Microsoft 365 per le aziende: progettato come un sistema
Microsoft 365 non è un abbonamento alla posta. È un insieme di servizi che dipendono da identità, dispositivi, DNS, permessi e licenze. Lo progettiamo, ci migriamo i vostri dati da altri provider e lo gestiamo nel tempo, componente per componente ma con una visione d'insieme.
- Exchange Online e posta
- Migrazione da altri provider
- Progettazione SharePoint
- Licenze e sicurezza
- Identità
- Entra ID, MFA, accesso condizionale
- Posta
- Exchange Online, domini, DNS, Outlook
- Contenuti
- SharePoint, OneDrive, Teams
- Dispositivi
- gestione e conformità dei device
- Protezione
- Defender, Purview, backup
- Licenze
- il piano giusto per ogni ruolo
- Governo
- gestione continuativa del tenant
Non tutti i componenti servono a tutte le aziende: la scelta parte dai requisiti, non dal catalogo.
01 Il sistema Microsoft 365
Microsoft 365 è un ecosistema: ogni servizio dipende da qualcos'altro
La posta dipende dai DNS e dalle identità, SharePoint dai permessi, Teams da SharePoint e OneDrive, la sicurezza dai dispositivi e dalle licenze. Per questo un progetto Microsoft 365 si disegna come una mappa, non come un elenco di app.
Dall'alto: business, utenti, Entra ID, MFA e accesso. Poi tre rami: Exchange Online con Outlook, SharePoint con i contenuti, Teams con la collaborazione. Sotto: OneDrive, dispositivi, Intune, Defender, Purview, backup e ripristino, governance.
- Business
- Utenti
- Entra ID
- MFA e accesso
- Exchange OnlineOutlook · posta e calendari
- SharePointcontenuti e documenti
- Teamscollaborazione
- OneDrive
- Dispositivi
- Intune
- Defender
- Purview
- Backup e ripristino
- Governance
Confondere Outlook con Exchange Online porta a errori concreti: si «ripara Outlook» quando il problema è un record DNS, o si migra la posta dimenticando calendari, caselle condivise e permessi che vivono sul server.
02 Da dove partire
Otto situazioni frequenti, e da dove si comincia
Le richieste che riceviamo partono quasi sempre da un bisogno preciso. Ognuno porta a un tipo di intervento, e alla pagina che lo approfondisce.
«Voglio migrare la posta dal mio attuale provider»
Migrazione a Exchange Online, con DNS, identità e client.
Migrazione della posta«Ho un file server e voglio lavorare in cloud»
Assessment dei dati e progetto SharePoint e OneDrive.
SharePoint aziendale«Pago molte licenze ma non so se sono quelle giuste»
Analisi delle licenze rispetto a ruoli, dispositivi e sicurezza.
Ottimizzare le licenze«Voglio proteggere meglio gli account»
Entra ID, MFA e criteri di accesso condizionale.
Sicurezza e compliance in Microsoft 365«Voglio gestire PC e notebook aziendali»
Gestione dei dispositivi con Intune, dove la licenza la include.
Utenti e dispositivi con Entra ID e Intune«Devo organizzare documenti e permessi»
Progettazione dell'architettura delle informazioni in SharePoint.
Creazione siti SharePoint«Ho già Microsoft 365 ma nessuno governa il tenant»
Revisione della configurazione e gestione continuativa.
Consulenza Microsoft 365«Devo capire se mi serve E5 per sicurezza o compliance»
Valutazione congiunta di licenze e requisiti di sicurezza.
Office 365 aziendale: i piani
03 I componenti
Dieci componenti, letti con le stesse sette domande
Per ogni componente: a cosa serve, con cosa interagisce, quali decisioni richiede, cosa risolve, cosa non risolve da solo, come entra nel ciclo di vita del tenant e che cosa facciamo noi.
Exchange Online
- A cosa serve
- Posta, calendari, contatti e caselle condivise dell'azienda.
- Interagisce con
- Entra ID, DNS del dominio, Outlook, dispositivi mobili, Defender, Purview.
- Decisioni di progetto
- Domini, caselle condivise e gruppi, permessi, flusso di posta, conservazione, protezione dalle minacce.
