Sicurezza in Google Workspace : guida pratica per amministratori (2026)
Cosa consente ciascuna edizione, le dieci pratiche di configurazione in ordine di impatto e cosa richiede il GDPR a un'azienda spagnola. Con il percorso esatto nella console per ogni impostazione.
Google Workspace arriva ben protetto di fabbrica, ma non configurato.
La differenza tra un tenant sicuro e uno esposto risiede quasi sempre in una dozzina di impostazioni della console di amministrazione che nessuno ha controllato dopo la migrazione.
Questa guida esamina tali impostazioni in ordine di impatto, indicando il percorso esatto per ciascuna e — aspetto che spesso manca — l'edizione minima necessaria per averlo. Perché metà dei consigli di sicurezza che circolano su Google Workspace descrivono funzionalità non incluse nella tua licenza.
Inizia da qui: cosa consente la tua edizione
Prima di pianificare qualsiasi cosa, è bene sapere quali carte si hanno in mano. Non tutte le funzionalità di sicurezza sono presenti in tutte le edizioni, e scoprirlo a metà di un progetto di hardening è il modo più rapido per perdere tempo. I dettagli relativi alle singole edizioni sono gestiti da Google nel suo Centro assistenza per amministratori.
| Funzione | Edizioni che la includono |
|---|---|
| Verifica in due passaggi e passkey | Tutte |
| Control della condivisione esterna in Drive | Tutte |
| Protezioni anti-phishing e anti-spoofing di Gmail | Tutte |
| SPF, DKIM e DMARC | Tutte (si configurano nel tuo DNS ) |
| Control dell'accesso per applicazioni di terze parti ( OAuth ) | Tutte |
| Gestione di base dei dispositivi | Tutte |
| Report DLP (sola lettura, senza regole) | Include le edizioni Business |
| Regole DLP / Protezione dei dati | Frontline Standard e Plus; Enterprise Standard e Plus; Education Fundamentals, Standard e Plus; Enterprise Essentials Plus |
| Security Center: dashboard, strumento di indagine e stato della sicurezza | Frontline Standard e Plus; Enterprise Standard e Plus; Education Standard e Plus; Enterprise Essentials Plus |
| Visualizzare contenuti sensibili nello strumento di ricerca | Frontline Plus; Enterprise Plus; Education Standard e Plus |
Due conclusioni che è bene avere chiare fin dall'inizio:
Se utilizzi una qualsiasi edizione Business , non disponi di regole DLP né di Security Center. Hai a disposizione i report DLP, che segnalano la presenza di contenuti sensibili senza però intervenire su di essi, e la pagina di controllo e indagine (Audit and investigation) al posto dello strumento di indagine completo. È possibile fare molto con queste risorse; le dieci pratiche elencate di seguito indicano quali sono applicabili al tuo caso.
Utilizzare un'edizione supportata non significa disporre di tutte le funzionalità. Enterprise Standard, ad esempio, consente di accedere allo strumento di indagine ma solo a un sottoinsieme di fonti di dati, e non permette di visualizzare il contenuto sensibile di un messaggio. Se il tuo caso d'uso prevede l'analisi approfondita degli incidenti, l'edizione di cui hai bisogno è Enterprise Plus.
I rischi reali e cosa li mitiga
| Rischio | Mitigazione in Google Workspace |
|---|---|
| Phishing e contraffazione del mittente | Protezioni avanzate di Gmail più SPF, DKIM e DMARC configurati correttamente |
| Furto di credenziali | Verifica in due passaggi con passkey o chiavi fisiche e accesso contestuale |
| Compromissione di un account amministratore | Meno super-amministratori, chiavi di sicurezza e Programma di protezione avanzata |
| Fuga di dati dovuta alla condivisione | Controlli di condivisione esterna in Drive e regole DLP, laddove la versione lo consenta |
| Malware e ransomware | Analisi automatica degli allegati in Gmail e dei file in Drive |
| Applicazioni di terze parti con accesso eccessivo | Control dell'accesso alle applicazioni e revisione periodica delle autorizzazioni OAuth |
| Dispositivi smarriti o non gestiti | Politiche per i dispositivi con crittografia, blocco e cancellazione da remoto |
Le 10 pratiche, in ordine di impatto
1Verifica in due passaggi obbligatoria, senza escludere nessuno
L'autenticazione a due fattori rimane la misura con il miglior rapporto tra sforzo e protezione. Due aspetti che fanno la differenza:
Dai la priorità a passkey e chiavi di sicurezza fisiche. Sono resistenti al phishing, che è proprio il vettore più utilizzato contro Workspace. Le app per la generazione di codici sono accettabili come soluzione di backup. È opportuno disattivare gli SMS come metodo: sono i più vulnerabili e la loro presenza riduce la sicurezza complessiva.
