La sua email nella cartella spam.
Una modifica DNS dopo, nella posta in arrivo.

La scelta dipende da due domande: a cosa è abituato il suo team e quanto a fondo servono le singole applicazioni. Per le realtà di finanza, legale e ingegneria legate alle formule di Excel, ai documenti lunghi di Word e alle regole di Outlook, M365 è quasi sempre la risposta giusta. Per agenzie, istituti di formazione e team distribuiti che hanno bisogno di collaborare in tempo reale, Workspace è invece più fluido. Contano anche il costo delle licenze, il parco dispositivi, le quote di OneDrive e Drive e le integrazioni con terze parti: per questo, in una chiamata conoscitiva di 30 minuti, mettiamo a confronto tre scenari con prezzo e capacità.

No — e lo diciamo per ragioni tecniche, non promozionali. Una migrazione tipica segue quest'ordine: prima facciamo un inventario completo del server attuale (numero di email, struttura delle cartelle, allegati, calendario, contatti). Poi, via IMAP, EWS o PST, eseguiamo una copia di base nel nuovo tenant e, nei giorni della migrazione, un delta incrementale ogni notte. Il venerdì sera, prima di cambiare i record MX, si esegue un ultimo delta: così il lunedì mattina l'utente ritrova nel nuovo sistema ogni email che aveva nel vecchio. Il vecchio server resta in sola lettura per altri 14-30 giorni; se sembra mancare qualcosa, lo recuperiamo da lì.

Con la giusta preparazione, in pratica no. Il record MX ha un tempo di propagazione di 24-48 ore, ma 7 giorni prima del cutover abbassiamo il TTL a 300 secondi, così i resolver di tutto il mondo iniziano ad aggiornare il record entro 5 minuti. La notte del cutover, dopo il cambio degli MX, il vecchio server resta attivo e le email che vi arrivano vengono inoltrate automaticamente al nuovo tenant. Risultato: l'utente non si trova mai nella situazione «dalle 03:00 non arrivano email» — al massimo, per qualche ora, alcune email passano dal vecchio server e da lì vengono trasferite al nuovo sistema.

Una MFA ben configurata significa una sola approvazione al giorno, non tirare fuori il telefono a ogni accesso. Con una policy di Conditional Access, il dipendente che si collega dalla rete aziendale, da un dispositivo riconosciuto e da un IP a basso rischio non vede la richiesta MFA. Il telefono viene chiesto solo in presenza di segnali di rischio, come un nuovo dispositivo, una nuova città o una lunga inattività. Risultato: la maggior parte dei dipendenti approva una volta al mattino con Authenticator e il resto della giornata scorre in modo trasparente. Se invece un attaccante ruba la password e tenta l'accesso, il telefono viene richiesto ogni volta — e senza telefono non entra.

Una campagna al mese il primo anno, poi una ogni due mesi: è questo l'intervallo più efficace. In ogni campagna mettiamo alla prova circa 1/3 dei destinatari con uno scenario diverso (corriere, banca, imitazione interna, fattura, file condiviso). A ogni utente che clicca viene assegnata all'istante una microformazione di 12 minuti e l'utente rientra tra i destinatari della simulazione successiva. Il punteggio di chi segnala aumenta e l'email segnalata arriva al SOC. Dopo 6 mesi il tasso medio di clic scende dal 18% a meno del 4%. Non basta «far guardare un video di formazione»: serve la simulazione in tempo reale.

Nel momento in cui riceviamo la comunicazione dalle risorse umane. Il processo funziona così: l'account viene disattivato con un clic (con disconnessione da tutti i dispositivi), la casella resta in archivio per 30 giorni, il responsabile ottiene l'accesso ai file e poi la casella viene eliminata. In parallelo gestiamo la delega necessaria, la risposta automatica, l'inoltro delle email e il recupero della licenza attiva. Il punto critico: prima della chiusura esportiamo la casella in formato PST/JSON e la mettiamo nell'archivio aziendale; così, se sei mesi dopo qualcuno chiede «trovate la corrispondenza di quella persona con il cliente», possiamo ancora accedervi.

Sì, ma la conformità inizia con la dichiarazione «la piattaforma è conforme» e si completa solo con una configurazione corretta da parte sua. Microsoft e Google offrono data center nell'UE e accordi individuali sul trattamento dei dati (DPA) per la KVKK (legge turca n. 6698 sulla protezione dei dati personali). Il nostro contributo riguarda tre aree: primo, scelta della residenza UE e corretta impostazione delle policy sulla residenza dei dati; secondo, registrazione dei movimenti di numeri di identità, IBAN e dati delle carte di credito con policy DLP su utenti, caselle e OneDrive/Drive; terzo, un set di documenti per consenso esplicito, conservazione, richieste di cancellazione e meccanismi di notifica delle violazioni dei dati. Quando arriva il revisore, possiamo rispondere in pochi secondi a domande come «quale policy, a quale utente, quando».

Pensi a una struttura a tre livelli. Primo, la licenza della piattaforma: M365 Business Standard o Workspace Business Standard, circa 12-14 USD per utente al mese. Secondo, un livello di sicurezza aggiuntivo (come Defender for Office, Mimecast, KnowBe4): tra 3 e 7 USD per utente al mese, secondo le esigenze. Terzo, il nostro servizio gestito: un canone mensile fisso fino a 50 utenti e, oltre questa soglia, un aumento marginale per utente. Per un tipico team di 30 persone la fattura mensile totale resta sotto lo stipendio di una sola giornata di un ingegnere senior, e comprende gestione della MFA, monitoraggio DMARC, simulazioni di phishing, MDM e assistenza 24/7.