Data/Locales/checks/it/EntraTenantChecks.json
|
{ "_family": "EntraTenantChecks.json", "EIDTNT-001": { "name": { "value": "Esportazione delle impostazioni a livello di tenant", "status": "machine-draft" }, "description": { "value": "Un'esportazione completa di tutte le impostazioni di configurazione a livello di tenant stabilisce una baseline nota e attendibile per il rilevamento delle modifiche e il ripristino di emergenza. Senza una baseline documentata, è impossibile determinare se le impostazioni attuali si sono discostate dallo stato previsto o se un aggressore ha modificato la configurazione del tenant per indebolire i controlli di sicurezza. Questa baseline dovrebbe essere acquisita alla configurazione iniziale e aggiornata ogni volta che vengono apportate modifiche autorizzate.", "status": "machine-draft" }, "recommendedValue": { "value": "Baseline completa della configurazione del tenant esportata e archiviata in un repository con controllo delle versioni, con snapshot periodici", "status": "machine-draft" }, "remediationSteps": { "value": "Esporta tutte le impostazioni a livello di tenant usando l'API Microsoft Graph, inclusi i criteri di autorizzazione, i criteri dei metodi di autenticazione, i criteri di consenso, le impostazioni di accesso tra tenant e le impostazioni della directory. Archivia l'esportazione in un repository sicuro con controllo delle versioni e stabilisci un processo pianificato per acquisire snapshot periodici. Confronta regolarmente le impostazioni attuali con la baseline per rilevare deviazioni di configurazione non autorizzate o non intenzionali.", "status": "machine-draft" } }, "EIDTNT-002": { "name": { "value": "Revisione delle impostazioni utente", "status": "machine-draft" }, "description": { "value": "Le impostazioni utente a livello di tenant controllano se gli utenti standard possono registrare applicazioni, concedere il consenso alle applicazioni per l'accesso ai dati aziendali, creare gruppi di sicurezza e leggere le informazioni di directory di altri utenti. Impostazioni utente eccessivamente permissive abilitano lo shadow IT, le integrazioni applicative non autorizzate e la proliferazione dei gruppi, ampliando la superficie di attacco. Queste impostazioni dovrebbero essere limitate per impedire agli utenti standard di eseguire azioni che dovrebbero richiedere una supervisione amministrativa.", "status": "machine-draft" }, "recommendedValue": { "value": "Gli utenti non possono registrare applicazioni, il consenso degli utenti è limitato agli editori verificati, la creazione di gruppi è limitata agli utenti autorizzati", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Impostazioni utente ed esamina ciascuna impostazione. Disabilita 'Gli utenti possono registrare applicazioni' per prevenire la proliferazione incontrollata delle registrazioni di app. Limita le impostazioni di consenso degli utenti in modo da consentire il consenso solo per le app di editori verificati con autorizzazioni a basso rischio. Limita a determinati amministratori o proprietari di gruppo la possibilità di creare gruppi di Microsoft 365 e gruppi di sicurezza.", "status": "machine-draft" } }, "EIDTNT-003": { "name": { "value": "Restrizioni di accesso per gli utenti guest", "status": "machine-draft" }, "description": { "value": "Gli utenti guest sono identita esterne invitate a collaborare con l'organizzazione. Per impostazione predefinita, gli utenti guest possono avere una visibilità eccessivamente ampia sulla directory, inclusa la capacità di enumerare utenti, gruppi e applicazioni. Un accesso guest senza restrizioni consente a parti esterne di mappare la struttura di identita dell'organizzazione, identificare obiettivi di alto valore e raccogliere informazioni per attacchi successivi. Le autorizzazioni dei guest dovrebbero essere limitate al minimo necessario per la collaborazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Accesso degli utenti guest limitato solo alle proprietà e alle appartenenze dei propri oggetti di directory", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Identita esterne > Impostazioni di collaborazione esterna ed esamina le restrizioni di accesso per gli utenti guest. Imposta l'accesso degli utenti guest sull'opzione più restrittiva, che limita i guest alle proprietà e alle appartenenze dei propri oggetti di directory. Verifica che i guest non possano enumerare l'elenco completo degli utenti, le appartenenze ai gruppi o le