Microsoft 365 / Dipendente in uscita: bloccare l’accesso e trasferire email e OneDrive

Nella gestione dell'uscita dei dipendenti in Microsoft 365, l'accesso dovrebbe essere bloccato per primo, quindi dovrebbe essere verificato il trasferimento dei dati di posta elettronica e OneDrive, e infine dovrebbero essere prese decisioni riguardanti la licenza e la cancellazione dell'account. Se la licenza viene rimossa per prima o l'account viene eliminato immediatamente, potrebbe diventare difficile accedere ai dati necessari. Assicurati di rivedere le procedure dell'organizzazione relative alla conservazione, ai requisiti legali e alle risorse umane (HR) insieme.

Decisioni da prendere prima dell'uscita

Registra il momento del blocco dell'accesso, la persona responsabile della consegna, le e-mail/file/materiali di Teams che devono essere conservati, il metodo di gestione per dispositivi personali e aziendali e la data prevista per la cancellazione dell'account. Se ci sono obblighi legali di conservazione o se il dipendente è soggetto a indagine, consulta il personale legale/di sicurezza prima di procedere con le procedure standard di cancellazione. In un ambiente di identità ibrida, che collega identità locali e cloud, controlla anche l'account locale e lo stato di sincronizzazione.

Microsoft classifica le procedure di offboarding in blocco dell'accesso, conservazione dei dati, gestione dei dispositivi, consegna e cancellazione dell'account. I metodi disponibili possono variare a seconda delle politiche organizzative e delle licenze.

Non scegliere l’account soltanto in base al nome visualizzato. Verificare l’indirizzo completo di accesso e l’organizzazione del dipendente prima di apportare modifiche.

Nell'elenco dei compiti, crea voci separate per “Blocco Accesso,” “Trasferimento Dati,” “Sostituzione Proprietario” e “Gestione Prodotto/Account.” Anche se l'amministratore IT ha completato il blocco, l'offboarding complessivo non è completo se il dipartimento non ha verificato i dati. Inoltre, verifica se l'utente è l'unico proprietario di eventuali team, gruppi o app condivisi, e prepara un proprietario sostitutivo.

Inizia bloccando l'accesso

1. Nel centro di amministrazione Microsoft 365, apri Utenti → Utenti attivi e verifica l'indirizzo di accesso completo e il tenant prima di selezionare l'account. Utilizza un amministratore autorizzato a gestire quell'obiettivo; le autorizzazioni per reimpostare le password o terminare le sessioni degli utenti ordinari non coprono automaticamente gli amministratori privilegiati.
2. Blocca l'accesso dell'utente target e reimposta la password. Considera anche misure per invalidare le sessioni di accesso esistenti. Non dare per scontato che semplicemente cambiare la password termini immediatamente le sessioni esistenti.
3. Verifica il ruolo dell'amministratore, i gruppi, l'accesso alle app, l'integrazione con servizi esterni e la registrazione del dispositivo, e rimuovili o revocali secondo necessità. Quando rimuovi dati aziendali da un dispositivo mobile, controlla prima il suo impatto sui dati personali.

Nei dettagli dell'utente selezionato, scegliere Blocca accesso → Blocca l'accesso dell'utente → Salva modifiche. Reimpostare la password e utilizzare Account → Disconnetti da tutte le sessioni come azioni separate. La procedura di blocco accesso e disconnessione delle sessioni di Microsoft osserva che il blocco dell'account può richiedere fino a 24 ore per avere effetto e che i token esistenti o la sessione attuale del servizio possono ritardare la disconnessione. Non interpretare un'impostazione salvata come prova che tutte le app abbiano smesso immediatamente di funzionare. Per un contenimento urgente, fare valutare al personale di sicurezza eventuali restrizioni aggiuntive specifiche del servizio.

