Come applicare l'MFA in tutta l'organizzazione Google Workspace

L'autenticazione a più fattori è il controllo di sicurezza con il maggior ritorno che la maggior parte delle organizzazioni può implementare, e in Google Workspace si chiama Verifica in due passaggi (2SV). Il punto critico è la parola *applicare*. Rendere l'MFA disponibile è facile e sostanzialmente inutile — gli account più a rischio di essere attaccati sono anche i meno propensi ad attivarla volontariamente. La protezione reale nasce dall'applicazione forzata: richiederla, a livello di intera organizzazione, con i fattori giusti e un roll-out che non blocchi nessuno fuori. Questo articolo è proprio quel piano di roll-out.

Perché "disponibile" non significa "applicata"

Se la 2SV è opzionale, l'adozione segue il percorso di minor resistenza: il personale tecnico e sensibile alla sicurezza si iscrive; dirigenti indaffarati e account adiacenti ai servizi no. Gli attaccanti lo sanno. Gli attacchi di phishing delle credenziali e di riutilizzo delle password prendono di mira esattamente gli account che hanno saltato l'iscrizione. Un controllo opzionale protegge le persone che ne avevano meno bisogno.

L'applicazione forzata ribalta questa dinamica. Quando la 2SV è obbligatoria, una password rubata non basta più a impossessarsi di un account — il che neutralizza in un colpo solo il percorso di compromissione degli account più comune.

Scegliere i fattori in modo deliberato

Non tutti i secondi fattori sono uguali. Dal più forte al più debole:

• Passkey e chiavi di sicurezza hardware (FIDO2). Resistenti al phishing: si legano crittograficamente al sito legittimo, quindi una pagina di phishing non può inoltrarli. Il gold standard, fortemente raccomandato per amministratori e altri account ad alto valore.
• Google prompt / app di autenticazione (TOTP). Un netto miglioramento rispetto alle password, ma un kit di phishing in tempo reale sufficientemente determinato può inoltrare un codice monouso. Adatto alla popolazione generale.
• Codici SMS. Meglio di niente, ma vulnerabili a SIM-swapping e intercettazione. Accettabili come ripiego, non come fattore primario.

Una policy solida: richiedere fattori robusti e resistenti al phishing per amministratori e gruppi sensibili, consentire codici basati su app per tutti gli altri, e minimizzare l'SMS.

Un roll-out graduale che evita i blocchi

Il timore che frena l'applicazione dell'MFA è bloccare fuori le persone. Suddividere il roll-out in fasi elimina questo rischio:

1. Comunicare per primo. Dire all'organizzazione cosa sta cambiando, perché ed entro quando. Fornire istruzioni per l'iscrizione. Un'applicazione a sorpresa genera ticket all'help desk e malcontento.
2. Aprire una finestra di iscrizione. Attivare la 2SV come disponibile e fissare una scadenza. Monitorare l'avanzamento dell'iscrizione per vedere chi non si è ancora iscritto.
3. Sollecitare i ritardatari. Man mano che la scadenza si avvicina, ricordare agli account non ancora iscritti di farlo. È qui che si iscrive la maggior parte della coda lunga.
4. Applicare con un periodo di tolleranza per i nuovi utenti. Attivare l'applicazione forzata, ma configurare un periodo di tolleranza per gli account appena creati, in modo che l'onboarding non sia bloccato al primo accesso.
5. Distribuire opzioni di backup. Assicurarsi che gli utenti abbiano codici di backup o un secondo fattore registrato, così che uno smartphone smarrito sia un piccolo disagio, non un blocco.
6. Gestire le eccezioni in modo circoscritto. Alcuni account di servizio o condivisi possono effettivamente avere difficoltà con una 2SV interattiva. Spostare questi casi verso un modello di autenticazione più appropriato (chiavi per account di servizio, gestione dedicata) invece di ritagliare ampie esenzioni nella policy utenti.

La Console di amministrazione supporta l'applicazione forzata a livello di unità organizzativa, quindi è possibile fare un pilota con l'IT, poi con un reparto, e infine con l'intera organizzazione — riducendo ulteriormente il rischio del roll-out.

