Sicurezza di Google Workspace: best practice per il 2026

Google Workspace è la spina dorsale della produttività di milioni di organizzazioni: email, documenti, calendari, riunioni video e gestione delle attività, tutto eseguito attraverso un’unica piattaforma. Questa centralizzazione offre un’enorme comodità, ma crea anche un obiettivo concentrato per gli aggressori, l’esposizione accidentale dei dati e i rischi interni.

La sicurezza di Google Workspace non è una configurazione una tantum. È una pratica continua che abbraccia i controlli dell’amministratore, il comportamento degli utenti finali, le integrazioni di terze parti e le policy organizzative. Questa guida copre le pratiche di sicurezza più importanti per il 2026, organizzate in base al livello di controllo a cui ciascuna si applica.

Perché la sicurezza di Google Workspace merita una seria attenzione

Google investe pesantemente nella sicurezza dell’infrastruttura: crittografia in transito e a riposo, data center con sicurezza fisica e rilevamento continuo delle minacce. Ciò da cui Google non può proteggere completamente è il modo in cui la tua organizzazione configura e utilizza la piattaforma.

Gli incidenti di sicurezza più comuni in Google Workspace non sono violazioni dell’infrastruttura di Google. Sono:

Account takeover tramite phishing — un aggressore inganna un dipendente inducendolo a inserire le credenziali su una pagina di accesso falsa.
App OAuth con privilegi eccessivi — un’app di terze parti a cui è stato concesso l’accesso a Google Drive o Gmail che in seguito diventa dannosa o viene acquisita da un’azienda inaffidabile.
Condivisione accidentale — un documento sensibile condiviso con “chiunque abbia il link” invece che con persone specifiche.
Password deboli o riutilizzate — in particolare tra gli account senza verifica in due passaggi.
Account amministratore compromessi — il tipo di account a più alto rischio in qualsiasi organizzazione Google Workspace.

Ognuno di questi ha una chiara mitigazione. La sfida è implementarli tutti in modo coerente.

Console di amministrazione: le fondamenta della sicurezza di Google Workspace

Admin Console Controls

2-Step Verification enforcement

Password policy configuration

Session duration settings

La Google Admin Console è il luogo in cui risiede la configurazione della sicurezza organizzativa. Ogni best practice di sicurezza qui descritta richiede l’accesso come amministratore per essere implementata.

Applicare la verifica in due passaggi

La verifica in due passaggi (2SV) è il singolo controllo di sicurezza a maggiore impatto disponibile in Google Workspace. Richiede un secondo fattore (un codice, una chiave hardware o un dato biometrico) oltre alla password. Anche se un aggressore ottiene la password di un utente, non può accedere all’account senza il secondo fattore.

Come applicarla:

Nella Console di amministrazione, vai su Sicurezza > Autenticazione > Verifica in due passaggi.
Abilita l’applicazione per tutti gli utenti (non solo come opzione).
Imposta un periodo di tolleranza (7-30 giorni) affinché gli utenti possano registrarsi prima che la policy diventi effettiva.
Prendi in considerazione l’obbligo di chiavi di sicurezza hardware (FIDO2/WebAuthn) per gli account con privilegi elevati come gli amministratori.

Per la massima protezione, le chiavi di sicurezza hardware sono drasticamente più resistenti al phishing rispetto ai codici SMS o alle app di autenticazione. La ricerca di Google ha rilevato che le chiavi hardware hanno bloccato il 100% degli attacchi bot automatizzati, il 99% degli attacchi di phishing di massa e il 90% degli attacchi mirati.

Richiedere password complesse

Imposta una lunghezza minima della password di almeno 12 caratteri e applica la prevenzione del riutilizzo (blocca le ultime 10 password). Abbina questo al rilevamento delle credenziali trapelate in stile Have I Been Pwned, che Google include nel Centro sicurezza.

Controllare gli account super amministratore

Gli account super amministratore hanno accesso illimitato a tutti i dati e alle impostazioni della tua organizzazione Google Workspace. Best practice:

Non mantenere più di 2-4 account super amministratore.
Non utilizzare mai gli account super amministratore per il lavoro quotidiano: crea account amministratore separati per le attività amministrative di routine.
Abilita le sfide di accesso e richiedi chiavi di sicurezza hardware per tutti gli account super amministratore.
Rivedi l’elenco dei super amministratori trimestralmente.

Protezione dei dati utente: condivisione e DLP

Controllare le impostazioni di condivisione esterna

Le impostazioni di condivisione predefinite di Google Drive consentono agli utenti di condividere file con chiunque abbia il link, incluse persone esterne all’organizzazione. Per la maggior parte delle organizzazioni, questo è troppo permissivo.