- Risolve
- Posta ospitata e sempre aggiornata, accessibile da ogni dispositivo.
- Non risolve da solo
- La qualità della configurazione DNS (SPF, DKIM, DMARC) e un backup indipendente dei dati.
- Ciclo di vita
- Migrazione, configurazione, gestione di ingressi e uscite del personale, revisione delle policy.
- Cosa facciamo
- Migrazione da altri provider, configurazione di domini e DNS, policy anti-phishing, assistenza agli utenti.
Outlook
- A cosa serve
- Il client con cui gli utenti lavorano su posta e calendari.
- Interagisce con
- Exchange Online, dispositivi, profili utente, componenti aggiuntivi.
- Decisioni di progetto
- Quale versione distribuire, configurazione dei profili, accesso da smartphone.
- Risolve
- Un'esperienza unica su PC, Mac, web e mobile.
- Non risolve da solo
- Problemi che stanno nel servizio, nel DNS o nelle identità.
- Ciclo di vita
- Riconfigurazione dopo la migrazione, aggiornamenti, supporto.
- Cosa facciamo
- Riconfigurazione dei client dopo il cambio e supporto post-migrazione.
SharePoint Online
- A cosa serve
- Contenuti, documenti e siti dell'organizzazione.
- Interagisce con
- Teams, OneDrive, Entra ID e gruppi, Purview, ricerca.
- Decisioni di progetto
- Architettura delle informazioni, siti e hub, raccolte, metadati, permessi, condivisione esterna.
- Risolve
- Documenti condivisi con versioni, permessi e ricerca.
- Non risolve da solo
- Il disordine del vecchio file server, se viene copiato così com'è.
- Ciclo di vita
- Progetto, realizzazione, migrazione, governance, manutenzione.
- Cosa facciamo
- Progettazione e creazione dei siti, migrazione da file server e altre piattaforme, permessi e versioning.
OneDrive
- A cosa serve
- I file di lavoro personali di ogni utente.
- Interagisce con
- SharePoint, Teams (i file inviati in chat), dispositivi, Entra ID.
- Decisioni di progetto
- Cosa resta personale e cosa va nei siti condivisi, regole di condivisione, sincronizzazione.
- Risolve
- File personali disponibili ovunque, con versioni.
- Non risolve da solo
- La collaborazione di gruppo strutturata: quella va in SharePoint.
- Ciclo di vita
- Attivazione, migrazione delle cartelle personali, gestione all'uscita dell'utente.
- Cosa facciamo
- Migrazione dei dati personali e regole di condivisione coerenti con SharePoint.
Microsoft Teams
- A cosa serve
- Comunicazione e collaborazione: chat, riunioni, canali.
- Interagisce con
- SharePoint (file dei canali), OneDrive (file in chat), gruppi Microsoft 365, Exchange.
- Decisioni di progetto
- Quali team creare, chi li possiede, ospiti esterni, ciclo di vita dei team.
- Risolve
- Un unico luogo per comunicare e lavorare sui documenti del gruppo.
- Non risolve da solo
- L'organizzazione dei documenti: ogni team crea un sito SharePoint, che va governato.
- Ciclo di vita
- Creazione regolata, revisione degli accessi, archiviazione dei team inattivi.
- Cosa facciamo
- Implementazione e configurazione di Teams insieme a SharePoint e OneDrive, dentro le regole di accesso del tenant.
Microsoft Entra ID
- A cosa serve
- Identità, autenticazione e accesso a tutti i servizi.
- Interagisce con
- Tutti i servizi Microsoft 365, dispositivi, applicazioni di terze parti, Active Directory locale.
- Decisioni di progetto
- MFA, accesso condizionale, ruoli amministrativi, sincronizzazione con l'AD locale, ospiti.
- Risolve
- Un'identità unica e controllabile per ogni utente.
- Non risolve da solo
- Account senza MFA o con privilegi eccessivi: le regole vanno impostate.
- Ciclo di vita
- Ingressi, cambi di ruolo, uscite del personale, revisione dei privilegi.