Verifica lo stato dell'account salvato e i relativi record di accesso. Non ottenere le credenziali del precedente dipendente né impersonarlo per controllare il risultato. Accedere con un account di test non correlato non dimostra che il dipendente uscente sia stato bloccato; valuta lo stato di quell'account e le azioni intraprese sulle sue sessioni.

Come posso trasferire la posta e OneDrive?

Per garantire la continuità aziendale, scegliere come consegnare la posta. La conversione in cassetta postale condivisa, l’accesso delegato e l’esportazione dei messaggi possono avere requisiti diversi di licenza e conservazione. L’inoltro automatico richiede l’approvazione dei destinatari e della durata, per i rischi relativi alla privacy e alla diffusione esterna dei dati. Consultare la guida Microsoft alla consegna dei dati Outlook e OneDrive per le procedure supportate.

Per mantenere la cassetta postale in uso, inizia con una cassetta postale utente con licenza e apri Utenti → Utenti attivi → l’utente → Posta → Converti in cassetta postale condivisa → Converti. Verifica il tipo di cassetta postale risultante prima di considerare la rimozione della licenza. Rimuovere prima la licenza può nascondere l’opzione di conversione. La guida alla conversione delle cassette postali di Microsoft indica che una cassetta postale condivisa senza licenza è limitata a 50 GB; cassette postali più grandi, funzionalità di archiviazione e di conservazione possono richiedere licenze aggiuntive. Controlla questi requisiti invece di considerare la conversione come permesso automatico di rimuovere ogni licenza.

L'account utente di base di una cassetta postale condivisa non deve essere eliminato. Anche se l'utente ha lasciato l'azienda, l'account collegato è necessario per mantenere la cassetta postale condivisa. L'accesso diretto dovrebbe rimanere bloccato e concedere al successore autorizzazioni di lettura e invio per delega in modo che possa accedervi utilizzando il proprio account. Rivedere le regole della posta in arrivo e le impostazioni di inoltro poiché potrebbero rimanere attive, per garantire che sia nello stato desiderato.

Per OneDrive, concordare con il proprietario ricevente, i file necessari e il periodo di accesso. Per l'uso aziendale a lungo termine, spostare il materiale richiesto in un sito di team SharePoint appropriato può essere preferibile rispetto a concedere a un altro dipendente l'accesso indefinito all'intera area di archiviazione personale di lavoro. Controllare link e destinatari esistenti dopo il trasferimento.

Ordine per il controllo e il trasferimento dei file di OneDrive

1. Un amministratore autorizzato apre Utenti → Utenti attivi → l’utente → OneDrive → Ottenere l'accesso ai file → Crea collegamento ai file. Utilizzare questo percorso amministrativo supportato, non la password del dipendente. Confermare che l’account e il contenuto siano in uno stato che supporti l’accesso; i contenuti archiviati o altrimenti limitati e senza licenza possono richiedere prima la licenza supportata o la riattivazione.
2. Concordare con il responsabile del lavoro cartelle e file necessari, destinazione finale e requisiti di conservazione. Limitare l’accesso all’ambito approvato e indicare i responsabili, anziché concedere un accesso indefinito all’intero spazio di archiviazione personale di lavoro.
3. Usa un metodo supportato di spostamento o copia per trasferire i file richiesti nella destinazione approvata, come un sito di team. Non dare per scontato che una copia o un download includa la cronologia delle versioni. La guida all'uscita avvisa riguardo ai trasferimenti solo dell'ultima versione; se devono essere conservate versioni precedenti, convalida il metodo scelto e la cronologia della destinazione prima di rimuovere l'originale. Controlla anche collegamenti e permessi.
4. Apri documenti importanti con l'account del successore e verifica se il contenuto, i permessi e la cronologia necessaria siano presenti. Non considerare il trasferimento completo semplicemente perché il numero dei file corrisponde.
5. Rimuovere l'accesso amministrativo temporaneo quando non è più necessario e registrare la modifica. La guida al passaggio fornisce un percorso per l'amministratore di SharePoint tramite Centro amministrativo di SharePoint → Altre funzionalità → Profili utente → Apri → Gestisci profili utente → l'ex utente → Gestisci proprietari della raccolta siti. Rimuovere l'amministratore non necessario dall'elenco degli amministratori della raccolta siti e verificare il risultato salvato; mantenere qualsiasi accesso ancora richiesto da un proprietario approvato.