E non attivarla come obbligatoria tutto d'un tratto. Stabilisci un periodo di iscrizione per la registrazione degli utenti, crea un gruppo di eccezione temporanea per i casi che richiedono più tempo e definisci in anticipo la procedura di recupero. Rendere obbligatorio il sistema senza queste misure lascerebbe fuori alcuni utenti già dal primo lunedì.
2Meno super-amministratori e un account di emergenza
Gli account di super-amministratore sono l'obiettivo prioritario di qualsiasi attaccante e, nella maggior parte delle organizzazioni, ce ne sono più del necessario. Riduci il numero al minimo, assegna ruoli delegati con autorizzazioni specifiche per le attività quotidiane e iscrivi i super-amministratori rimanenti al Programma di protezione avanzata di Google oppure richiedi loro l'uso di chiavi di sicurezza fisiche.
L'aspetto che quasi nessuno prende in considerazione: Mantieni un account di emergenza da superamministratore., con i relativi codici di recupero conservati al di fuori del sistema e in un luogo fisicamente sicuro. Rafforzare la sicurezza senza questa rete di salvaguardia ti espone al rischio di perdere l'accesso al tuo tenant: un incidente grave quanto un'intrusione, ma decisamente più frequente.
3Politiche di condivisione rigorose su Drive
Limita la condivisione esterna al livello più restrittivo consentito dalle tue attività operative. Se devi collaborare con clienti o fornitori specifici, utilizza l'elenco dei domini attendibili invece di aprire la condivisione all'intero Internet. Verifica inoltre la scadenza degli accessi e se gli utenti hanno la possibilità di creare link pubblici.
Qui è opportuno essere realistici: Una politica eccessivamente restrittiva, priva di un'alternativa pratica, porta le persone a utilizzare il proprio account personale.. Progetta la politica insieme al flusso di lavoro che deve sostituire.
4Protezioni avanzate contro il phishing in Gmail
Attiva la protezione contro la contraffazione dei mittenti del tuo dominio, il rilevamento di domini simili, l'analisi di link e allegati sospetti e gli avvisi visibili per i destinatari esterni. Si tratta di impostazioni che non sono tutte attive di default e che richiedono solo pochi minuti per essere configurate.
5SPF, DKIM e DMARC
| Protocollo | Funzione |
|---|---|
| SPF | Indica quali server sono autorizzati a inviare email per conto del tuo dominio. |
| DKIM | Firma digitalmente i tuoi messaggi affinché il destinatario possa verificare che non siano stati alterati. |
| DMARC | Indica al destinatario cosa fare con le email che non superano i controlli SPF o DKIM e ti invia dei report. |
Questa non è più una buona pratica facoltativa. Dal 2024, i principali provider di posta elettronica richiedono l'autenticazione a chi invia grandi volumi di messaggi., quindi, senza DMARC configurato, le tue comunicazioni legittime rischiano di finire nello spam. Inizia con una policy di monitoraggio, esamina i report per qualche settimana per evitare di bloccare le tue stesse email e rendila progressivamente più restrittiva.
6Revisionare le applicazioni di terze parti con accesso OAuth
Ogni applicazione autorizzata da un utente rappresenta una porta aperta sui dati dell'organizzazione. Verifica quali applicazioni sono connesse, revoca quelle inutilizzate e passa a un modello basato su una lista di applicazioni consentite, anziché permettere a qualsiasi utente di autorizzare qualsiasi cosa.
Presta particolare attenzione alle applicazioni con ampi permessi su Gmail o Drive, e a quelle account di servizio con delega di dominio: queste possono agire per conto di qualsiasi utente del dominio. Se la tua organizzazione sta sviluppando integrazioni personalizzate, il modello di identità va definito prima di scrivere il codice: lo approfondiamo nella guida su integrare Google Workspace con i tuoi sistemi.
7Accesso contestuale
È la funzionalità più sottovalutata del catalogo. Invece di basare l'accesso esclusivamente sulle credenziali, lo si vincola al contesto: la rete da cui si connette l'utente, lo stato di gestione e crittografia del dispositivo, il paese di provenienza. È possibile, ad esempio, richiedere un dispositivo aziendale per accedere a Drive, lasciando invece la posta accessibile da qualsiasi luogo.
È ciò che trasforma una configurazione di sicurezza statica in una che risponde al rischio reale di ciascun accesso.
8Gestione dei dispositivi
Richiede crittografia, blocco dello schermo e la possibilità di cancellazione remota del profilo aziendale. Sui dispositivi personali, utilizza la gestione del solo profilo di lavoro: protegge i dati aziendali senza intaccare quelli personali del dipendente, il che inoltre riduce la resistenza alla sua implementazione.