- Cosa facciamo
- Attivazione dell'MFA, criteri di accesso condizionale, gestione degli account e offboarding.
Microsoft Intune
- A cosa serve
- Gestione e conformità dei dispositivi aziendali e personali.
- Interagisce con
- Entra ID e accesso condizionale, Defender, app di Microsoft 365.
- Decisioni di progetto
- Dispositivi aziendali o personali, gestione completa o delle sole app, requisiti di conformità.
- Risolve
- Configurazioni uniformi e accesso consentito solo da dispositivi conformi.
- Non risolve da solo
- Dispositivi lasciati fuori dalla gestione o policy mai definite.
- Ciclo di vita
- Registrazione, configurazione, aggiornamenti, dismissione dei device.
- Cosa facciamo
- Valutazione e impostazione della gestione dei dispositivi nei progetti in cui la licenza la include.
Microsoft Defender
- A cosa serve
- Protezione di posta, dispositivi e identità dalle minacce.
- Interagisce con
- Exchange Online, Intune, Entra ID, dispositivi.
- Decisioni di progetto
- Quale livello di protezione serve, policy anti-phishing e anti-malware, chi gestisce gli allarmi.
- Risolve
- Filtri e rilevamento integrati nell'ecosistema.
- Non risolve da solo
- Allarmi che nessuno legge e utenti non formati.
- Ciclo di vita
- Configurazione, revisione delle policy, gestione degli eventi.
- Cosa facciamo
- Impostazione delle policy anti-phishing e anti-malware previste dalla licenza.
Microsoft Purview
- A cosa serve
- Protezione delle informazioni, conservazione e prevenzione della perdita di dati.
- Interagisce con
- Exchange, SharePoint, OneDrive, Teams, etichette di riservatezza.
- Decisioni di progetto
- Cosa classificare, per quanto conservare, quali dati non devono uscire.
- Risolve
- Regole di conservazione e controlli sulla circolazione dei dati sensibili.
- Non risolve da solo
- Un backup dei dati: conservare non equivale a poter ripristinare a piacere.
- Ciclo di vita
- Definizione dei requisiti, configurazione, verifica periodica.
- Cosa facciamo
- Configurazione di classificazione e prevenzione della perdita di dati compatibili con la licenza.
Microsoft 365 Apps
- A cosa serve
- Word, Excel, PowerPoint e Outlook in versione desktop, web e mobile.
- Interagisce con
- OneDrive e SharePoint, licenze, dispositivi.
- Decisioni di progetto
- Quali utenti hanno bisogno delle versioni desktop e quali solo di quelle web.
- Risolve
- Strumenti di produttività sempre aggiornati.
- Non risolve da solo
- La scelta della licenza: non tutti i piani includono le app desktop.
- Ciclo di vita
- Distribuzione, aggiornamenti, rimozione all'uscita dell'utente.
- Cosa facciamo
- Distribuzione coordinata con licenze e dispositivi.
04 Exchange Online e posta aziendale
Un progetto di posta è molto più delle caselle
La posta è il servizio più visibile e quello in cui un errore si nota subito: un messaggio che non arriva, un collega che non vede più un calendario, un dominio che finisce in spam. Per questo la impostiamo come un progetto, non come un'attivazione.
Un progetto di posta su Microsoft 365 parte dall'ambiente esistente: quali domini sono in uso, quante caselle personali e condivise, quali alias e liste, chi ha accesso a cosa, da quali dispositivi si legge la posta. Da qui si progetta il tenant di destinazione e il percorso per arrivarci.
La parte meno visibile è quella che conta di più per la consegna dei messaggi: i record DNS. Microsoft indica che usare solo una parte dei meccanismi di autenticazione della posta dà una protezione insufficiente: SPF, DKIM e DMARC vanno configurati tutti, con DMARC portato gradualmente da monitoraggio a quarantena e rifiuto.
Exchange Online conserva i dati, ma il cestino e la conservazione hanno finestre limitate. Per questo nella stessa fase decidiamo come proteggere la posta con un backup indipendente.