registrazioni delle applicazioni, effettuando una prova con un account guest.", "status": "machine-draft" } }, "EIDTNT-004": { "name": { "value": "Restrizioni sugli inviti guest", "status": "machine-draft" }, "description": { "value": "Le impostazioni di invito guest controllano chi può invitare utenti esterni al tenant, spaziando dal consentire a qualsiasi utente di invitare guest fino a limitare gli inviti ai soli amministratori. Impostazioni di invito permissive consentono agli utenti standard di invitare parti esterne senza supervisione, introducendo potenzialmente identita esterne non verificate con accesso alle risorse organizzative. Le restrizioni sugli inviti dovrebbero essere allineate ai requisiti di governance della collaborazione esterna dell'organizzazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Inviti guest limitati agli utenti con specifici ruoli di amministratore o con il ruolo di invitante guest, senza accesso guest self-service abilitato", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Identita esterne > Impostazioni di collaborazione esterna ed esamina le impostazioni di invito guest. Limita gli inviti guest agli utenti assegnati al ruolo Invitante guest o a specifici ruoli di amministratore, anziché consentire a tutti i membri di invitare. Disabilita l'opzione che consente ai guest di invitare altri guest per prevenire catene di inviti incontrollate e stabilisci un flusso di approvazione per le richieste di invito guest.", "status": "machine-draft" } }, "EIDTNT-005": { "name": { "value": "Impostazioni di collaborazione esterna", "status": "machine-draft" }, "description": { "value": "Le impostazioni di collaborazione esterna definiscono l'ambito dei domini da cui è possibile invitare utenti guest e quali organizzazioni esterne possono collaborare con il tenant. Senza restrizioni sui domini, i guest possono essere invitati da qualsiasi organizzazione esterna, inclusi concorrenti, entità sanzionate o tenant controllati da aggressori. È opportuno configurare elenchi di domini consentiti o bloccati per limitare la collaborazione alle organizzazioni partner approvate e prevenire l'accesso esterno non autorizzato.", "status": "machine-draft" }, "recommendedValue": { "value": "Collaborazione esterna limitata a specifici domini consentiti, con un elenco di negazione per i domini noti ad alto rischio", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Identita esterne > Impostazioni di collaborazione esterna e configura le restrizioni di collaborazione. Implementa un elenco di domini partner approvati oppure un elenco di negazione dei domini noti ad alto rischio e dei concorrenti, in base al modello di collaborazione della tua organizzazione. Rivedi e aggiorna trimestralmente l'elenco dei domini per riflettere i cambiamenti nelle relazioni con i partner e assicurati che le restrizioni di collaborazione siano allineate ai criteri di classificazione dei dati e di condivisione delle informazioni.", "status": "machine-draft" } }, "EIDTNT-006": { "name": { "value": "Criteri di accesso tra tenant Azure B2B", "status": "machine-draft" }, "description": { "value": "I criteri di accesso tra tenant offrono un controllo granulare su come gli utenti si autenticano e accedono alle risorse quando collaborano con tenant Entra ID esterni. Le impostazioni predefinite di accesso tra tenant possono consentire un accesso in entrata e in uscita ampio che non è allineato ai requisiti di sicurezza dell'organizzazione. Criteri di accesso tra tenant configurati correttamente abilitano una collaborazione B2B affidabile prevenendo al contempo l'accesso non autorizzato da tenant non attendibili e controllando quali utenti possono accedere alle risorse esterne.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio predefinito di accesso tra tenant impostato su blocca, con regole di autorizzazione esplicite solo per i tenant partner approvati", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Identita esterne > Impostazioni di accesso tra tenant ed esamina le impostazioni predefinite di accesso in entrata e in uscita. Configura il criterio predefinito in modo da limitare sia l'accesso in entrata sia quello in uscita, quindi crea criteri specifici per i tenant partner approvati con controlli di accesso appropriati. Abilita le impostazioni di attendibilità per i tenant partner per accettare le loro attestazioni MFA e la conformita dei dispositivi dove appropriato, riducendo l'attrito di