9Regole di protezione dei dati (DLP)
Le regole DLP rilevano contenuti sensibili —numeri di carte, codici fiscali, pattern personalizzati definiti dall'utente— e intervengono: avvisano l'utente, bloccano la condivisione o generano un avviso.
Inizia sempre in modalità di sola audit. Lascia le regole in fase di monitoraggio per qualche settimana, esamina i falsi positivi e solo allora passa al blocco. Una regola DLP mal calibrata che blocca attività legittime viene disattivata nel giro di una settimana e non viene più riattivata.
Se utilizzi un'edizione Business , hai a disposizione i report DLP: ti indicano quali contenuti sensibili sono presenti in Drive e nella posta in uscita, senza però avere la capacità di intervenire automaticamente. Rappresentano un buon punto di partenza per giustificare internamente il passaggio a un'edizione superiore, poiché quantificano il rischio.
10Visibilità: Security Center o Controllo e analisi
Il Security Center riunisce tre elementi: una dashboard che offre una panoramica del tuo livello di sicurezza, la pagina dello stato della sicurezza che confronta la tua configurazione con le raccomandazioni di Google e lo strumento di indagine per analizzare gli incidenti e intervenire in blocco, ad esempio eliminando un'email dannosa da tutte le caselle di posta contemporaneamente.
Ricorda la sfumatura della matrice: Accedere allo strumento non significa disporre di tutte le funzionalità.. Visualizzare il contenuto sensibile di un messaggio durante un'indagine richiede Enterprise Plus, Frontline Plus oppure Education Standard o Plus.
Se la tua edizione non include Security Center, la pagina di controllo e analisi fornisce i log per effettuare indagini a posteriori. È meno comodo, ma le informazioni sono disponibili.
Compliance: i requisiti per operare in Spagna
Rendere più rigida la configurazione è una parte del lavoro. L'altra è poterlo dimostrare, e per un'azienda spagnola questo significa GDPR.
Regioni dati
Le edizioni superiori consentono di specificare che i dati a riposo della propria organizzazione vengano archiviati in Europa. Ciò non sostituisce un'analisi legale, ma costituisce un elemento abituale nelle valutazioni di impatto e nei questionari per i fornitori.
Conservazione ed eDiscovery
Vault consente di definire policy di conservazione e di preservare le informazioni a fronte di una richiesta legale. È la differenza tra poter rispondere a un reclamo e non poterlo fare. È disponibile a partire dal piano Business Plus, ma è opportuno verificare i dettagli specifici per la tua edizione.
Crittografia lato client
Per i settori soggetti a normative rigorose, consente di mantenere il controllo delle chiavi di crittografia, anziché lasciarlo a Google. Si tratta di una scelta architetturale, non di un semplice interruttore: influisce su funzionalità quali la ricerca all'interno dei documenti crittografati.
Registri di audit
I log di Workspace dimostrano che i tuoi controlli funzionano. Imposta un periodo di conservazione adeguato ed esportali se devi mantenerli più a lungo di quanto consentito dalla console.
Se stai pianificando questo lavoro nell'ambito di un progetto infrastrutturale più ampio, il punto di partenza è la diagnosi: dove risiedono i dati e quale livello di conformità è richiesto. Ne parliamo nella Guida a Google Cloud in Spagna 2026.
La sicurezza di Workspace non è un silo
Google Workspace non dovrebbe essere messo in sicurezza separatamente dal resto del tuo ambiente Google Cloud .
Identità centralizzata
Cloud Identity unifica il Single Sign-On e le policy di accesso tra Workspace e il resto dei tuoi servizi su Google Cloud , in modo che una modifica alla policy venga applicata ovunque e la cessazione del rapporto di lavoro di un dipendente comporti la revoca immediata di tutti gli accessi.
Politiche sui dati coerenti
La classificazione e la conservazione dovrebbero essere applicate secondo gli stessi criteri sia in Workspace che nei carichi di lavoro su Google Cloud . Avere due modelli distinti crea lacune proprio nei punti di giunzione.
Monitoraggio unificato
Esportare i log di audit di Workspace in Google SecOps ti consente di correlare ciò che accade in Gmail e Drive con quanto avviene nella tua infrastruttura. Un tentativo di intrusione raramente rimane confinato a un unico ambito.
Lo stesso principio di piattaforma unica si applica quando integri l'IA nei tuoi dati di Workspace: la governance deve essere la stessa. Ne parliamo nell'articolo su Gemini Enterprise per le aziende spagnole.
La sicurezza è un processo, non un progetto.
Le dieci pratiche precedenti costituiscono una configurazione iniziale. Ciò che mantiene il livello è la routine.