Nella Console di amministrazione, rivedi:

Drive e Documenti > Impostazioni di condivisione > Condivisione esterna a [tuo dominio] — limita a domini attendibili specifici o disabilita completamente la condivisione esterna per le unità organizzative sensibili.
Disabilita la condivisione tramite link impostata su “chiunque” per le unità organizzative che gestiscono dati sensibili.

Data Loss Prevention (DLP)

Le regole DLP di Google Workspace scansionano automaticamente le email in uscita e la condivisione di file su Drive alla ricerca di pattern di dati sensibili: numeri di carte di credito, codici fiscali, numeri di identificazione nazionale, pattern personalizzati definiti dall’utente.

Quando il DLP rileva un pattern sensibile, può bloccare la condivisione, avvisare l’utente o notificare l’amministratore. Il DLP è disponibile nei piani Business Plus, Enterprise e Education Plus.

Regole DLP chiave da configurare:

Bloccare la condivisione esterna di file Drive contenenti numeri di carta di credito.
Avvisare prima di inviare email contenenti determinate parole chiave (riservato, proprietario, PII).
Mettere in quarantena i messaggi Gmail contenenti tipi di allegati sospetti.

Vault per la conservazione e l’eDiscovery

Google Vault consente agli amministratori di impostare regole di conservazione per Gmail, Drive, Chat e Meet. Ciò garantisce che i dati vengano preservati per il periodo di conservazione richiesto anche se gli utenti li eliminano, il che è importante per i requisiti legali e di conformità.

Per le organizzazioni soggette a GDPR, HIPAA o normative finanziarie, Vault è un’infrastruttura essenziale, non un componente aggiuntivo opzionale.

Gestione dell’accesso alle app di terze parti

Le app di terze parti che si connettono a Google Workspace tramite OAuth sono uno dei rischi di sicurezza più sottovalutati. Ogni volta che un utente fa clic su “Accedi con Google” e concede le autorizzazioni a un’app, tale app ottiene un accesso continuo ai dati concessi, finché l’utente non lo revoca manualmente.

Controllare le app connesse

Nella Console di amministrazione, vai su Sicurezza > Controllo accesso e dati > Controlli API > Controllo accesso app per vedere tutte le app di terze parti a cui è stato concesso l’accesso OAuth ai dati Google Workspace della tua organizzazione.

Rivedi questo elenco per:

App che richiedono autorizzazioni più ampie di quelle necessarie per la loro funzione.
App di fornitori che la tua organizzazione non utilizza più.
App che non hanno utenti che le utilizzano attualmente.
App che sono state deprecate o i cui fornitori sono stati acquisiti.

Limitare l’accesso alle app di terze parti

Per le organizzazioni ad alta sicurezza, è possibile limitare completamente quali app di terze parti possono connettersi a Google Workspace. Due opzioni:

Modalità elenco consentiti (Allowlist) — solo le app esplicitamente approvate dall’amministratore possono connettersi.
Limitare le app non verificate — solo le app che hanno completato il processo di verifica OAuth di Google possono richiedere ambiti sensibili.

L’approccio dell’elenco consentiti offre la protezione più forte ma richiede una manutenzione continua man mano che l’organizzazione adotta nuovi strumenti.

Sicurezza di TasksBoard e OAuth

TasksBoard utilizza l’API ufficiale di Google Tasks tramite OAuth, richiedendo l’accesso solo ai dati di Google Tasks: non richiede l’accesso ai contenuti di Gmail, Drive o Calendar. Quando concedi l’accesso a TasksBoard, questo può leggere e scrivere le tue Google Tasks e nient’altro. Questo ambito di autorizzazione minimo segue il principio del privilegio minimo.

Quando valuti qualsiasi app Google Workspace di terze parti, verifica gli ambiti di autorizzazione richiesti prima di concedere l’accesso. Un’app che richiede l’accesso a tutti i dati di Gmail per “migliorare la produttività” è un segnale di allarme.

Sicurezza delle email: protezioni di Gmail

Security

Gmail

Users

Gmail include diversi livelli di sicurezza che gli amministratori possono configurare e rafforzare.

