Accesso condizionale può verificare se un dispositivo è conforme agli standard di sicurezza dell'organizzazione. Il sistema operativo è aggiornato? La crittografia del disco è attiva? Il dispositivo è gestito dall'organizzazione o si tratta di un dispositivo personale non gestito (Bring Your Own Device, o BYOD)? Valutando lo stato del dispositivo in tempo reale, puoi garantire che i dati aziendali raggiungano solo endpoint integri e sicuri.

La valutazione del rischio va oltre. Microsoft Entra ID Protection analizza ogni giorno migliaia di miliardi di segnali, osservando scenari di viaggio impossibile, frequenze di accesso atipiche, credenziali compromesse e indirizzi IP anonimi. Quando un utente tenta di accedere, Entra ID valuta questi segnali istantaneamente. Se un utente normalmente accede da Londra e, dieci minuti dopo, tenta di accedere alle risorse da un indirizzo IP sospetto in un'altra parte del mondo, il rischio di accesso viene segnalato come alto. Il criterio di Accesso condizionale può quindi intercettare la richiesta, aumentando i requisiti di verifica oppure bloccando del tutto il tentativo di accesso prima che qualsiasi dato possa essere esfiltrato.

I segnali basati sulla posizione aggiungono un ulteriore livello di contesto. Sebbene i perimetri di rete non siano più l'unica risposta in ambito di sicurezza, il contesto geografico resta estremamente prezioso. Puoi configurare criteri che bloccano del tutto l'accesso dai paesi in cui la tua azienda non ha attività legittime, riducendo drasticamente la superficie di attacco contro gli attacchi automatizzati di credential stuffing provenienti da aree notoriamente frequentate da minacce.

Applicare la sicurezza: controlli di concessione e punti di forza dell'autenticazione

Una volta che il criterio ha valutato le assegnazioni e le condizioni in tempo reale, si passa alla fase di applicazione: i controlli di concessione. È qui che il criterio stabilisce cosa deve accadere prima che l'accesso all'applicazione cloud venga formalmente concesso.

Gli amministratori hanno diverse opzioni nei controlli di concessione. Puoi scegliere di bloccare completamente l'accesso, cosa utile in scenari ad alto rischio o in caso di stati del dispositivo non autorizzati. In alternativa, puoi concedere l'accesso, ma solo se vengono soddisfatti requisiti specifici. Tra questi requisiti possono esserci:

Richiedere l'autenticazione a più fattori (MFA)
Richiedere che il dispositivo sia contrassegnato come conforme
Richiedere un dispositivo aggiunto ibrido a Microsoft Entra
Richiedere un'applicazione client approvata
Richiedere un criterio di protezione delle app (gestione delle applicazioni mobili)
Richiedere la modifica della password per gli utenti ad alto rischio

Una funzionalità particolarmente potente introdotta da Microsoft sono i Punti di forza dell'autenticazione. In passato, l'MFA veniva spesso trattata come una scelta binaria: o si usava l'MFA oppure no. Ma non tutti i metodi di autenticazione offrono lo stesso livello di sicurezza. Gli attacchi di phishing si sono evoluti fino ad aggirare gli SMS tradizionali, le chiamate vocali e persino le notifiche push di base attraverso sofisticati attacchi adversary-in-the-middle.

Con Authentication Strengths puoi definire esattamente quali metodi di autenticazione sono consentiti per asset di alto valore o scenari ad alto rischio. Ad esempio, puoi creare un criterio che richiede MFA resistente al phishing, come le chiavi di sicurezza FIDO2 o Windows Hello for Business, limitando al tempo stesso metodi meno sicuri come gli SMS o le chiamate telefoniche tradizionali. In questo modo puoi implementare un modello di autenticazione graduato in base al rischio: per le app di uso quotidiano può bastare l'MFA standard, mentre i portali amministrativi e i sistemi finanziari sensibili richiedono credenziali resistenti al phishing.

Best practice per progettare e testare i criteri

Implementare Accesso condizionale può migliorare notevolmente la postura di sicurezza, ma se configurato in modo errato può anche bloccare l'intera organizzazione, amministratori globali compresi. Come si suol dire, da un grande potere derivano grandi responsabilità. Per aiutarti a evitare interruzioni auto-inflitte, vediamo insieme alcune best practice essenziali per progettare, testare e gestire i tuoi criteri di Accesso condizionale.

Prima di tutto: non bloccarti mai fuori. Escludi sempre almeno un account di accesso di emergenza (un account amministratore solo cloud, con una password robusta e conservata in modo sicuro) dai tuoi criteri core di Accesso condizionale. Inoltre, assicurati che gli account amministrativi siano sottoposti a test rigorosi e a un monitoraggio solido, ma mantieni una rete di sicurezza che ti consenta di recuperare sempre l'accesso se un criterio non funziona correttamente.

Secondo, adotta una strategia di rilascio graduale. Non creare un criterio restrittivo e applicarlo subito a tutti gli utenti. Usa invece la modalità «Solo report». La modalità Solo report permette di valutare l'impatto di un criterio senza applicarlo effettivamente. Entra ID registra nei log di accesso se il criterio avrebbe bloccato o consentito l'accesso, offrendoti visibilità su possibili disagi per gli utenti o su flussi di lavoro compromessi prima che il criterio entri in produzione.

Quando sei pronto ad applicarlo, parti da un gruppo pilota, ad esempio il reparto IT o un'unità di business collaborativa. Monitora i loro log di accesso, raccogli feedback, perfeziona le condizioni e amplia gradualmente l'ambito fino a coprire l'intera organizzazione.

Infine, documenta chiaramente i tuoi criteri e rivedili regolarmente. I requisiti di business cambiano, le persone cambiano ruolo e le minacce alla sicurezza evolvono. Un criterio che aveva senso due anni fa potrebbe oggi essere eccessivamente restrittivo o pericolosamente obsoleto. Stabilire una cadenza regolare per rivedere la postura di Accesso condizionale garantisce che il tuo perimetro Zero Trust resti resiliente, efficace e allineato agli obiettivi dell'organizzazione.

Grazie per averci seguito e per la lettura! Padroneggiare Accesso condizionale è un percorso, ma seguendo questi passaggi sarai già sulla buona strada per costruire un perimetro di sicurezza Zero Trust resiliente in Microsoft Entra ID. Iscriviti al podcast per altri approfondimenti sulla sicurezza cloud e ci vediamo nel prossimo episodio!