Audit periodici. Pianifica una revisione trimestrale di utenti attivi, ruoli di amministratore, applicazioni connesse, criteri di condivisione e stato dei dispositivi. La pagina relativa allo stato della sicurezza nella console offre un punto di partenza basato sulle raccomandazioni di Google.
Il fattore umano. Nemmeno la configurazione più rigorosa è in grado di proteggere l'organizzazione se un utente inserisce le proprie credenziali su una pagina contraffatta. Un programma di formazione continua che includa simulazioni di phishing, criteri chiari per identificare le email malevole e una procedura semplice per segnalare eventuali sospetti è più efficace di qualsiasi ulteriore impostazione della console.
L'adozione è parte integrante della sicurezza: una politica che le persone non comprendono finisce per essere aggirata. Se sei reduce da una migrazione recente, è opportuno verificarla insieme al piano di adozione e gestione del cambiamento.
Come lo affrontiamo in The Cloud Collective
Come Google Cloud Premier Partner a Barcellona, iniziamo ogni revisione della sicurezza dallo stesso punto: quale edizione possiedi e cosa ti consente effettivamente di fare. Da lì, esaminiamo la configurazione attuale e diamo priorità alle vulnerabilità in base all'impatto reale e non alla lunghezza della checklist, e progettiamo le politiche di condivisione e protezione dei dati in base al settore e agli obblighi specifici di ciascun cliente.
Quando l'edizione attuale non garantisce il livello di controllo richiesto dal business, lo comunichiamo mostrando la matrice comparativa e i costi, anziché consigliare funzionalità non incluse nella licenza. Inoltre, forniamo la configurazione documentata, affinché il tuo team possa verificarla autonomamente.
Domande frequenti
È basato su un'infrastruttura molto solida e offre protezioni attive fin dal primo giorno. Tuttavia, diverse delle misure più efficaci non sono attivate di default: l'obbligo di verifica in due passaggi, le restrizioni alla condivisione esterna e il controllo delle applicazioni di terze parti. La sicurezza effettiva dipende dalla configurazione, che è responsabilità dell'organizzazione.
Nessuna edizione Business include regole DLP o Security Center. Sono necessarie le edizioni Enterprise Standard o superiore, Frontline Standard o superiore, Enterprise Essentials Plus oppure le corrispondenti edizioni Education. La tabella all'inizio dell'articolo fornisce i dettagli, incluse le differenze di funzionalità all'interno di ciascun livello.
Parecchio: verifica in due passaggi obbligatoria con passkey, governance dei super-amministratori, restrizione della condivisione esterna su Drive, tutte le protezioni anti-phishing di Gmail , SPF, DKIM e DMARC, controllo delle applicazioni OAuth e gestione dei dispositivi. Questo copre i vettori di attacco più frequenti. Ciò che non avrai è la capacità di bloccare automaticamente la fuoriuscita di dati sensibili o un'analisi centralizzata degli incidenti.
La conformità dipende dai tuoi processi, non solo dalla licenza, ma alcuni strumenti che la agevolano sono limitati in base all'edizione: aree geografiche dei dati, conservazione avanzata e crittografia lato client. È possibile garantire la conformità al GDPR anche con le edizioni Business ; semplicemente, ciò richiede più lavoro manuale e offre minori possibilità di dimostrarla automaticamente.
Una revisione trimestrale rappresenta una buona cadenza per un'organizzazione stabile. È inoltre opportuno effettuare una revisione specifica in seguito a qualsiasi cambiamento significativo: un inserimento massivo di personale, l'integrazione di una nuova applicazione, una modifica dell'edizione o un incidente.
Tramite l' API Reports dell'Admin SDK o l'esportazione in BigQuery , per le edizioni che lo consentono. Da lì, è possibile inviarli a Google SecOps o al sistema di monitoraggio in uso.
Conclusione
La sicurezza di Google Workspace non si risolve con un elenco di venti impostazioni, ma sapendo quali di essi sono disponibili nella tua edizione, quali affrontano i rischi che ti riguardano realmente e in quale ordine applicarli senza bloccare il lavoro di nessuno.
Se dovessi scegliere tre cose:
Verifica in due passaggi resistente al phishing per tutti.
Control effettivo su con chi vengono condivise le informazioni all'esterno dell'organizzazione.
Visibilità sufficiente per sapere cosa è successo quando accade qualcosa.
Vuoi sapere qual è la tua configurazione attuale?
Noi di The Cloud Collective possiamo analizzarla, confrontarla con le funzionalità previste dalla tua edizione e fornirti un piano d'azione basato sulla priorità di impatto, senza consigliarti funzioni non incluse nella tua licenza.
Richiedere un audit di sicurezza
