Da un paio d’anni ci fanno una telefonata che prima non ci faceva quasi nessuno. Un cliente ha ricevuto dal suo committente un questionario sulla sicurezza, tre pagine di domande, e si è fermato alla seconda: vogliono sapere se sulla posta aziendale c’è l’autenticazione a più fattori, per quanto tempo si conservano i registri degli accessi, quanto ci vuole a rimettere in piedi una casella cancellata per sbaglio. Quelle domande le gira a noi, e se la posta elettronica aziendale è quella comprata anni fa insieme al dominio, la risposta onesta è che non lo sa nessuno.
Domande del genere non se le inventa un committente pignolo: sono le misure adeguate al rischio di cui parla il GDPR. Ci si inceppa quasi sempre sulla posta, che è il posto dove passano i dati di tutti e insieme l’unico servizio a cui nessuno ha più messo mano dal giorno in cui è stato registrato il dominio.
Dipende da che cosa tieni nella posta
Prima di parlare di fornitori conviene mettere un confine, perché davanti alla legge non tutte le caselle sono uguali. Se la posta ti serve per prenotare un tavolo, per ordinare la cancelleria e per ricevere le newsletter di settore, il GDPR ti sfiora appena e una casella da pochi euro l’anno fa il suo mestiere senza colpe. Le cose cambiano nel momento in cui lì dentro cominciano a passare i dati delle persone: i clienti con nome, indirizzo e telefono, i curriculum di chi si candida, le buste paga dei dipendenti, la carta d’identità che qualcuno allega per firmare un contratto, e in certi mestieri anche referti e diagnosi. Da lì in avanti sei titolare del trattamento, la casella diventa uno degli archivi in cui quei dati stanno, e di come sono custoditi rispondi tu.
L’articolo 32 del regolamento non nomina nessun prodotto, però chiede tre cose che conviene leggere una per una, perché a ognuna corrisponde qualcosa che nella casella economica non trovi. Chiede la riservatezza, cioè che si sappia chi accede e che possa accedere soltanto chi deve: con una password sola in mano a cinque persone, e senza un secondo passaggio da superare, quella riservatezza non la dimostri. Chiede che i dati restino disponibili e che, dopo un incidente, tu sia in grado di ripristinarli tempestivamente: se quello che esce dal cestino è perso per sempre, di ripristino non se ne parla. Chiede infine di verificare a intervalli regolari che le misure funzionino davvero, il che significa avere dei registri da guardare, mentre su una casella base i registri mancano oppure si consultano entrando in una casella alla volta.
Poi c’è il capitolo delle violazioni. Se qualcuno entra in una casella dove stanno i dati dei clienti, da quando te ne accorgi hai settantadue ore per avvisare il Garante, a meno che sia improbabile un rischio per le persone coinvolte, e in ogni caso l’episodio va annotato in un registro interno. Per stabilire quale dei due casi sia devi sapere chi è entrato, quando e che cosa ha letto, e davanti all’autorità «non lo sappiamo» non è una risposta che chiude la faccenda. Sui metadati della posta dei dipendenti, infine, il Garante è tornato nel giugno del 2024 chiedendo al datore di lavoro di accertarsi che il servizio scelto permetta di cambiare le impostazioni predefinite di conservazione: se nel pannello quella voce non esiste, in regola non ci si mette nemmeno volendo.
Nessuno di questi articoli vieta i fornitori economici, e nessuno impone Microsoft o Google: un contratto sul trattamento dei dati, quello che l’articolo 28 pretende, lo mettono a disposizione anche loro. Il regolamento però chiede un risultato, non una firma in fondo a un modulo, e una casella senza secondo fattore, senza registri consultabili, senza modo di recuperare quello che è stato cancellato e senza una regola di conservazione quel risultato non lo raggiunge. Scegliere il servizio di posta, a ben vedere, è già una misura di sicurezza, ed è una misura di cui rispondi tu e non il fornitore.
Chi punta alla ISO 27001 le stesse prove le deve produrre con più formalità, ma è un discorso che riguarda aziende già avviate su questa strada: se sei arrivato fin lì, il problema della posta te lo sei posto da un pezzo.
Che cosa si compra con la posta inclusa nell’hosting
Conviene guardare che cosa ci sia davvero dall’altra parte di quei pochi euro. Si compra spazio su un server condiviso con qualche migliaio di altri clienti, l’accesso IMAP per configurare il programma sul computer e sul telefono, una webmail essenziale e un antispam uguale per tutti. Sono cose fatte bene, quasi sempre, e infatti vanno avanti per anni senza dare problemi. Il prezzo però spiega anche il resto, perché con quelle cifre nessuno può tenere una persona che sorvegli il servizio per conto tuo.
