Quattro console per un solo perimetro

Nel Teams admin center configuri l’esperienza (meeting policy, messaging policy, app setup policy), ma quasi nessuna delle impostazioni di sicurezza e compliance che l’esame ti chiede vive lì. Il motivo è architetturale: Teams non ha uno storage proprio. I file di canale stanno in SharePoint, i file condivisi in chat in OneDrive, i messaggi in cartelle nascoste delle mailbox Exchange, le registrazioni in OneDrive/SharePoint. Di conseguenza gli strumenti che governano quei contenuti agiscono sui workload sottostanti e si trovano altrove: il portale Microsoft Purview per governance e rischio, Microsoft Defender for Office 365 per le minacce nei file e nei link, Microsoft Entra admin center per l’accesso. Davanti a uno scenario, la prima domanda da porsi non è “quale toggle” ma “quale console”.

Purview: retention, sensitivity label e DLP

Le retention policy in Purview hanno location dedicate per Teams — Teams chats, Teams channel messages, Teams private channel messages — che non si mescolano con Exchange o SharePoint nella stessa policy. Governano i messaggi, non i file: per gli allegati di canale serve la location SharePoint, per i file di chat quella OneDrive. Scegli retain quando c’è un obbligo di conservazione, delete quando l’obiettivo è ridurre la superficie di rischio, entrambi quando il requisito è “conserva N anni poi elimina”.

Le sensitivity label operano su due piani. Come container label si applicano a team, group e site e controllano privacy, guest access e accesso da dispositivi unmanaged: sono la risposta quando il requisito è “i team classificati Confidential non devono ammettere ospiti”. Esistono poi le sensitivity label per le riunioni, che impongono opzioni come lobby, chi può presentare, registrazione e prevenzione della copia della chat, con il vantaggio che l’organizzatore non può allentarle.

La DLP è l’unico controllo che blocca in tempo reale: applicata alle location Teams chat and channel messages, intercetta un numero di carta o un codice fiscale mentre viene inviato e mostra una policy tip. È la scelta corretta ogni volta che lo scenario dice “impedire”, non “rilevare”.

Purview: Information Barriers, Communication Compliance, Insider Risk

Le Information Barriers definiscono segmenti sulla base di attributi di directory (reparto, sede, job title) e impediscono la comunicazione tra segmenti che per motivi normativi devono restare separati — tipicamente investment banking e trading, o due business unit sotto ethical wall. Impattano chat, chiamate, aggiunta a un team e partecipazione a shared channel.

La Communication Compliance è invece rilevamento e revisione a posteriori: campiona messaggi Teams, email e altri canali cercando linguaggio offensivo, molestie, informazioni sensibili o violazioni regolamentari, e li mette in coda a reviewer designati. Non blocca nulla.

L’Insider Risk Management correla segnali di comportamento (dipendente dimissionario, download anomali, esfiltrazione) per far emergere rischi interni prima che diventino incidenti.

Defender for Office 365, Conditional Access e ruoli amministrativi

Safe Attachments per SharePoint, OneDrive e Microsoft Teams fa detonare in sandbox i file caricati e blocca quelli malevoli prima che vengano aperti; Safe Links protegge gli URL al momento del click, anche dentro i messaggi Teams. Sono threat policy di Defender for Office 365, non impostazioni Teams.

Il Conditional Access in Microsoft Entra decide chi accede a Teams e da dove: MFA, device compliant o hybrid joined, app protection policy, restrizioni di rete. Nessuna di queste condizioni è esprimibile in una policy di Teams.

Sui ruoli, la regola è least privilege. Teams Administrator gestisce l’intero servizio; Teams Communications Administrator si limita a chiamate e riunioni; Teams Communications Support Engineer vede il call record completo di tutti i partecipanti in call analytics; Teams Communications Support Specialist vede solo l’utente cercato. Esistono ruoli ulteriori, come Teams Devices Administrator, per gli scenari di device management. Il Global Administrator non è mai la risposta corretta a uno scenario che chiede il permesso minimo.

Trappole tipiche d’esame

  • Conservare per anni i messaggi di chat e poi cancellarli → retention policy di Purview sulle location Teams: una policy applicata solo a Exchange non copre i messaggi di Teams, e le location Teams non si combinano con altri workload nella stessa policy.
  • Impedire l’invio di dati di pagamento in chat → DLP, non Communication Compliance: la Communication Compliance rileva e manda in revisione, la DLP è l’unica che blocca il messaggio.
  • Separare due reparti interni che non devono parlarsi → Information Barriers: external access e guest access riguardano chi sta fuori dal tenant, non due segmenti interni.
  • La riunione del board non deve essere registrata né la chat copiata → sensitivity label per le riunioni: una meeting policy si assegna per utente e lascia margine all’organizzatore, l’etichetta impone le opzioni.
  • Consentire Teams solo da dispositivi conformi o con MFA → Conditional Access in Microsoft Entra: nel Teams admin center non esiste un equivalente.
  • Un operatore di primo livello deve indagare la qualità di una singola chiamata → Teams Communications Support Specialist: l’Engineer serve quando occorre il call record completo, il Teams Administrator eccede il bisogno.