autenticazione per le collaborazioni affidabili.", "status": "machine-draft" } }, "EIDTNT-007": { "name": { "value": "Stato di abilitazione/disabilitazione delle impostazioni di sicurezza predefinite", "status": "machine-draft" }, "description": { "value": "Le impostazioni di sicurezza predefinite forniscono un insieme di base di meccanismi di sicurezza delle identita, inclusi i requisiti di registrazione dell'MFA, le richieste di MFA per gli amministratori e il blocco dell'autenticazione legacy. Le organizzazioni che usano criteri di accesso condizionale dovrebbero avere le impostazioni di sicurezza predefinite disabilitate per evitare conflitti, ma i tenant privi di accesso condizionale che hanno anche le impostazioni di sicurezza predefinite disabilitate non dispongono di alcuna protezione di base contro i comuni attacchi alle identita. Questo controllo verifica che le impostazioni di sicurezza predefinite o criteri di accesso condizionale equivalenti proteggano attivamente il tenant.", "status": "machine-draft" }, "recommendedValue": { "value": "Impostazioni di sicurezza predefinite abilitate per i tenant privi di accesso condizionale. Per i tenant con accesso condizionale, impostazioni di sicurezza predefinite disabilitate con criteri di accesso condizionale equivalenti o più robusti in atto", "status": "machine-draft" }, "remediationSteps": { "value": "Controlla se le impostazioni di sicurezza predefinite sono abilitate in Entra ID > Proprietà > Gestisci impostazioni di sicurezza predefinite. Se le impostazioni di sicurezza predefinite sono disabilitate, verifica che i criteri di accesso condizionale offrano una protezione equivalente o più robusta, inclusi l'MFA per tutti gli utenti, il blocco dell'autenticazione legacy e l'MFA per le azioni amministrative. Se non sono in atto né le impostazioni di sicurezza predefinite né criteri di accesso condizionale equivalenti, abilita immediatamente le impostazioni di sicurezza predefinite come misura di protezione di base.", "status": "machine-draft" } }, "EIDTNT-008": { "name": { "value": "Inventario e utilizzo delle licenze", "status": "machine-draft" }, "description": { "value": "Un inventario completo delle licenze assegnate e dei relativi tassi di utilizzo fornisce visibilità sulle funzionalità di sicurezza disponibili e identifica potenziali lacune in cui le capacità concesse in licenza non vengono usate. Le organizzazioni potrebbero pagare per funzionalità di sicurezza avanzate come Entra ID P2, Microsoft Defender for Identity o Microsoft Sentinel che non sono pienamente distribuite o configurate. Comprendere il panorama delle licenze garantisce che tutte le capacità di sicurezza acquistate siano attivate e utilizzate.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le licenze inventariate con tracciamento dell'utilizzo e tutte le funzionalità di sicurezza concesse in licenza pienamente distribuite e configurate", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina il riepilogo delle assegnazioni di licenza nell'interfaccia di amministrazione di Microsoft 365 o in Entra ID > Licenze > Panoramica. Identifica le licenze rilevanti per la sicurezza quali Entra ID P1/P2, Microsoft Defender for Identity e Microsoft 365 E5 Security. Verifica che le funzionalità incluse in ciascuna licenza siano attivamente configurate e distribuite, e crea un piano per attivare eventuali capacità di sicurezza inutilizzate già concesse in licenza.", "status": "machine-draft" } }, "EIDTNT-009": { "name": { "value": "Configurazione delle unità amministrative", "status": "machine-draft" }, "description": { "value": "Le unità amministrative forniscono un ambito amministrativo delegato raggruppando utenti, gruppi e dispositivi in contenitori logici con amministratori specifici assegnati a gestire solo quegli oggetti. Senza unità amministrative, gli amministratori delegati possono avere un accesso più ampio del previsto oppure i confini amministrativi possono non essere allineati alla struttura organizzativa. Unità amministrative configurate correttamente impongono una delega a privilegio minimo e prevengono un'eccessiva estensione amministrativa.", "status": "machine-draft" }, "recommendedValue": { "value": "Unità amministrative configurate in modo da allinearsi al modello di delega organizzativa, con unità amministrative a gestione limitata usate per gli oggetti sensibili", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione delle unità amministrative