Sicurezza di Google Workspace: la guida completa per gli amministratori IT (2026)

Google Workspace regola la giornata lavorativa di milioni di organizzazioni — email, documenti, drive condivisi, calendari e le identità che li collegano tra loro. Questa concentrazione di dati e accessi è esattamente il motivo per cui merita una strategia di sicurezza deliberata, e non le impostazioni predefinite accettate il primo giorno.

Questa guida percorre le aree più importanti, nell'ordine in cui un amministratore IT dovrebbe considerarle: identità, condivisione, accesso di terze parti, configurazione amministrativa e monitoraggio continuo. Nessuna di queste richiede un progetto di sostituzione totale. La maggior parte delle modifiche a maggiore impatto sono impostazioni già in vostro possesso.

Iniziare dall'identità, perché tutto il resto ne dipende

Ogni file, ogni calendario, ogni casella di posta in Google Workspace è raggiungibile attraverso un'identità. Se un aggressore controlla un account, i dati visibili a quell'account sono di fatto suoi. Questo rende l'identità il fondamento della sicurezza di Workspace.

Tre controlli svolgono la maggior parte del lavoro:

• Autenticazione a più fattori (MFA), obbligatoria — non opzionale. Una password da sola è un singolo punto di vulnerabilità. Imporre la verifica in due passaggi in tutta l'organizzazione è il controllo singolo più efficace che possiate implementare. Trattiamo il rollout in dettaglio nella nostra guida su come imporre l'MFA in Google Workspace.
• Secondi fattori robusti e resistenti al phishing, ove possibile. Le chiavi di sicurezza hardware e le passkey resistono ai kit di phishing delle credenziali che eludono i codici monouso. Riservatele almeno agli amministratori e agli altri account ad alto valore.
• Ruoli amministrativi con privilegio minimo. Il ruolo di super-admin può fare qualsiasi cosa. La maggior parte dei vostri amministratori non ne ha bisogno. Google Workspace supporta ruoli amministrativi personalizzati limitati a compiti specifici; utilizzateli e mantenete il numero di super-admin il più basso possibile da poter giustificare.

Un esercizio utile: elencate ogni account con privilegi amministrativi e chiedetevi, per ciascuno, "qual è la cosa peggiore che questo account potrebbe fare se venisse compromesso domani?". Le risposte di solito rivelano alcuni ruoli più ampi del necessario.

Prendere il controllo della condivisione su Drive

Drive è dove risiede la conoscenza dell'organizzazione, ed è nella condivisione che ha origine la maggior parte delle esposizioni di dati. Il problema è raramente doloso — è la comodità. Qualcuno imposta un documento su "Chiunque abbia il link" per sbloccare una riunione, la riunione finisce, e il link continua a vivere indefinitamente, indicizzato e inoltrabile.

I pattern da individuare:

• Link pubblici. I file condivisi con "chiunque abbia il link" sono raggiungibili da chiunque ottenga l'URL. Per i contenuti sensibili, è una porta aperta.
• Condivisione esterna. File e cartelle condivisi con indirizzi esterni al vostro dominio — partner, collaboratori esterni, account personali — ampliano il vostro perimetro dei dati verso sistemi che non controllate.
• Condivisione a livello di dominio. "Chiunque nell'organizzazione" è appropriato per un manuale interno ed pericoloso per una cartella di dati retributivi.
• Ereditarietà interrotta e proprietà eccessiva. Una singola cartella principale condivisa in modo eccessivo può esporre silenziosamente tutto ciò che contiene.

Impostate default sensati a livello di organizzazione nella Admin console (limitando la condivisione al di fuori del dominio a un elenco affidabile, dove il vostro flusso di lavoro lo consente), ma i default regolano solo le *nuove* condivisioni. Le condivisioni create prima che stringeste la policy sono ancora là fuori. Trovarle è un problema di rilevamento, ed è qui che la scansione continua dimostra il proprio valore. La nostra checklist per i permessi di condivisione su Google Drive trasforma tutto questo in una revisione concreta e ripetibile.

Verificare le app di terze parti collegate al vostro tenant

Ogni "Accedi con Google" e ogni componente aggiuntivo installato da un utente concede a un'applicazione OAuth una porzione di accesso ai dati del vostro Workspace — spesso Drive, a volte Gmail, occasionalmente la possibilità di agire per conto dell'utente. Nel corso di mesi e anni, questo elenco cresce fino a diventare un groviglio di integrazioni dimenticate, strumenti in prova e fornitori abbandonati, ciascuno una concessione di accesso permanente che nessuno sta rivedendo.

Questa è shadow IT nella sua forma più letterale: accesso che non avete predisposto e di cui potreste non essere nemmeno a conoscenza. Una concessione OAuth rischiosa non ha bisogno di phishing per esistere — l'utente ha già cliccato "Consenti".