Cosa può comprendere
- Assessment dell'ambiente esistente
- Domini e record DNS
- Caselle personali e condivise
- Alias, liste di distribuzione e gruppi
- Identità e permessi
- Autenticazione e MFA
- Sicurezza e policy anti-phishing
- Client Outlook e dispositivi mobili
- Conservazione e archiviazione, dove applicabile
- Backup e ripristino
- Flusso di posta
- SPF, DKIM e DMARC
- Cutover e validazione dopo la migrazione
05 Migrazione da un altro provider
Migrazione della posta a Microsoft 365 da un altro provider
Migrare non significa copiare le email. Significa spostare identità, domini, caselle condivise, permessi, calendari e abitudini degli utenti, mantenendo l'azienda operativa durante il passaggio.
| Origine | Metodo | Cosa considerare |
|---|---|---|
| Provider IMAP | Migrazione IMAP | Sposta le cartelle di posta, non contatti, calendari e attività: vanno gestiti a parte. Le caselle devono già esistere in Microsoft 365. |
| Google Workspace | Migrazione automatizzata da Google Workspace | Porta posta, contatti e calendari, con una preparazione specifica su entrambi i lati. |
| Exchange on-premises, poche caselle | Cutover | Tutte le caselle in un unico passaggio, da Exchange 2003-2013; il limite tecnico è 2.000 caselle, ma Microsoft lo indica come ragionevole fino a circa 150 utenti. |
| Exchange on-premises, ambienti più grandi | Ibrida | Coesistenza fra server locale e cloud, spostamento graduale delle caselle. |
| Un altro tenant Microsoft 365 | Migrazione fra tenant | Metodo documentato da Microsoft con una licenza dedicata per utente: si valuta caso per caso nell'assessment. |
Il processo di migrazione
- Discovery
- Analisi dell'origine
- Analisi dei domini
- Inventario delle caselle
- Mappatura delle identità
- Progetto del tenant di destinazione
- Assegnazione delle licenze
- Baseline di sicurezza
- Migrazione e sincronizzazione
- Cambio dei DNS
- Riconfigurazione dei client
- Validazione
- Supporto dopo la migrazione
Finestra di cutover
Il momento del cambio dei record MX si sceglie insieme, per ridurre l'impatto sull'operatività.
Coesistenza
Dove l'origine lo consente, vecchio e nuovo sistema convivono per il tempo necessario.
Piano di rientro
Quando è appropriato si definisce prima come tornare indietro, e fino a quando è possibile farlo.
Validazione
Dopo il cambio si verificano consegna, caselle condivise, calendari, permessi e dispositivi.
Comunicazione agli utenti
Chi lavora deve sapere quando succede, cosa cambia e a chi rivolgersi.
Supporto dopo il passaggio
I primi giorni sono quelli in cui emergono profili, regole e dispositivi da sistemare.
Non promettiamo migrazioni «senza interruzioni» o «senza alcun rischio»: tempi e impatto dipendono dall'origine, dai volumi e dai client. Un buon piano non elimina il rischio, lo riduce e lo rende prevedibile.
07 OneDrive, Teams e SharePoint
Tre app, un solo archivio di contenuti
OneDrive, Teams e SharePoint sembrano tre luoghi diversi, ma condividono lo stesso archivio e le stesse identità. Capire dove finisce un file è la base per decidere permessi e governance.
Microsoft 365 in alto, tre rami: OneDrive per i file personali, Teams per la collaborazione, SharePoint per i contenuti dell'organizzazione. Sotto, in sequenza: contenuti, identità, sicurezza, governance.
- OneDrivefile di lavoro personali, e i file condivisi nelle chat di Teams
- Teamscollaborazione e comunicazione; i file dei canali stanno in SharePoint
- SharePointcontenuti e siti dell'organizzazione
- Contenuti
- Identità
- Sicurezza
- Governance
08 Identità, dispositivi e sicurezza
In Microsoft 365 il perimetro è l'identità
Un tenant si attacca quasi sempre passando da un account. Per questo la sicurezza parte da Entra ID e arriva ai dispositivi, e si integra con quella del resto dell'infrastruttura.
Impostazioni di sicurezza predefinite
Gratuite e attive nei tenant nuovi: impongono a tutti la registrazione all'MFA, la richiedono sempre agli amministratori e bloccano l'autenticazione legacy. Sono il minimo, non il progetto.