esistenti in Entra ID > Ruoli e amministratori > Unità amministrative. Valuta se la struttura attuale sia allineata ai requisiti di delega della tua organizzazione e se gli oggetti sensibili quali gli account con privilegi siano protetti da unità amministrative a gestione limitata. Crea o modifica le unità amministrative secondo necessità per garantire che gli amministratori possano gestire solo gli oggetti all'interno del proprio ambito designato.", "status": "machine-draft" } }, "EIDTNT-010": { "name": { "value": "Configurazione dei domini personalizzati", "status": "machine-draft" }, "description": { "value": "I domini personalizzati registrati nel tenant definiscono i suffissi degli indirizzi email e di accesso usati dall'organizzazione. Domini non verificati o non autorizzati possono indicare una configurazione errata o un aggressore che tenta di stabilire una presenza nel tenant. Ogni dominio personalizzato dovrebbe essere verificato tramite record DNS e riesaminato periodicamente per garantire che tutti i domini siano ancora di proprietà dell'organizzazione e che i record di verifica DNS rimangano intatti.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i domini personalizzati verificati, gestiti attivamente e con record di verifica DNS intatti", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutti i domini personalizzati registrati in Entra ID > Nomi di dominio personalizzati e verifica che ciascun dominio sia ancora di proprietà dell'organizzazione e che i record di verifica DNS siano configurati correttamente. Rimuovi eventuali domini non più in uso o che non possono essere verificati come di proprietà dell'organizzazione. Assicurati che le registrazioni DNS dei domini siano protette con blocchi presso il registrar e che le date di scadenza dei domini siano monitorate per prevenire la perdita involontaria di un dominio.", "status": "machine-draft" } }, "EIDTNT-011": { "name": { "value": "Impostazioni di diagnostica per i log di controllo e di accesso", "status": "machine-draft" }, "description": { "value": "Entra ID genera log di controllo e log di accesso che sono fondamentali per il monitoraggio della sicurezza, l'indagine sugli incidenti e la reportistica di conformita. Senza impostazioni di diagnostica configurate per esportare questi log verso una posizione di archiviazione durevole quale un'area di lavoro di Log Analytics, un account di Archiviazione di Azure o un SIEM, i log vengono conservati solo per un periodo limitato all'interno di Entra ID e possono non essere disponibili durante l'indagine su un incidente. Gli aggressori prendono attivamente di mira la configurazione di registrazione per disabilitarla o eludere il rilevamento.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le categorie di log di Entra ID (controllo, accesso, accesso non interattivo, accesso dell'entità servizio, accesso dell'identita gestita, provisioning) esportate verso un'area di lavoro di Log Analytics o un SIEM", "status": "machine-draft" }, "remediationSteps": { "value": "Vai a Entra ID > Monitoraggio > Impostazioni di diagnostica e crea o verifica un'impostazione di diagnostica che esporti tutte le categorie di log verso un'area di lavoro di Log Analytics, un account di Archiviazione di Azure o un hub eventi per l'acquisizione da parte del SIEM. Assicurati che siano selezionate tutte le categorie di log disponibili, inclusi i log di controllo, i log di accesso, i log di accesso non interattivi, i log di accesso dell'entità servizio, i log di accesso dell'identita gestita e i log di provisioning. Verifica che l'archiviazione di destinazione abbia criteri di conservazione e controlli di accesso appropriati configurati.", "status": "machine-draft" } }, "EIDTNT-012": { "name": { "value": "Impostazioni di conservazione dei log di controllo", "status": "machine-draft" }, "description": { "value": "La conservazione dei log di controllo determina per quanto tempo gli eventi di sicurezza storici rimangono disponibili per indagini, reportistica di conformita e analisi forense. Periodi di conservazione insufficienti possono comportare l'indisponibilità di prove critiche durante le indagini su incidenti scoperti settimane o mesi dopo la compromissione iniziale. Le organizzazioni dovrebbero conservare i log di controllo per almeno 1 anno per supportare le tempistiche di risposta agli incidenti e soddisfare i comuni requisiti normativi.", "status": "machine-draft" }, "recommendedValue": { "value": "Log