La prima crepa si vede nella consegna dei messaggi. L’indirizzo da cui esce la tua posta è lo stesso da cui esce quella di tutti gli altri ospiti del server, sicché basta un vicino che spedisca una campagna sgradita perché la reputazione peggiori per tutti e le tue email comincino a finire nella cartella che il destinatario apre una volta al mese. I grandi fornitori, intanto, hanno alzato l’asticella: dal 2024 Gmail e Yahoo, dal maggio del 2025 anche Outlook, accettano chi spedisce in quantità soltanto se il dominio è autenticato come si deve. Sono tre righe di configurazione dai nomi poco invitanti, SPF, DKIM e DMARC, e servono anche a impedire che qualcuno mandi email fingendo di essere te.
La sicurezza è quello che si paga davvero
Di solito si crede di pagare lo spazio e i programmi, mentre quello che conta di più, in un servizio evoluto, è il modo in cui si accede alla posta. Chi amministra può obbligare tutti a un secondo passaggio, l’applicazione sul telefono oppure una chiavetta da infilare nel computer, e può bloccare i tentativi che arrivano da dove non dovrebbero. Quando nel 2022 Google ha imposto d’ufficio il secondo passaggio a centocinquanta milioni di account, gli account violati si sono dimezzati; l’anno dopo uno studio di Microsoft calcolava che il rischio scende di oltre il novantanove per cento. Sono misure di qualche anno fa, e i codici via SMS ormai si aggirano, ma non esiste nient’altro che, da solo, renda altrettanto.
L’attacco che vediamo davvero, del resto, non è quasi mai il virus in allegato. Arriva un’email scritta in buon italiano, proprio mentre stai aspettando quella fattura, e avverte che il fornitore ha cambiato banca. Contro un messaggio così l’antispam non può niente, perché non è spam e non contiene niente di irregolare. La difesa allora è un’altra: il servizio controlla il link nel momento in cui lo apri, apre l’allegato in un ambiente isolato prima di consegnartelo e ti avverte quando un mittente esterno si presenta con il nome di un collega.
Registri consultabili da un punto solo, conservazione decisa da chi amministra e ricerca dentro le caselle di tutta l’azienda sono poi le tre risposte che al questionario da cui siamo partiti mancavano, ed è per questo che un servizio di posta serio non lo si compra per i gigabyte.
Messe in fila, le differenze che pesano sono queste.
| Casella inclusa nell’hosting | Servizio di posta evoluto | |
|---|---|---|
| Antispam e antivirus | ✓ ma su certi piani si pagano a parte | ✓ sempre presente |
| Verifica in due passaggi | ✗ non documentata sulle caselle del dominio | ✓ su tutti i piani, e si può imporre a tutti |
| Controllo di link e allegati | ✗ | ✓ nei piani superiori |
| Registro degli accessi | ✓ ma si consulta da dentro la singola casella | ✓ per tutta l’azienda, con ricerca |
| Recupero della posta cancellata | ✗ fuori dal cestino non si torna indietro | ✓ per settimane, anche dall’amministratore |
| Spazio in cloud per i file | ✗ lo spazio è quello del sito | ✓ da 30 GB a 1 TB a persona |
| Calendario e rubrica condivisi | ✗ solo con un’estensione a pagamento | ✓ inclusi e sincronizzati ovunque |
| Videoriunioni | ✗ non previste | ✓ incluse, da 100 a 300 partecipanti |
| Deleghe e caselle condivise | ✗ si finisce per condividere la password | ✓ permessi per persona, senza password comuni |
| Ricerca e conservazione su tutte le caselle | ✗ | ✓ nei piani superiori |
| Backup della posta | ✗ | ✗ è un servizio a parte, anche qui |
Le quattro strade che percorriamo più spesso
Microsoft 365 resta la scelta naturale dove si lavora con programmi installati sul computer, per esempio quando girano fogli di calcolo pieni di macro o quando in sede c’è già un server Windows a cui agganciarsi. Le riunioni si fanno con Teams, fino a trecento persone, e vale la pena sapere che in Europa esistono anche le versioni che non lo comprendono, a un prezzo più basso. È l’ambiente più ricco di controlli e, proprio per questo, il più laborioso da amministrare.
Google Workspace parte dall’idea opposta, quella di non installare e non aggiornare niente: si lavora dal browser e dal telefono, e i suoi programmi da ufficio sono strumenti professionali a tutti gli effetti, non una versione ridotta di qualcos’altro. Meet si apre dal browser e regge da cento a cinquecento partecipanti secondo il piano, senza che nessuno debba scaricare nulla. Dove capita di scrivere in tre sullo stesso documento è anzi più comodo, e il pannello di amministrazione si impara in un pomeriggio.
Proton Mail viene da un’idea diversa e va scelta sapendo che cosa si prende. La posta sta in Svizzera ed è cifrata in modo che nemmeno il fornitore possa leggerla, il che per uno studio legale o per un medico è un argomento serio e non una fissazione. Si paga però in comodità, e non poca.
Zoho Mail è la meno conosciuta delle quattro e costa poco più della casella dell’hosting, però ha un pannello di amministrazione vero e permette di tenere i dati in Europa. È la via di mezzo sensata per chi ha parecchie caselle poco usate.