Accesso condizionale
Regole basate su utente, applicazione, dispositivo e posizione. Richiede Entra ID P1, incluso in Business Premium e Microsoft 365 E3; le condizioni basate sul rischio richiedono Entra ID P2.
Account amministrativi
Separati da quelli di uso quotidiano, protetti con MFA, ridotti al minimo indispensabile.
Dispositivi gestiti
Con Intune si gestisce l'intero dispositivo o solo le app di lavoro, tipico dei device personali.
Protezione della posta
Policy anti-phishing e anti-malware di Defender, insieme a SPF, DKIM e DMARC.
Protezione delle informazioni
Etichette di riservatezza e prevenzione della perdita di dati, nei limiti della licenza.
Microsoft 365 da solo non rende un'azienda conforme a NIS2 o ad altre norme: offre strumenti che vanno configurati, documentati e governati. Noi affianchiamo i clienti sulla parte tecnica.
09 Backup Microsoft 365
Cestino e conservazione non sono un backup indipendente
I dati in Microsoft 365 sono disponibili e ridondati, ma le finestre di recupero native sono limitate: i file eliminati restano nel cestino di SharePoint e OneDrive per 93 giorni in tutto, una casella eliminata è recuperabile per 30 giorni. Oltre, o dopo un errore non notato in tempo, serve un backup.
| Strumento | Cosa offre | Limite |
|---|---|---|
| Cestino SharePoint e OneDrive | Recupero dei file eliminati | 93 giorni in totale fra i due livelli del cestino |
| Versioni dei file | Ritorno a una versione precedente | Riguarda il singolo file, non un intero sito in un momento preciso |
| Ripristino di OneDrive | Ritorno di un'intera OneDrive a un momento passato | Ultimi 30 giorni |
| Casella eliminata | Recupero della casella | 30 giorni |
| Criteri di conservazione | Conservazione per obblighi o policy | Pensati per conservare, non per ripristinare rapidamente uno stato |
| Backup dedicato | Copie indipendenti con retention definita e ripristino granulare | Va progettato, monitorato e provato |
Proteggiamo Exchange Online, OneDrive, SharePoint e Teams con Veeam Backup for Microsoft 365, erogato come servizio gestito, con retention definita e test di ripristino.
10 Ottimizzazione delle licenze
Ottimizzare le licenze Microsoft 365: la licenza giusta per ogni ruolo
Possiamo fornirvi le licenze, ma il valore è un altro: capire quali licenze servono davvero in funzione di utenti, ruoli, dispositivi, sicurezza e requisiti.
Il modello che usiamo
- Utente
- Ruolo
- Dispositivi
- Applicazioni
- Requisiti di sicurezza
- Requisiti di compliance
- Funzionalità necessarie
- Licenza
- Revisione periodica
| Domanda | Quando ha senso | Cosa verificare |
|---|---|---|
| Business Premium è sufficiente? | Spesso per le PMI: include Entra ID P1 con accesso condizionale, Intune, Defender for Business, Defender for Office 365 Piano 1 e funzioni di protezione delle informazioni. | Il limite di 300 licenze, che vale per tutti i piani Business del tenant sommati. |
| Quando valutare E3? | Oltre i limiti dei piani Business, o quando servono funzioni e condizioni dei piani Enterprise. | Quali componenti di sicurezza servono in più, e se si coprono con suite aggiuntive. |
| Quando E5 ha senso? | Requisiti avanzati di sicurezza e compliance: protezione delle identità e degli endpoint di livello superiore, eDiscovery e audit avanzati, gestione del rischio interno. | Se esiste qualcuno, interno o esterno, che configura e gestisce davvero quelle funzioni. |
| Quando E5 è sovradimensionata? | Quando le sue funzioni non verranno configurate, o servono solo a pochi utenti. | Se basta assegnarla a una parte degli utenti o usare un'aggiunta mirata. |
| Quando servono componenti aggiuntivi? | Quando manca una sola area: Microsoft offre Microsoft Defender Suite e Microsoft Purview Suite per E3, e le versioni «for Business Premium» per Business Premium. | Prerequisiti e limiti di ciascuna suite sulla documentazione Microsoft corrente. |
Piani, funzionalità e nomi cambiano nel tempo, anche per effetto delle offerte con e senza Teams: le verifichiamo sulla documentazione Microsoft corrente a ogni assessment. Nessun piano si assegna a una persona senza aver analizzato il suo ruolo.
