Microsoft Azure è l'infrastruttura su cui molte aziende costruiscono i propri servizi IT, ma le configurazioni predefinite raramente sono sufficienti. Un tenant Azure non protetto è un invito aperto: identità mal configurate, regole di rete troppo permissive e risorse non monitorate sono tra i vettori d'attacco più comuni nelle violazioni cloud.
Questa guida copre le cinque aree che contano di più per la sicurezza di un ambiente Azure: identità, rete, dati, monitoraggio e compliance. Non sono raccomandazioni teoriche — riflettono ciò che implementiamo e verifichiamo quotidianamente per i nostri clienti.
1. Blindare identità e accessi
L'identità è la superficie d'attacco primaria in Azure. Oltre l'80% delle violazioni cloud coinvolge credenziali compromesse. Il primo passo per proteggere il tuo ambiente Azure è applicare i principi Zero Trust a ogni identità.
- MFA ovunque— abilita l'autenticazione multifattore per tutti gli utenti, inclusi account admin e di servizio. Usa metodi resistenti al phishing (chiavi FIDO2, Authenticator con number matching) invece degli SMS.
- Conditional Access— limita gli accessi per posizione, compliance del dispositivo, livello di rischio e sensibilità dell'applicazione. Blocca completamente i protocolli di autenticazione legacy.
- Least privilege con PIM— usa Privileged Identity Management per l'elevazione dei ruoli admin just-in-time e a tempo limitato. Nessun accesso Global Admin permanente.
- Revisioni periodiche— esegui access review trimestrali in Entra ID per rimuovere account obsoleti, assegnazioni di ruolo eccessive e utenti guest orfani.
2. Segmentare e proteggere la rete
La sicurezza di rete in Azure inizia dalla segmentazione. Una rete piatta significa che una singola VM compromessa può raggiungere ogni altra risorsa.
- Network Security Group (NSG)— applica regole allow/deny granulari a livello di subnet e NIC. Default-deny in ingresso, consenti solo il necessario.
- Azure Firewall o NVA— centralizza l'ispezione del traffico, il filtraggio FQDN e il blocco basato su threat intelligence tra VNet e verso internet.
- Private Endpoint— esponi i servizi PaaS (Storage, SQL, Key Vault) solo tramite IP privati. Elimina completamente l'esposizione su internet dove possibile.
- DDoS Protection— abilita Azure DDoS Protection Standard sulle VNet che ospitano workload esposti su internet per mitigare attacchi volumetrici e a livello di protocollo.
3. Proteggere i dati at rest e in transit
La sicurezza cloud significa proteggere i dati ovunque risiedano. Azure cifra i dati at rest per impostazione predefinita, ma la cifratura di default non è una strategia.
- Chiavi gestite dal cliente— usa Azure Key Vault per gestire le tue chiavi di cifratura per Storage account, database SQL e dischi gestiti. Controllo completo su rotazione e revoca.
- TLS ovunque— imponi TLS 1.2+ su tutti i servizi. Disabilita i protocolli precedenti su Storage account, App Service e connessioni SQL.
- Backup e immutabilità — configura il backup con vault immutabili per impedire al ransomware di cifrare o cancellare i dati di backup. Testa le procedure di restore ogni trimestre.
- Classificazione dei dati— usa Microsoft Purview per classificare, etichettare e tracciare i dati sensibili su Azure, Microsoft 365 e archivi on-premise.
4. Monitorare tutto, rispondere rapidamente
La visibilità è il fondamento della sicurezza cloud. Se non riesci a vedere cosa succede nel tuo ambiente Azure, non puoi difenderlo.
- Microsoft Defender for Cloud— abilita su tutte le sottoscrizioni. Rivedi il Secure Score regolarmente e correggi prima le raccomandazioni a maggiore impatto.
- Microsoft Sentinel— centralizza i log da Entra ID, Azure Activity, NSG flow log e fonti di terze parti. Usa le analytics rule integrate e crea detection personalizzate.
- Diagnostic settings— abilita i log diagnostici su ogni risorsa: accessi al Key Vault, analytics dello Storage, auditing SQL. Invia tutto a un workspace Log Analytics.
- Piano di incident response— definisci playbook per gli scenari comuni (account compromesso, storage esposto, accesso sospetto). Integra con il tuo processo di incident response.
5. Governance e compliance
I controlli di sicurezza devono essere imposti in modo coerente, non lasciati alla discrezionalità individuale. Azure Policy e i management group permettono di codificare i requisiti di sicurezza su tutto il tenant.
- Azure Policy— imponi guardrail su scala: nega IP pubblici sulle VM, richiedi cifratura sullo storage, limita le region consentite ai data center UE. Audita prima di applicare per evitare disservizi.
- Management group— organizza le sottoscrizioni in una gerarchia che rispecchi le tue zone di sicurezza. Applica le policy a livello di management group per un'applicazione coerente.
- Compliance normativa — mappa i tuoi controlli rispetto a NIS2, ISO 27001 e GDPR usando la dashboard regulatory compliance di Defender for Cloud.
- Resource lock— applica lock CanNotDelete sulle risorse critiche (Key Vault, database, vault di backup) per impedire cancellazioni accidentali o malevole.