Lo scenario tipico: l'azienda passa da Business Standard a Business Premium perché "ce l'ha consigliato il commercialista" o perché "sembra più sicuro". Il prezzo per utente sale da circa 12,50 €/mese a circa 22 €/mese. Su 30 dipendenti fanno 3.420 € l'anno in più. E poi nessuno tocca un'impostazione. Le funzioni che giustificano quel prezzo restano disattivate.
Le elenchiamo qui, in ordine di impatto reale sulla sicurezza aziendale.
1. Microsoft Defender for Business
Incluso in Business Premium, è l'antivirus + EDR (Endpoint Detection & Response) di Microsoft, pensato per le PMI. Non è "Windows Defender base", è la versione gestita centralmente con console cloud, policy di sicurezza per gruppo, isolamento automatico dei dispositivi infetti.
Cosa fa di concreto:
- Rilevamento comportamentale (non solo signature), utile contro ransomware moderno
- Console unica per vedere lo stato di tutti gli endpoint
- Risposta automatica: se un PC viene compromesso, viene isolato dalla rete in pochi secondi
- Attack Surface Reduction: regole che bloccano comportamenti tipici di malware (macro Office che lanciano script, ecc.)
Cosa vediamo nelle aziende: Defender for Business è in licenza, ma non è mai stato fatto l'onboarding dei dispositivi. La console esiste, è vuota. Sui PC continua a girare un antivirus gratuito di 10 anni fa.
2. Microsoft Intune (gestione dispositivi)
Intune è il sistema di gestione di PC e smartphone (MDM/MAM). È la differenza tra "abbiamo dei portatili sparsi" e "abbiamo una flotta gestita".
Con Intune attivato puoi:
- Cifrare automaticamente i dischi (BitLocker) di tutti i portatili aziendali e custodire le chiavi di recupero
- Distribuire software e aggiornamenti a tutti i PC senza passare uno per uno
- Cancellare da remoto un dispositivo perso o rubato
- Separare dati aziendali e personali sugli smartphone (il dipendente usa il suo telefono, ma le mail aziendali stanno in un container isolato e cancellabile)
- Bloccare l'accesso alle risorse aziendali da dispositivi non conformi (es. PC senza antivirus aggiornato)
Quanto vale tutto questo? Provate a chiedervi cosa succederebbe se domani un dipendente perdesse il portatile in stazione. Senza Intune: ansia. Con Intune: due click di wipe remoto.
3. Conditional Access (Microsoft Entra ID P1)
Business Premium include Microsoft Entra ID P1 (l'evoluzione di Azure AD Premium). La funzione più potente è il Conditional Access: regole che decidono quando e come permettere l'accesso ai servizi aziendali.
Esempi di policy che vediamo funzionare bene nella pratica:
- "Da fuori Italia, MFA sempre obbligatoria"
- "Solo dispositivi gestiti da Intune possono accedere a SharePoint"
- "Se rilevo un login a rischio (IP sospetto, viaggio impossibile, tentativi multipli), blocca o forza un cambio password"
- "Da PC personale puoi leggere le mail nel browser, ma non scaricare allegati"
Tradotto: invece di affidare la sicurezza a "speriamo che la password non venga rubata", costruisci un perimetro intelligente che reagisce al contesto. È il cuore del modello Zero Trust applicato a una PMI.
4. Microsoft Purview Information Protection
Le Sensitivity Labels permettono di classificare e proteggere i documenti in modo che la protezione viaggi con il file, non con la cartella in cui lo metti.
Esempio concreto. Marchi un contratto come "Riservato — Solo Direzione". Da quel momento:
- Il file è cifrato. Anche se finisce per errore allegato a una mail sbagliata, chi lo riceve non riesce ad aprirlo
- Puoi impedirne la stampa, il copia-incolla, l'inoltro
- Puoi imporre un watermark con nome di chi lo apre
- Puoi farlo scadere automaticamente dopo X giorni
Per studi professionali, aziende manifatturiere con know-how da proteggere, realtà che gestiscono dati di clienti — questa funzione da sola può evitare incidenti GDPR a sei zeri. La paghi già. Spesso non è mai stata configurata.
5. Self-Service Password Reset + MFA gestita
Sembra banale, ma sposta numeri concreti di costo e produttività. Senza Business Premium, quando un dipendente dimentica la password l'help desk perde 15-30 minuti per resettarla. Con la SSPR di Entra ID P1, il dipendente la resetta da solo dal suo telefono, dopo verifica via MFA.
Su un'azienda da 50 persone con una media realistica di 1-2 reset al mese, parliamo di 10-20 ore di help desk all'anno recuperate. Più la riduzione del rischio di "post-it con la password" perché il reset è diventato indolore.
Stesso discorso per la MFA: in Business Premium hai la gestione centralizzata, l'enforcement per gruppo, le passkey, le Authenticator number-matching. Roba che in Business Standard semplicemente non esiste con la stessa profondità. Se vuoi capire perché la MFA è ormai obbligatoria, ne parliamo in dettaglio nell'articolo sul phishing.
Comprare Business Premium senza attivare Defender, Intune e Conditional Access è come comprare un'auto con airbag, ABS e ESP e poi disattivarli tutti dal menu. Tecnicamente funziona. Praticamente, l'hai pagata e basta.
Quanto vale, in concreto
Facciamo i conti onesti su un'azienda da 30 dipendenti.
- Costo extra di Business Premium vs Standard: ~285 €/mese = ~3.420 €/anno
- Se comprassi a parte un antivirus EDR + un MDM + un IdP con Conditional Access + DLP + un sistema di password reset, parleremmo di 8.000-12.000 €/anno minimo, più l'integrazione tra 4 console diverse
Il problema non è il prezzo. Il problema è che nessuno lo accende. La licenza Business Premium senza configurazione è uno dei più grandi sprechi che vediamo in giro nelle PMI italiane.
Cosa fare lunedì mattina
Tre azioni veloci per capire dove sei:
- Apri il Microsoft 365 Admin Center → Marketplace → guarda quali licenze hai assegnate. Se vedi "Microsoft 365 Business Premium" stai pagando per tutto quello che c'è in questo articolo.
- Vai su security.microsoft.com. Se ti chiede di "iniziare l'onboarding" o vedi 0 dispositivi sotto Defender, è il segnale: la sicurezza è in licenza ma non in produzione.
- Conta quante delle 5 funzioni qui sopra sono davvero attive nella tua azienda. Onestamente. Senza barare.
Se il punteggio non è almeno 4/5, c'è valore reale da recuperare. Scrivici: in un audit di mezza giornata mettiamo nero su bianco lo stato attuale e cosa accendere per primo, in ordine di impatto.
Articoli collegati: Phishing: 7 segnali per riconoscerlo · La regola 3-2-1-1-0 del backup · NIS2: cosa cambia per la tua azienda · MSP vs assistenza tradizionale