di controllo conservati per un minimo di 1 anno in una posizione di archiviazione immutabile, con almeno 90 giorni immediatamente interrogabili", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le impostazioni di conservazione dell'area di lavoro di Log Analytics, dell'account di Archiviazione di Azure o della destinazione SIEM verso cui vengono esportati i log di Entra ID. Configura la conservazione ad almeno 365 giorni per tutte le categorie di log di Entra ID per supportare l'indagine sugli incidenti e i requisiti di conformita. Assicurati che almeno 90 giorni di log siano immediatamente interrogabili senza operazioni di ripristino e implementa un'archiviazione immutabile o criteri write-once per prevenire la manomissione dei dati storici dei log.", "status": "machine-draft" } }, "EIDTNT-013": { "name": { "value": "Audit delle impostazioni di notifica", "status": "machine-draft" }, "description": { "value": "Le impostazioni di notifica di Entra ID controllano chi riceve avvisi per eventi di sicurezza critici quali utenti a rischio, report di riepilogo settimanali e notifiche amministrative. Impostazioni di notifica configurate in modo errato possono comportare l'invio degli avvisi di sicurezza a cassette postali inattive, a ex dipendenti, o la loro mancata trasmissione. Un corretto instradamento delle notifiche garantisce che gli eventi rilevanti per la sicurezza raggiungano il personale appropriato per un'indagine e una risposta tempestive.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le notifiche di sicurezza instradate a cassette postali attive e monitorate appartenenti al personale attuale delle operazioni di sicurezza", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le impostazioni di notifica in Entra ID, inclusi i destinatari delle notifiche di Identity Protection, le impostazioni di notifica per la reimpostazione della password e i contatti per le notifiche tecniche. Verifica che tutti i destinatari delle notifiche siano dipendenti attuali con cassette postali attivamente monitorate e aggiorna eventuali riferimenti a ex dipendenti o liste di distribuzione inattive. Configura l'invio delle notifiche a una lista di distribuzione delle operazioni di sicurezza anziché a singoli utenti per garantire la continuità in caso di cambiamenti del personale.", "status": "machine-draft" } }, "EIDTNT-014": { "name": { "value": "Scadenza della password utente disabilitata (le password non scadono mai)", "status": "machine-draft" }, "description": { "value": "La rotazione periodica obbligatoria delle password spinge gli utenti verso password prevedibili, più deboli e riutilizzate e offre scarso valore difensivo quando sono in atto l'MFA e le moderne protezioni delle credenziali. In linea con le indicazioni di NIST SP 800-63B e OMB M-22-09, le password degli utenti dovrebbero essere configurate in modo da non scadere mai. In Entra ID ciò è regolato per ciascun dominio verificato dalla proprietà passwordValidityPeriodInDays; il valore 2147483647 indica che le password sono impostate per non scadere mai. Questo controllo esamina ogni dominio gestito e segnala qualsiasi dominio che imponga ancora un periodo finito di scadenza della password.", "status": "machine-draft" }, "recommendedValue": { "value": "passwordValidityPeriodInDays impostato su 2147483647 (non scade mai) su tutti i domini gestiti", "status": "machine-draft" }, "remediationSteps": { "value": "Imposta il criterio di scadenza della password in modo che le password non scadano mai, soddisfacendo SCuBA MS.AAD.6.1. Nell'interfaccia di amministrazione di Microsoft 365 vai a Impostazioni > Impostazioni dell'organizzazione > Sicurezza e privacy > Criterio di scadenza della password e seleziona 'Imposta le password per non scadere mai'. In modo equivalente, per ciascun dominio gestito imposta passwordValidityPeriodInDays su 2147483647 (non scade mai). Assicurati che rimangano in atto controlli compensativi: MFA imposto, protezione dalle password vietate e correzione delle credenziali basata sul rischio.", "status": "machine-draft" } }, "EIDTNT-015": { "name": { "value": "Accesso amministrativo delegato ai partner con privilegi (GDAP)", "status": "machine-draft" }, "description": { "value": "I privilegi di amministrazione delegata granulari (GDAP) consentono a un CSP o a un partner di servizi gestiti di detenere ruoli amministrativi permanenti nel tuo tenant. Questa relazione è invisibile nella