Protezioni da phishing e malware

Nella Console di amministrazione, sotto App > Google Workspace > Gmail > Sicurezza, abilita:

Scansione avanzata dei messaggi pre-consegna — scansione aggiuntiva basata sull’intelligenza artificiale prima che i messaggi raggiungano le caselle di posta degli utenti.
Allegati: Proteggi dagli allegati provenienti da mittenti non attendibili.
Link e immagini esterne: Identifica i link dietro URL abbreviati.
Spoofing e autenticazione: Proteggi dalle email non autenticate.

Configurare SPF, DKIM e DMARC

Questi standard di autenticazione email verificano che l’email inviata dal tuo dominio provenga effettivamente dai tuoi server di posta autorizzati.

SPF (Sender Policy Framework) — elenca gli indirizzi IP di invio autorizzati nel tuo DNS.
DKIM (DomainKeys Identified Mail) — aggiunge una firma crittografica alle email in uscita.
DMARC — indica ai server di posta riceventi cosa fare con le email che non superano i controlli SPF/DKIM.

Google Workspace rende la configurazione DKIM semplice tramite la Console di amministrazione. DMARC richiede un record DNS. Inizia con una policy p=none che monitora solo, quindi passa a p=quarantine ed eventualmente p=reject dopo aver verificato che le email legittime superino l’autenticazione.

LDAP sicuro e SSO

Per le organizzazioni che utilizzano LDAP sicuro o Single Sign-On basato su SAML, assicurati che il tuo provider SSO applichi le stesse policy 2SV di Google Workspace. Bypassare la 2SV a livello SSO elimina le protezioni 2SV di Google Workspace.

Gestione degli endpoint e dei dispositivi mobili

Ogni dispositivo che accede a Google Workspace è un potenziale vettore di attacco. La gestione dei dispositivi mobili (MDM) consente agli amministratori di controllare e cancellare i dispositivi che accedono ai dati organizzativi.

Gestione dei dispositivi di base vs avanzata

Google Workspace include la gestione dei dispositivi di base senza costi aggiuntivi. La gestione avanzata degli endpoint è disponibile nei piani di livello superiore. Funzionalità chiave:

Base (gratuito):

Richiedi il blocco schermo sui dispositivi mobili.
Cancellazione remota dell’account (rimuove i dati di Google Workspace senza cancellare l’intero dispositivo).
Inventario dei dispositivi.

Avanzata (piani a pagamento):

Richiedi solo app approvate.
Blocca l’accesso da dispositivi compromessi.
Funzionalità di cancellazione completa del dispositivo.
Applica i requisiti di aggiornamento del sistema operativo.

Gestione dei Chromebook

Le organizzazioni che utilizzano Chromebook possono gestirli tramite Google Admin con controlli granulari delle policy: blocco dell’archiviazione USB, applicazione dell’avvio verificato, limitazione dell’installazione di app e impostazione di policy di accesso alla rete.

Monitoraggio della sicurezza e risposta agli incidenti

Centro sicurezza

Il Centro sicurezza di Google Workspace (disponibile su Business Plus ed Enterprise) fornisce una dashboard di metriche sullo stato della sicurezza, avvisi e strumenti di indagine. Monitora:

Tentativi di accesso falliti e accessi sospetti.
Anomalie nell’attività di email e Drive.
Concessioni OAuth di app di terze parti.
Indicatori di esfiltrazione dati.

Imposta avvisi email per eventi di sicurezza ad alta priorità in modo che il team di amministrazione venga avvisato tempestivamente.

Centro avvisi

Il Centro avvisi nella Console di amministrazione aggrega gli avvisi di sicurezza da tutto Google Workspace: avvisi di compromissione dell’account, notifiche di attacchi supportati dal governo, attività di accesso sospette e campagne di phishing mirate al tuo dominio.

Rivedi regolarmente il Centro avvisi e stabilisci un flusso di lavoro di risposta agli incidenti per i tipi di avviso comuni.

Conservazione dei log e log di controllo

Google Workspace genera log di controllo per le azioni dell’amministratore, l’attività di Drive, l’attività di Gmail e altro ancora. Questi log sono la base di qualsiasi indagine di sicurezza.

Per la maggior parte dei piani, i log di controllo vengono conservati per 180 giorni. Le organizzazioni che richiedono una conservazione più lunga dovrebbero configurare l’esportazione su Google Cloud Storage o un’integrazione SIEM.

Best practice di sicurezza per gli utenti finali

Secure Access

Protected Data

I controlli amministrativi arrivano solo fino a un certo punto. Il comportamento di sicurezza dei dipendenti è l’altra metà dell’equazione.

