Attivare Microsoft 365 è solo l’inizio. Persone, privilegi e configurazioni cambiano nel tempo: senza responsabilità e verifiche definite, il tenant può diventare difficile da governare. Questo articolo propone quattro aree di controllo, spiega quali decisioni spettano all’azienda e mostra come trasformare le segnalazioni tecniche in azioni tracciabili.

Milano, 9 novembre 2026

La gestione del tenant Microsoft 365 richiede un responsabile per le decisioni, persone incaricate dei controlli e una procedura per intervenire quando cambiano utenti, ruoli o configurazioni. Attivare le licenze e configurare i servizi non conclude il lavoro: il tenant evolve ogni volta che entra un collega, cambia un reparto, arriva un fornitore o viene modificata una policy.

Immaginiamo un’azienda che usa posta, Teams e SharePoint. Una nuova persona riceve un account, entra nei gruppi necessari e comincia a lavorare. Qualche mese dopo cambia ruolo; un consulente esterno accede a un progetto; un amministratore lascia l’azienda. Se ogni passaggio viene gestito come richiesta isolata, diventa difficile sapere se gli accessi rimasti sono ancora giustificati e chi ha approvato le eccezioni.

Il punto di partenza è distinguere quattro aree di verifica. Gli strumenti disponibili e il livello di dettaglio cambiano secondo licenze, configurazione e perimetro concordato.

1. Utenti e accessi: chi autorizza i cambiamenti?

Per ingressi, cambi di ruolo e uscite serve un percorso riconoscibile: il referente aziendale indica gli accessi necessari, chi amministra il tenant esegue la modifica e l’esito viene registrato. Una richiesta come «abilita Microsoft 365» è troppo generica se una persona deve usare specifici gruppi, siti o applicazioni.

Una verifica periodica può partire da domande semplici: gli account appartengono a persone ancora attive? Gli accessi dei consulenti hanno un referente e una durata? Le persone che hanno cambiato mansione conservano permessi non più necessari? L’azienda decide chi deve accedere alle informazioni; l’esecuzione tecnica può essere affidata al team interno o a un partner, secondo il servizio previsto.

Evidenza utile: richieste approvate, modifiche eseguite, eccezioni aperte e referente che ne conferma la validità.t e priorità restano invece in capo all’azienda, anche se un partner può fornire dati e raccomandazioni.

2. Ruoli privilegiati e autenticazione: chi può modificare il tenant?

Gli account amministrativi possono intervenire su utenti e impostazioni che incidono sull’intera organizzazione. Occorre conoscere chi possiede i ruoli più ampi, perché li usa e chi riesamina l’assegnazione. La protezione con autenticazione a più fattori va verificata nel contesto delle policy effettive: non basta presumere che una configurazione iniziale continui a coprire ogni account e ogni modalità di accesso.

Se un ruolo viene concesso per risolvere un problema urgente, chi controlla che sia ancora necessario dopo l’intervento? Se la persona che lo usa lascia l’azienda, chi revoca l’accesso? Sono domande di governo, prima ancora che impostazioni del portale. Alcune opzioni avanzate, come le policy di accesso condizionale o la gestione temporanea dei privilegi, richiedono licenze e configurazioni idonee.

Evidenza utile: elenco dei ruoli privilegiati, motivazione, approvazione, stato delle misure di protezione e data dell’ultima revisione.

3. Configurazioni e condivisione: che cosa è cambiato?

Nel tempo possono cambiare regole di condivisione, gruppi, impostazioni dei servizi e modalità di accesso esterno. Non ogni modifica è un errore: molte rispondono a una necessità reale. Serve però poter distinguere una scelta approvata da una variazione che nessuno ha valutato.

Per i servizi più importanti, documenta lo stato atteso, chi può richiedere modifiche e come viene verificato l’effetto. Se un reparto apre la collaborazione con un fornitore, il referente del progetto deve specificare quali informazioni sono condivisibili e per quanto tempo. Il team tecnico configura le opzioni disponibili e segnala eventuali conseguenze; l’azienda decide il livello di accesso coerente con il lavoro.

Evidenza utile: registro delle modifiche rilevanti, approvazioni e controlli sulle eccezioni.

4. Stato dei servizi e anomalie: chi legge i segnali?

I pannelli amministrativi possono mostrare stato dei servizi, avvisi e dati di utilizzo. Questi segnali aiutano a capire se un problema deriva dalla piattaforma, da una configurazione del tenant o dall’esperienza degli utenti. Un pannello consultato soltanto dopo una segnalazione, però, non costituisce un processo di controllo.

Definisci quali avvisi vengono esaminati, chi li valuta, come si aprono le attività conseguenti e quando si informa l’azienda. Un’indicazione sullo stato generale dei servizi non sostituisce la verifica degli accessi o delle impostazioni specifiche del tenant. Viceversa, un problema segnalato dagli utenti può richiedere di controllare sia il servizio Microsoft sia l’ambiente aziendale.

Evidenza utile: avvisi presi in carico, valutazione dell’impatto, azioni svolte e problemi ancora aperti.

Chi decide e chi esegue i controlli?

La direzione e i responsabili dei processi stabiliscono quali informazioni e servizi sono critici, chi può accedervi e quali eccezioni accettare. Il team IT o il partner gestisce le attività tecniche che rientrano nel proprio perimetro e rende visibili gli esiti. È una declinazione della domanda chi governa l’IT: la disponibilità di una piattaforma e di un fornitore non attribuisce automaticamente le responsabilità.

Una scheda per il tenant può riportare cinque elementi: referente aziendale, amministratori autorizzati, controlli previsti, canali di escalation e modo in cui vengono condivise le decisioni aperte. Da lì si possono assegnare frequenze coerenti con criticità e cambiamenti, evitando una lista di verifiche senza un proprietario.

Anche la protezione dei dati merita un percorso distinto. La disponibilità di Microsoft 365 non risponde, da sola, alla domanda se un contenuto cancellato o alterato sia recuperabile secondo le esigenze dell’azienda. Nel secondo articolo del cluster spieghiamo come verificare che i dati siano ripristinabili attraverso prove pertinenti allo scenario.

Dal controllo del tenant a un presidio continuativo

Quando il team interno non riesce a seguire ogni verifica, può definire quali attività affidare a un MSP: controlli sugli ambiti inclusi, gestione operativa prevista, presa in carico delle anomalie e reportistica. L’azienda mantiene le decisioni sugli accessi, sulle priorità e sulle modifiche che hanno impatto sul lavoro; la distribuzione precisa dei compiti va documentata nell’accordo.

C.A.R.E. di Lucient può essere configurato per gli ambiti Microsoft 365 e Identity, con un modello che unisce Control, Administer, React ed Enhance. Per capire quali controlli, livelli e attività siano adatti al vostro tenant, occorre definire il perimetro effettivo del servizio. Il risultato da cercare è semplice: sapere che cosa viene osservato, chi interviene e quali decisioni restano da prendere.