Come partner Microsoft forniamo e gestiamo le licenze, ma partiamo sempre dall'analisi di come vengono usate: la revisione periodica fa parte del servizio.
11 Da un altro provider a Microsoft 365
Non solo la casella: il percorso completo di adozione
Quando un'azienda passa a Microsoft 365 da un altro fornitore, la posta è solo una delle cose da spostare. Il percorso completo tocca file, identità, permessi e applicazioni che dipendono dal vecchio sistema.
Il percorso
- Provider attuale
- Assessment
- Che cosa va migrato?
- Posta
- File
- Identità
- Permessi
- Dipendenze applicative
- Progetto Microsoft 365 di destinazione
- Licenze
- Migrazione
- Sicurezza
- Validazione
- Gestione del tenant
Le dipendenze applicative sono il punto più spesso dimenticato: stampanti multifunzione che inviano posta, gestionali che spediscono fatture via SMTP, moduli del sito web che scrivono a una casella, servizi che si autenticano con le credenziali di posta. Se non si censiscono prima, smettono di funzionare il giorno del cambio.
12 Gestione del tenant
Dopo la migrazione: chi governa il tenant?
Molti tenant nascono bene e poi restano senza un responsabile: utenti usciti con la licenza ancora attiva, amministratori senza MFA, condivisioni esterne mai riviste.
Licenze
Assegnazione, revisione dell'utilizzo reale, rinnovi e adeguamento al cambiare dell'organico.
Ingressi e uscite
Creazione degli account, cambi di ruolo, offboarding con gestione di posta e file.
Criteri di sicurezza
MFA, accesso condizionale, policy di protezione della posta e revisione degli account inutilizzati.
Condivisione esterna
Regole di condivisione esterna coerenti fra SharePoint e OneDrive, per evitare documenti accessibili a chiunque abbia un link.
Aggiornamenti
Aggiornamenti di sicurezza e configurazione del tenant seguiti nel tempo, insieme alle licenze.
Un referente
La gestione continuativa resta seguita dal nostro laboratorio di Melzo, con lo stesso referente.
Microsoft 365 è un componente dell'infrastruttura aziendale: identità, dispositivi, rete e backup vanno progettati insieme a quelli on-premises.
Da Aruba a Microsoft 365 per una società di consulenza
Una società di consulenza ci ha chiesto di portare la posta da Aruba a Microsoft 365. Il progetto ha coinvolto tre strumenti dell'ecosistema, Exchange Online, Outlook e Teams, e il confronto fra due modalità di migrazione, assistita e in autonomia.
È un esempio della tesi di questa pagina: anche quando la richiesta è «spostare la posta», il lavoro tocca il servizio, il client, la collaborazione e il modo in cui le persone lavorano dopo il cambio.
Riportiamo solo ciò che il caso studio pubblicato documenta: niente numeri di caselle, volumi o tempi che non vi compaiono.
Che cosa ha coinvolto
- Origineposta Aruba
- DestinazioneMicrosoft 365
- ServiziExchange Online, Outlook, Teams
- Modalità valutatemigrazione assistita e in autonomia
14 · Assessment Microsoft 365
Richiedi un assessment Microsoft 365
Partiamo da come lavorate oggi, sul vostro provider attuale o su un tenant già attivo. Il risultato è un quadro chiaro di cosa migrare, come configurarlo e quali licenze servono davvero.
Cosa può comprendere
- Ambiente di posta attuale
- Domini e DNS
- Identità e MFA
- Permessi e caselle condivise
- File server e SharePoint
- Licenze e ruoli
- Dispositivi
- Sicurezza del tenant
- Backup
- Dipendenze applicative
Il perimetro si concorda all'inizio, in base alle dimensioni e alla complessità dell'ambiente.