Formazione regolare sulla sicurezza

La formazione annuale sulla sicurezza è un minimo normativo per molti settori, ma i programmi più efficaci forniscono una formazione continua basata su scenari. Concentrati sul riconoscimento del phishing, sulle pratiche di condivisione sicura dei file e sull’igiene delle password.

Google fornisce risorse di formazione sulla sicurezza gratuite tramite il Centro di apprendimento di Google Workspace che gli amministratori possono condividere con i dipendenti.

Simulazione di phishing

Eseguire regolarmente simulazioni di phishing (inviare email di phishing false ai dipendenti per vedere chi fa clic) fornisce dati su quali dipendenti o team necessitano di ulteriore formazione. Questo è più efficace come strumento di apprendimento, non come misura punitiva.

Policy chiare sulla gestione dei dati

Documenta e comunica quali tipi di dati possono essere condivisi esternamente, quali richiedono l’accesso solo interno e quali richiedono crittografia o controlli aggiuntivi. Senza policy chiare, i dipendenti prendono decisioni incoerenti che creano esposizione.

Domande frequenti

Qual è l’impostazione di sicurezza più importante di Google Workspace?

Applicare la verifica in due passaggi per tutti gli utenti è il singolo controllo di sicurezza a maggiore impatto. L’account takeover è l’incidente di sicurezza grave più comune negli ambienti Google Workspace e la 2SV previene la stragrande maggioranza degli attacchi basati sulle credenziali.

Come faccio a vedere quali app hanno accesso al mio Google Workspace?

Nella Console di amministrazione, vai su Sicurezza > Controllo accesso e dati > Controlli API > Controllo accesso app. Questo mostra tutte le app di terze parti con accesso OAuth ai dati della tua organizzazione. I singoli utenti possono anche vedere le loro app connesse personali su myaccount.google.com/permissions.

Google Workspace può essere conforme a HIPAA?

Sì, con una configurazione corretta. Google offre un Business Associate Agreement (BAA) per i clienti Google Workspace, che copre Gmail, Drive, Calendar e altri servizi principali. Devi stipulare un BAA con Google e configurare i controlli appropriati (crittografia, controlli di accesso, log di controllo) per soddisfare i requisiti HIPAA.

Qual è l’approccio di Google Workspace alla crittografia dei dati?

Google crittografa i dati in transito (TLS) e a riposo (AES 256-bit). Per le organizzazioni che richiedono chiavi di crittografia gestite dal cliente, Google Workspace offre la crittografia lato client (CSE) nei piani Enterprise e Education Plus, che ti consente di crittografare i dati con chiavi che controlli prima che raggiungano i server di Google.

Come posso prevenire fughe di dati accidentali in Google Drive?

I controlli principali sono: limitare le impostazioni di condivisione esterna nella Console di amministrazione, implementare regole DLP per segnalare pattern di dati sensibili e formare gli utenti sulle best practice di condivisione. Per le organizzazioni ad alta sensibilità, richiedere che la condivisione tramite link sia impostata su persone specifiche invece che su “chiunque abbia il link” elimina il vettore di esposizione accidentale più comune.

In che modo TasksBoard gestisce la sicurezza di Google Workspace?

TasksBoard accede solo a Google Tasks: non richiede l’accesso a Gmail, Google Drive o qualsiasi altro servizio Google Workspace oltre alle attività. TasksBoard utilizza OAuth 2.0 per l’autenticazione, il che significa che non riceve né memorizza mai la tua password Google. Puoi rivedere e revocare l’accesso di TasksBoard in qualsiasi momento tramite le impostazioni di sicurezza del tuo account Google su myaccount.google.com/permissions.

Costruire un programma di sicurezza, non solo una configurazione

La postura di sicurezza di Google Workspace più resiliente non è una configurazione una tantum: è un programma vivo con revisioni regolari, formazione continua degli utenti e chiari processi di risposta agli incidenti.

Inizia con i controlli ad alta priorità: applica la verifica in due passaggi, controlla gli account super amministratore, rivedi le impostazioni di condivisione esterna e configura l’autenticazione email (SPF/DKIM/DMARC). Quindi lavora sistematicamente sui controlli a priorità inferiore.

La sicurezza è più efficace quando è proporzionata al profilo di rischio della tua organizzazione. Una startup di dieci persone ha esigenze diverse rispetto a un fornitore di assistenza sanitaria o a una società di servizi finanziari. Usa questa guida come framework e adatta il rigore di ogni controllo per corrispondere a ciò che è effettivamente in gioco per la tua organizzazione.

Per ulteriori indicazioni sulle funzionalità e le capacità di Google Workspace, consulta il tutorial di Google Workspace.