M365 Compliance: panoramica
Microsoft Purview (ex Microsoft Compliance Center) è la suite di strumenti per conformità normativa, gestione del rischio interno, e-discovery, retention. Per le aziende italiane è essenziale per GDPR, conservazione legale, audit. Vediamo cosa offre la piattaforma e come orientarsi tra i suoi moduli.
Cosa è Microsoft Purview
Microsoft Purview è il portale unificato (purview.microsoft.com) che raggruppa tutti gli strumenti di compliance M365: Information Protection (classificazione dati), DLP (data loss prevention), Records Management (retention), eDiscovery (ricerca legale), Audit (log avanzati), Insider Risk Management (comportamenti anomali), Communication Compliance (review comunicazioni). Ogni modulo serve a un'esigenza compliance specifica.
Information Protection
Classifica dati con etichette sensitive (Public, Internal, Confidential). Applica protezione: cifratura, marcatura visibile (watermark, header), restrizione condivisione. Le etichette possono essere applicate manualmente dagli utenti o automaticamente in base al contenuto (es. documento con codice fiscale → label "Confidential" automatica).
Records Management e Retention
Configura quanto conservare dati: email 7 anni per fatturazione, contratti per 10 anni post-cessazione, dati HR per durata + 5 anni. Le retention policy si applicano automaticamente: i contenuti vengono mantenuti nel periodo definito anche se utente li elimina (immutable). Fondamentale per requisiti normativi italiani (Codice Civile, normativa fiscale).
eDiscovery
Strumento per cercare contenuti in tutto il tenant per richieste legali: contenzioso, audit, indagini interne. Cerca per parole chiave, mittente, periodo, in tutte le mailbox e siti. Esporta risultati per consulenti legali. Standard (in E3) supporta ricerche base; Premium (E5 o add-on) supporta hold legale immutabile, custodian management, analisi avanzata.
Audit Log
Microsoft 365 registra ogni azione: accessi, modifiche file, eliminazioni, configurazioni admin. Audit standard conserva 180 giorni (90 giorni con licenze base), audit avanzato (E5) fino a 1 anno. Strumento essenziale per: investigazioni post-incidente, compliance, audit interni. Cerca per utente, azione, periodo da Purview > Audit.
Insider Risk Management
Identifica comportamenti anomali di dipendenti: download massivo di file prima delle dimissioni, accesso a dati fuori orario lavorativo, condivisioni esterne sospette. Crea policy che monitorano segnali e generano alert. Disponibile in E5 o Compliance add-on. Usa con cautela rispettando privacy e contratti collettivi italiani (informativa preventiva ai dipendenti).
Communication Compliance
Analizza comunicazioni email/Teams alla ricerca di violazioni: linguaggio inappropriato, condivisione di informazioni privilegiate, harassment. Genera flag per review da parte di reviewer dedicati. Tipicamente usato in finanza, healthcare, settori regolati. In Italia richiede informativa ai dipendenti e accordo sindacale.
Procedura passo-passo: setup base compliance
- Accedi a Microsoft Purview Compliance Portal.
- Vai su Solutions > Information Protection > Labels.
- Crea etichette base: Pubblico, Interno, Confidenziale, Riservato.
- Configura policy retention base: email 7 anni, documenti 10 anni.
- Attiva Audit Log se non già attivo.
- Configura eDiscovery base con responsabile legale come custodian.
- Imposta DLP policy per dati GDPR.
- Documenta le configurazioni per audit futuri.
Compliance Manager
Dashboard Microsoft Purview che misura il "Compliance Score": quanto sei conforme rispetto a normative (GDPR, ISO 27001, NIS2). Suggerisce azioni concrete da implementare per migliorare. Eccellente strumento per consulenti compliance: traccia progresso e fornisce evidence per audit.
Licenze necessarie
Compliance base (DLP, sensitivity labels, retention base) inclusa in Business Premium e E3. Compliance avanzato (Insider Risk, Communication Compliance, eDiscovery Premium, Customer Lockbox) richiede E5 o add-on Compliance suite. Per aziende italiane medio-grandi consigliamo E5 o Business Premium + Compliance add-on.
Errori comuni e come risolverli
- Nessuna policy retention: rischi di perdere dati richiesti normativamente.
- Sensitivity labels non usate: gli utenti devono essere formati e incoraggiati a etichettare.
- Audit log non attivato: in caso di incident non hai tracciabilità.
- eDiscovery senza custodian: la ricerca fallisce o è incompleta.
- Insider Risk senza informativa: viola privacy e statuto lavoratori in Italia.
Domande frequenti
D: Compliance è obbligatoria per le PMI?
R: Dipende dal settore: GDPR sempre, NIS2 per molte aziende dal 2024-2025.
D: Posso configurare retention senza E5?
R: Sì, retention base è in Business Premium ed E3.
D: eDiscovery basic basta per cause legali?
R: Per richieste semplici sì, per contenziosi importanti meglio Premium.
D: Compliance Score è obbligatorio?
R: No, ma è ottimo strumento per orientare investimenti compliance.
Documentazione compliance per audit
Per superare audit interni o esterni (ISO 27001, GDPR audit, SOC 2), serve documentare configurazioni Purview. Crea libreria SharePoint Compliance Documentation con: politiche scritte, configurazioni Purview screenshotate, log audit periodici, evidence di training utenti, log di incident gestiti, contratti DPA con fornitori. Aggiornamento annuale minimo, revisione trimestrale degli incident. Documentazione strutturata riduce drasticamente tempo audit da settimane a giorni.
GDPR Data Subject Requests
GDPR garantisce ai cittadini il diritto di accesso e cancellazione dei propri dati. Microsoft Purview semplifica: Subject Rights Requests permette di cercare dati di un soggetto specifico in tutto M365, esportarli, anonimizzarli o eliminarli. Disponibile in licenze E5 o Compliance add-on. Per la PMI italiana questo strumento è essenziale: ogni cittadino può chiedere "che dati avete su di me?" e devi rispondere entro 30 giorni con report dettagliato.
Hai bisogno di aiuto?
Se vuoi supporto Microsoft 365 dal team di G Tech Group, scrivici tramite il modulo di contatto.