I quattro a confronto, punto per punto.
| Microsoft 365 | Google Workspace | Proton Mail | Zoho Mail | |
|---|---|---|---|---|
| Documenti e fogli | programmi installati sul computer | tutto nel browser, niente da installare né da aggiornare | solo l’essenziale, non è il suo mestiere | suite completa, nel browser |
| Outlook sul computer | è casa sua | si collega via IMAP | serve un programma ponte, e solo sul computer | si collega via IMAP |
| App sul telefono | app dedicate per posta, documenti e riunioni | app dedicate per posta, calendario, documenti e file | app proprie per posta e calendario, ma sul telefono non si possono usare altri programmi di posta | app dedicata per la posta, altre per il resto della suite |
| Calendario e rubrica condivisi | integrati | integrati | ci sono, ma i calendari esterni si vedono solo in lettura | integrati nella suite |
| Videoriunioni | Teams, fino a 300 persone | Meet, da 100 a 500 secondo il piano | fino a 100, 250 nel piano superiore | Meeting, dentro la suite Workplace |
| Spazio della casella | 50 GB, in aumento a 100 | 30 GB a testa in comune, 2 TB nel piano usuale | 15 GB | 5 o 10 GB, 50 GB salendo di piano |
| Verifica in due passaggi | su tutti i piani; le regole per situazione solo dal piano più alto | su tutti i piani, l’amministratore può imporla, anche con chiave fisica o passkey | sì, con app o chiave fisica | su tutti i piani a pagamento, con app propria o chiave fisica |
| Accesso unico (SSO) e Active Directory | nativo: si sincronizza con l’Active Directory che avete in sede | SAML con l’identità che usate già, più uno strumento per sincronizzare Active Directory | documentato per VPN e gestore di password, non per la posta | SAML e OpenID; Active Directory con il piano Professional della sua directory |
| Accordo GDPR sul trattamento | automatico, dentro il contratto | automatico, dentro il contratto | pubblico e già pronto | va richiesto per email, altrimenti non esiste |
| Certificazione ISO 27001 | sì | sì | sì dal 2024, con anche SOC 2 | sì, su tutti i servizi cloud |
| Cercare e conservare la posta di tutti | solo con il piano più alto | solo con il piano più alto | solo con il piano più alto | già in un piano economico |
| Arrivando da un altro fornitore | si trasferiscono solo i messaggi: contatti e calendario vanno spostati a parte | si trasferiscono solo i messaggi: contatti e calendario vanno spostati a parte | messaggi, contatti e calendari insieme | messaggi e cartelle, con lo stato letto o da leggere |
Quanto costa il passaggio
Il salto di prezzo esiste e non serve girarci intorno, perché si passa da pochi euro l’anno a casella a sei o sette euro al mese a persona, e a dodici o tredici per i piani che quasi tutti finiscono per scegliere. Sono i listini di agosto 2026 e vanno presi come ordini di grandezza, dato che cambiano ogni anno. In un ufficio di otto persone la differenza sta fra i cinquecento e i milleduecento euro l’anno, una cifra da mettere accanto a una mattina di posta ferma, a un archivio da ricostruire a mano oppure a quell’unico bonifico partito verso il conto sbagliato.
Quanto al passaggio in sé, fatto con ordine è meno impegnativo di quanto si teme: si spostano i record del dominio, la posta resta ferma il tempo che serve agli aggiornamenti per propagarsi, e l’archivio storico arriva nei giorni successivi mentre in ufficio si continua a lavorare. Ne abbiamo scritto per esteso, con i tempi e i costi, nella pagina sulla migrazione della posta aziendale.
Prima di firmare qualcosa
Nemmeno Microsoft e Google fanno il backup della tua posta. Garantiscono che il servizio funzioni e che i loro sistemi non perdano niente, ma se a cancellare è una persona della tua azienda il recupero non è compreso: l’infrastruttura è loro, i dati restano tuoi, e a conservarli devi pensarci tu. Se qualcuno svuota tre anni di posta e te ne accorgi due mesi dopo, il cestino non ti salva. Una copia esterna si compra a parte, e conviene metterla nel conto fin dall’inizio.
Per qualcuno, del resto, la casella dell’hosting continua ad andare benissimo. Chi lavora da solo, riceve venti messaggi al giorno e nella posta non fa passare i dati di altre persone non ha molto da guadagnare dal cambio, e gli resta da sistemare soltanto la verifica in due passaggi, dove il fornitore la offra, insieme ai record del dominio. Appena però ci sono dei dipendenti, o i dati dei clienti, torna intero il discorso di prima.
Il modo più rapido per capire da che parte stai è provare a rispondere per iscritto alle tre domande del questionario da cui siamo partiti: chi è entrato nella posta il mese scorso, per quanto tempo restano i registri, quanto ci vuole a rimettere in piedi una casella cancellata. Se le risposte non ci sono, il problema non è il prezzo. Abbiamo scritto anche di come si difende una piccola azienda dagli attacchi più comuni e di come si tiene una copia dei dati che regga davvero.