Errori comuni

• Esentare i dirigenti "per comodità". Gli account di maggior valore sono i peggiori da esentare. Semmai, dovrebbero essere sottoposti ai fattori *più forti*.
• Consentire solo l'SMS. Soddisfa la casella di spunta ma lascia aperta la porta dello SIM-swap. Spingere verso fattori basati su app o hardware.
• Dimenticare account di servizio e condivisi. Spesso detengono un accesso significativo e saltano l'autenticazione interattiva. Governarli in modo deliberato — vedere rilevare agenti AI e account di servizio a rischio.
• Trattarla come un'operazione una tantum. Nuovi account, nuove eccezioni e la deriva delle policy fanno sì che l'applicazione forzata richieda una verifica periodica, non un singolo interruttore.

Verificare l'applicazione forzata — non darla per scontata

Attivare la policy e confermare che sia *effettivamente applicata a ogni account* sono due cose diverse. Account creati prima della policy, quelli in un'unità organizzativa esentata, o quelli intrappolati in un periodo di tolleranza possono silenziosamente restare fuori dall'applicazione forzata. Parte di una solida postura di sicurezza di Google Workspace — e un controllo che i revisori SOC 2 esaminano specificamente sotto CC6.1 — consiste nel verificare che l'applicazione dell'MFA regga in tutta l'organizzazione, non solo che l'interruttore sia attivo.

Questo è esattamente il tipo di configurazione che va alla deriva e il tipo che i revisori chiedono di documentare. Uno strumento di verifica della postura che controlla le impostazioni a livello di organizzazione segnalerà dove la 2SV non è applicata (quando la relativa visibilità amministrativa è disponibile), così che "applichiamo l'MFA" sia un fatto verificato e non un'ipotesi.

Gestire i casi difficili

La maggior parte degli account si iscrive senza drammi. Alcune categorie richiedono una gestione deliberata, e il modo in cui le si tratta spesso determina se l'applicazione forzata regge davvero:

• Dirigenti e VIP. Sono i bersagli privilegiati del phishing e i più propensi a richiedere un'eccezione. Sottoporli ai fattori più forti invece di esentarli. Un account dirigenziale compromesso è tra gli esiti peggiori possibili; la comodità non vale quel rischio.
• Caselle di posta condivise e account di ruolo. La 2SV interattiva si adatta a un individuo, non a una casella usata da cinque persone. Ripensarle come accesso delegato ad account protetti individualmente, in modo che la protezione segua persone reali.
• Account di servizio e automazione. Non dovrebbero effettuare accessi interattivi affatto. Autenticarli con credenziali per account di servizio gestite separatamente, e governarli come le identità non umane che sono.
• Personale sul campo e in prima linea. Le persone senza smartphone o con connettività limitata hanno bisogno di un fattore praticabile — chiavi hardware o codici di backup — pianificato prima del giorno dell'applicazione forzata, non improvvisato all'help desk.

Il principio comune a tutti questi casi: non ritagliare ampie esenzioni nella policy utenti per accomodare pochi casi limite. Risolvere ogni caso con il meccanismo giusto, così che la base rimanga intatta.

Dopo il roll-out: mantenerla applicata

L'applicazione forzata non è un traguardo. Nuovi account, nuove unità organizzative appena create ed eccezioni una tantum creano tutti percorsi affinché la copertura possa scivolare. Integrare un controllo ricorrente nella propria routine: confermare che la 2SV resti applicata in ogni unità organizzativa, che nessuna esenzione sia silenziosamente diventata permanente, e che i fattori robusti siano ancora richiesti dove originariamente richiesti. Il controllo più forte al mondo si deteriora se nessuno conferma che sia ancora attivo — e "applichiamo l'MFA" dovrebbe essere un'affermazione dimostrabile, non una speranza che sia ancora vera.

8200.dev verifica la configurazione amministrativa del vostro Google Workspace — inclusa l'applicazione della Verifica in due passaggi, i controlli di condivisione e l'autenticazione delle email — e segnala le derive con collegamenti diretti all'impostazione interessata. Consultate come funziona.

Volete confermare che l'MFA sia effettivamente applicata ovunque? Avviate il vostro audit di sicurezza gratuito e ottenete un quadro della postura di identità e configurazione del vostro Google Workspace.