Le organizzazioni moderne gestiscono volumi enormi di dati distribuiti tra Microsoft 365, servizi Azure e ambienti multicloud. Governare questi dati, ridurre i rischi e dimostrare la conformità a normative come GDPR e ISO 27001 richiede una piattaforma unificata: è questo il ruolo di Microsoft Purview.

Cos’è Microsoft Purview

Microsoft Purview è la piattaforma integrata di governance, rischio e compliance (GRC) di Microsoft. Nasce dall’unione delle capacità di data governance (ex Azure Purview) e delle soluzioni di compliance di Microsoft 365, offrendo un punto di controllo unico su dati e conformità.

Le sue funzioni si raggruppano in tre grandi aree:

  • Data governance: catalogazione, mappatura e classificazione dei dati (data map, data catalog).
  • Data security: protezione delle informazioni tramite sensitivity label, Data Loss Prevention (DLP) e Insider Risk Management.
  • Data compliance: strumenti per rispettare gli obblighi normativi, tra cui Compliance Manager, eDiscovery, Audit e Records Management (gestione dei documenti con retention e disposition).

Tutto è accessibile dal Microsoft Purview portal (purview.microsoft.com), che sostituisce i vecchi portali separati e centralizza policy, report e dashboard.

Compliance Manager

Compliance Manager è la soluzione di Purview che aiuta l’organizzazione a valutare, gestire e migliorare la propria postura di conformità. Traduce requisiti normativi complessi in azioni concrete e misurabili.

I suoi elementi principali sono:

  • Assessment: valutazioni basate su un template normativo (es. GDPR, ISO 27001, NIST, SOC 2, HIPAA). Un template raggruppa i controlli richiesti da uno specifico standard.
  • Improvement action: le azioni di rimedio suggerite per soddisfare i controlli. Si dividono in azioni gestite da Microsoft (responsabilità del cloud provider) e azioni gestite dal cliente (responsabilità dell’organizzazione), riflettendo il modello di responsabilità condivisa.
  • Controls: i singoli requisiti tecnici e operativi mappati dal template.

Ogni improvement action mostra istruzioni operative, stato di implementazione e punteggio associato, permettendo di prioritizzare gli interventi.

Compliance Score

Il Compliance Score è un valore percentuale che riassume quanto l’organizzazione è allineata ai requisiti. Aumenta man mano che si completano le improvement action.

Punti chiave da ricordare:

  • Il punteggio deriva dalla somma dei punti delle azioni completate, sia Microsoft-managed sia customer-managed.
  • Fornisce un baseline iniziale (spesso già positivo, grazie alle azioni gestite da Microsoft) e obiettivi di miglioramento nel tempo.
  • Aiuta a misurare e monitorare la conformità con continuità, non come evento una tantum.

In pratica il Compliance Score offre una metrica oggettiva per il management e per gli audit, mostrando i progressi verso GDPR, ISO e altri standard.

Misurare e monitorare nel tempo

Compliance Manager non è uno strumento statico: le dashboard aggiornano automaticamente il punteggio quando le configurazioni cambiano o quando si aggiungono nuovi assessment. L’organizzazione può così seguire l’evoluzione della propria postura di compliance, individuare aree scoperte e documentare l’aderenza normativa per revisori interni ed esterni.

Trappole tipiche d’esame

  • Scenario: “Devi valutare quanto la tua organizzazione è conforme al GDPR e ottenere azioni di rimedio suggerite.” → Risposta giusta: Compliance Manager in Microsoft Purview (con un assessment basato sul template GDPR), non Microsoft Defender né Secure Score.

  • Scenario: “Ti serve un valore che indichi il livello complessivo di conformità e che migliori completando attività.” → Risposta giusta: Compliance Score. Attenzione a non confonderlo con il Microsoft Secure Score, che misura la postura di sicurezza, non di compliance.

  • Scenario: “Vuoi applicare politiche di conservazione ed eliminazione a documenti aziendali per obblighi legali.” → Risposta giusta: Records Management in Microsoft Purview (retention e disposition), non DLP né sensitivity label.

  • Scenario: “Quale portale usi per gestire in modo unificato governance dei dati e soluzioni di compliance?” → Risposta giusta: il Microsoft Purview portal, non il Microsoft 365 admin center né il portale Entra.

  • Scenario: “Chi è responsabile delle improvement action già completate senza alcun intervento del cliente?” → Risposta giusta: le azioni Microsoft-managed, in base al modello di responsabilità condivisa; le restanti (customer-managed) restano a carico dell’organizzazione.