Cosa cercare:

• App con scope ampi (accesso completo a Drive, invio Gmail, directory admin).
• App utilizzate da una o due persone soltanto, ma con accesso esteso.
• App di publisher non verificati.
• App che nessuno usa da mesi.

Approfondiamo i dettagli tecnici — incluso come leggere gli scope che contano davvero — in come verificare le app OAuth di terze parti in Google Workspace.

Irrobustire la configurazione amministrativa

Oltre a identità e condivisione, un insieme di impostazioni a livello di organizzazione determina silenziosamente la vostra postura di sicurezza. Sono facili da impostare una volta e poi dimenticare, ed è proprio per questo che tendono a deviare dal previsto:

• Impostazioni di condivisione: regole di condivisione esterna, default per la condivisione via link, e se gli utenti possono pubblicare file sul web.
• Policy di verifica in due passaggi: obbligatoria, con una scadenza per l'adesione, e idealmente ammettendo solo fattori robusti per i gruppi sensibili.
• Accesso da app meno sicure e protocolli legacy: disabilitati.
• Installazione di app dal Marketplace: limitata ad app in allow-list o approvate dall'amministratore, in modo che gli utenti non possano concedere accesso a terze parti arbitrarie.
• Gestione dei dispositivi mobili: policy di base affinché uno smartphone smarrito non diventi una violazione di dati.
• Autenticazione email: SPF, DKIM e DMARC configurati per proteggere il vostro dominio dallo spoofing.

Considerate questi elementi come una baseline di configurazione. Documentate lo stato previsto, quindi verificate la realtà a fronte di esso con una cadenza regolare — la configurazione ha la tendenza a deviare man mano che vengono fatte eccezioni che poi non vengono mai revocate.

Attenzione ai comportamenti a rischio e agli agenti AI

La postura statica — chi *può* accedere a cosa — è metà del quadro. L'altra metà è il comportamento nel tempo: chi sta *effettivamente* facendo cosa, e se sembra normale. Un account di servizio inattivo da sei mesi che improvvisamente tocca centinaia di file merita un'analisi, anche se ogni singolo permesso è tecnicamente valido.

Una complicazione più recente sono le identità non umane. Assistenti AI, piattaforme di automazione e account di servizio detengono sempre più spesso accesso permanente ai dati di Workspace e agiscono su di essi in autonomia. Raramente compaiono in una revisione utenti tradizionale, eppure possono leggere, spostare e condividere dati a velocità macchina. Governarli — sapere quali agenti esistono, a cosa possono accedere e cosa stanno facendo — sta diventando una parte fondamentale della sicurezza di Workspace. Trattiamo l'approccio in come rilevare agenti AI rischiosi nel vostro Google Workspace.

Impostare una cadenza

La sicurezza non è un progetto con una data di fine; è una postura che si mantiene. Un ritmo praticabile per la maggior parte dei team:

• Continuamente: scansionare per nuovi link pubblici, condivisioni esterne e concessioni OAuth, e generare alert su quelle rischiose.
• Mensilmente: rivedere la baseline di configurazione amministrativa e l'elenco degli amministratori.
• Trimestralmente: rivedere le relazioni di condivisione esterna e l'inventario delle app di terze parti; disattivare tutto ciò che è obsoleto.
• A ogni ingresso/cambio ruolo/uscita: adeguare tempestivamente gli accessi. Gli accessi obsoleti di dipendenti usciti e i cambi di ruolo sono tra le riscontranze più comuni in qualsiasi audit.

Se siete responsabili del quadro complessivo, la nostra guida del CISO alla valutazione del rischio in Google Workspace inquadra questo processo come una valutazione ripetibile su cui riferire.

Dove l'automazione aiuta

Potete fare tutto questo manualmente. Gli amministratori lo hanno fatto per anni. Ma Workspace è vasto, la condivisione è costante, e i riscontri interessanti sono aghi in un pagliaio molto grande. Il vero punto di fallimento non è che i team non *sappiano* cosa controllare — è che non riescono a tenere il passo con il volume manualmente, così le revisioni slittano e l'esposizione si accumula nel frattempo.

Questo è il vuoto che la gestione continua e automatizzata della postura colma: enumera chi e cosa può raggiungere ciascuna risorsa, segnala le esposizioni che contano davvero, spiega *perché* ciascuna sia rischiosa in linguaggio semplice, e ricontrolla a ogni modifica in modo che lavoriate sulla realtà attuale invece che su un foglio di calcolo del trimestre scorso. 8200.dev fa esattamente questo per Google Workspace — leggete di più su come funziona o cosa verifichiamo.

Il momento migliore per stabilire una baseline era il giorno in cui avete distribuito Workspace. Il secondo momento migliore è oggi.

Pronti a vedere la vostra esposizione? Avviate il vostro audit di sicurezza gratuito e ottenete un quadro prioritizzato di link pubblici, condivisioni esterne, app OAuth ed errori di configurazione amministrativa nel vostro Google Workspace — in pochi minuti, in sola lettura, senza alcun agente da installare.