maggior parte delle viste amministrative quotidiane, viene raramente riesaminata ed è un percorso di propagazione di tipo Kaseya: un aggressore che compromette un partner eredita l'amministrazione delegata in ogni tenant cliente a valle contemporaneamente. Una relazione con un partner che comporta un ruolo di directory Tier-0 / ad alto impatto (Amministratore globale, Amministratore ruolo con privilegi, Amministratore con privilegi/dell'autenticazione, Amministratore della sicurezza, Amministratore di utenti/password/applicazioni/applicazioni cloud) è di fatto un insieme esterno di chiavi del regno. Questo controllo inventaria le relazioni delegatedAdminRelationships attive e FALLISCE quando una qualsiasi relazione attiva concede uno di quei ruoli con privilegi; avvisa quando esiste un accesso partner non con privilegi in modo che possa essere confermato e delimitato, e passa solo quando non è presente alcuna amministrazione partner delegata attiva. I risultati vuoti vengono considerati 'nessuna relazione' solo quando la raccolta è riuscita: una chiamata non riuscita emerge come Non Valutata, mai come un esito positivo pulito.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna relazione GDAP attiva concede un ruolo di directory con privilegi; l'accesso dei partner è a privilegio minimo, a durata limitata e riesaminato", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina ogni relazione di amministrazione delegata ai partner (GDAP) attiva nell'interfaccia di amministrazione di Microsoft Entra > Identita > Identita esterne > Accesso tra tenant (guidato dal partner) e nell'interfaccia di amministrazione di Microsoft 365 > Impostazioni > Relazioni con i partner. Per ciascuna relazione, rimuovi i ruoli Tier-0 / ad alto impatto (Amministratore globale, Amministratore ruolo con privilegi, Amministratore dell'autenticazione con privilegi, Amministratore della sicurezza, Amministratore di utenti/password/applicazioni/applicazioni cloud) a meno che non esista un'esigenza documentata e a durata limitata. Sostituisci la delega permanente con privilegi con ruoli a privilegio minimo, richiedi l'elevazione just-in-time tramite il PIM del partner stesso dove possibile e termina qualsiasi relazione non più necessaria. Verifica che il tenant del partner stesso imponga l'MFA resistente al phishing per gli amministratori che esercitano questo accesso.", "status": "machine-draft" } }, "EIDTNT-016": { "name": { "value": "Igiene delle concessioni di amministrazione delegata ai partner (GDAP a lunga durata)", "status": "machine-draft" }, "description": { "value": "La durata di una relazione GDAP è la sua finestra di estensione automatica: quando scade si rinnova da sola per quel periodo senza alcuna revisione umana. Un'estensione automatica lunga (oltre un anno) è quindi una concessione permanente e autorinnovante di accesso amministrativo del partner, l'opposto del just-in-time, ed è esattamente il tipo di relazione dimenticata che sopravvive all'ingaggio che l'ha creata. Questo controllo esamina le relazioni delegatedAdminRelationships attive e avvisa quando una qualsiasi relazione si estende automaticamente oltre 365 giorni; una relazione la cui durata non può essere determinata viene trattata in modo conservativo come a lunga durata anziché presunta corretta. Passa solo quando tutte le relazioni attive si estendono automaticamente entro un anno. Si tratta di un segnale di igiene/governance che integra EIDTNT-015 (che valuta il privilegio detenuto dal partner); qui la preoccupazione è per quanto tempo la concessione persiste senza revisione.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le relazioni GDAP attive si estendono automaticamente entro 365 giorni e vengono riesaminate a ogni rinnovo", "status": "machine-draft" }, "remediationSteps": { "value": "Per ciascuna relazione di amministrazione delegata ai partner (GDAP) attiva, imposta la durata di estensione automatica più breve adatta all'ingaggio (evita concessioni permanenti pluriennali) e pianifica una revisione a ogni rinnovo. Nell'interfaccia di amministrazione di Microsoft 365, in Impostazioni > Relazioni con i partner, verifica che ciascuna relazione sia ancora necessaria e termina quelle obsolete. Preferisci deleghe brevi e rinnovabili rispetto all'accesso autoesteso a lunga durata, in modo che l'amministrazione dei partner venga riautorizzata deliberatamente anziché per impostazione predefinita.", "status": "machine-draft" } } } |