Se l'account o OneDrive è già stato eliminato, il percorso per utente attivo non si applica più. Seguire la guida di Microsoft per il ripristino di OneDrive eliminato per determinare se il recupero è possibile. La conservazione di OneDrive per utenti eliminati è configurabile e predefinita a 30 giorni, seguiti da un periodo separato di 93 giorni per i siti eliminati durante il quale un Amministratore SharePoint può ripristinarlo. Non confondere questi periodi con il cestino di un singolo file. Le opzioni della scheda OneDrive per utenti attivi nel centro di amministrazione di Microsoft 365 non sono supportate per tenant Multi-Geo; utilizzare il percorso documentato appropriato al tenant.

Controlli prima della rimozione della licenza e dell'eliminazione dell'account

• Conferma che email, OneDrive, Teams, ecc., siano stati trasferiti e che la persona responsabile possa accedere ai materiali.
• Verifica i requisiti di licenza necessari per la conversione della cassetta postale condivisa o per le politiche di conservazione. Non tutte le cassette postali condivise vengono sempre gestite senza licenza.
• Rivedi le regole di conservazione legale/audit, il periodo di recupero e le norme interne di gestione dei documenti.
• Poi, ottieni l’approvazione per il momento della rimozione della licenza e della cancellazione dell’account, eseguila e conserva un registro di completamento.

È sicuro lasciare l’account rimuovendo solo la licenza?

Un account OneDrive senza licenza non è un archivio gratuito a tempo indeterminato. Per i clienti coperti da questi criteri Microsoft, il ciclo di vita predefinito imposta l’account in sola lettura dopo 60 giorni senza licenza e lo archivia, oppure lo gestisce in base allo stato dell’account e della conservazione, dopo 93 giorni. Licenze, fatturazione e riattivazione possono condizionare l’accesso. Le modifiche non si applicano ai clienti del settore dell’istruzione, Government Community Cloud o Dipartimento della Difesa degli Stati Uniti. Il periodo di archiviazione attiva configurato dall’organizzazione può modificare le scadenze predefinite; consultare i controlli Standard storage per gli account OneDrive senza licenza di Microsoft.

Dal 1° luglio 2026, gli account OneDrive senza licenza interessati da questi criteri, non coperti da una licenza a pagamento o da un’opzione di fatturazione o archiviazione applicabile, accumulano 365 giorni di mancato pagamento. Per quelli già in tale stato il 1° luglio 2026, il rischio di eliminazione non inizia prima del 1° luglio 2027. Per i casi successivi dipende dal raggiungimento dei 365 giorni cumulativi. Mantenere l’account utente non basta a conservare i dati. Consultare la guida Microsoft alla gestione degli account OneDrive senza licenza e Centro di amministrazione SharePoint → Report → Account OneDrive per stato e condizioni di conservazione e fatturazione. Far approvare dal responsabile della conformità una soluzione adeguata di licenze, archiviazione e conservazione.

Il periodo di recupero dopo l'eliminazione e il comportamento di conservazione dei dati variano a seconda del servizio e delle impostazioni. Il record finale include lo stato del blocco, le azioni della sessione, la persona che ha confermato la consegna dei dati, se mantenere l'account a causa di caselle di posta condivise, licenze revocate, permessi amministrativi/app/dispositivo residui e la data della prossima revisione. Se è stato elaborato l'obiettivo sbagliato, interrompere ulteriori modifiche, controllare lo stato attuale e i servizi interessati, e poi procedere con le procedure di recupero approvate.