Guida Console Admin Google Workspace: Utenti, Sicurezza e Policy

Hai appena attivato Google Workspace per la tua azienda e ti ritrovi con decine di utenti da gestire, permessi da impostare e la sicurezza da blindare. La console admin sembra un pannello di controllo di un aereo: troppe voci, poche spiegazioni chiare. Il risultato? Account disorganizzati, password deboli, dispositivi non protetti, e il rischio concreto di perdere dati aziendali.

Noi di Meteora Web vediamo questo scenario ogni giorno. Veniamo dalla contabilità e dalla gestione di sistemi ERP, e quando parliamo di strumenti digitali ragioniamo in termini di costi, rischi e ritorno. Una console admin mal configurata non è solo un problema tecnico: è un costo nascosto. Un account compromesso può bloccare l’intera operatività. Una policy di sicurezza assente può portare a violazioni con danni economici e di reputazione.

In questa guida ti portiamo direttamente al punto: come usare la console admin di Google Workspace per gestire utenti, applicare policy di sicurezza e proteggere la tua azienda. Niente teoria astratta: solo azioni concrete, passo dopo passo.

1. Accesso e panoramica della console admin

Prima di tutto: la console admin si raggiunge all’indirizzo admin.google.com. Usa l’account amministratore principale (quello con cui hai attivato il dominio). Se non lo hai più, recuperalo via recovery email o contatta il supporto Google.

La dashboard principale ti mostra quattro aree chiave:

Utenti: aggiungere, modificare, sospendere, eliminare account.
Gruppi: creare mailing list e team per condividere calendari e permessi.
Dispositivi: gestire telefoni, notebook e Chromebook aziendali.
Sicurezza: policy per password, 2FA, accesso alle app, compliance.

Ogni azione che fai qui ha un impatto diretto su produttività e sicurezza. Non improvvisare.

2. Gestione utenti: dalla creazione alla disattivazione

2.1 Creare un nuovo utente

Vai su Utenti > Aggiungi nuovo utente. Inserisci nome, cognome e indirizzo email (primario). La password temporanea viene generata; puoi impostarla manualmente. Attenzione: la maggior parte degli errori nasce da password deboli. Usa una stringa di almeno 16 caratteri con maiuscole, numeri e simboli. Google sincronizzerà l’account in pochi secondi.

Cosa fare subito: dopo la creazione, invia all’utente le istruzioni per il primo login e la modifica obbligatoria della password.

2.2 Modificare e sospendere utenti

Se un dipendente cambia ruolo o esce dall’azienda, devi agire subito. Per modificare: clicca sul nome utente, aggiorna nome, cognome, alias email o ruoli amministrativi. Per sospendere: seleziona l’utente, clicca su Sospendi utente. L’account viene bloccato immediatamente: nessun accesso, nessuna email in arrivo. Non cancellare mai un account senza aver prima trasferito i dati (Drive, Gmail) a un collega. Usa la funzione Trasferimento dati nella console.

Errore comune: tenere account di ex dipendenti attivi “per sicurezza”. È una falla enorme. Sospendi sempre e poi esporta i dati. Noi, di Meteora Web, abbiamo visto aziende con decine di account zombie pronti per essere violati.

2.3 Gestione alias e gruppi

Gli alias (indirizzi secondari) sono comodi per reparti: es. info@azienda.it, supporto@azienda.it. Si creano dal profilo utente, sezione Informazioni utente > Alias email. I gruppi invece sono fondamentali per la collaborazione: vanno su Gruppi e puoi assegnare permessi di invio, moderazione e visibilità. Noi li usiamo per team di progetto: tutti i membri ricevono automaticamente le email di gruppo.

Azioni immediate:
- Crea gruppi per ogni reparto (vendite, marketing, IT).
- Imposta la moderazione per gruppi esterni (non tutti possono scrivere).
- Verifica che gli alias non vengano usati per registrazioni compromettenti.

3. Politiche di sicurezza: blindare l’accesso

3.1 Password e verifica in due passaggi (2FA)

La prima linea di difesa è la policy delle password. Vai su Sicurezza > Gestione password. Imposta una lunghezza minima di 12 caratteri, complessità (maiuscole, minuscole, numeri, simboli), e scadenza ogni 90 giorni. Obbliga la verifica in due passaggi per tutti gli utenti. Da Sicurezza > Verifica in due passaggi, seleziona Obbligatoria per tutti gli utenti e scegli il metodo: app Google Authenticator, chiave di sicurezza hardware (FIDO2) o notifica push. Noi raccomandiamo chiavi hardware per gli amministratori.

Cosa fare subito: abilita 2FA per te (admin) e per tutti i tuoi utenti entro 24 ore. Non aspettare che un account venga compromesso.

3.2 Accesso alle app e restrizioni

Non tutte le app Google devono essere accessibili a tutti. Vai su Sicurezza > Controllo app. Qui puoi:

Bloccare l’accesso a Google Takeout (esportazione dati) per utenti non admin.
Limitare l’installazione di app di terze parti dal Marketplace.
Permettere solo app verificate e con recensioni adeguate.

Noi, di Meteora Web, consigliamo di bloccare le app meno conosciute e di usare la whitelist per quelle approvate. Un’app malevola con autorizzazioni eccessive può leggere tutta la posta o i file di Drive.

3.3 Dispositivi mobili: policy MDM

Se i dipendenti usano smartphone per lavoro, devi gestirli. Da Dispositivi > Dispositivi mobili > Impostazioni attiva la gestione dei dispositivi (MDM). Imposta policy come:

Richiedi codice di blocco schermo (PIN o password).
Cifratura obbligatoria del dispositivo.
Possibilità di cancellare a distanza i dati aziendali se il dispositivo viene perso.

Attenzione: con Google Workspace puoi anche gestire dispositivi personali (BYOD) con profili separati, ma devi spiegare chiaramente ai dipendenti cosa viene monitorato. Noi lo facciamo sempre con un accordo scritto.

3.4 Regole per i servizi di terze parti (OAuth)

Molte violazioni arrivano da app esterne che chiedono accesso a Gmail o Drive. Vai su Sicurezza > Controllo accesso app > App di terze parti. Qui puoi:

Bloccare tutte le app non autorizzate.
Impostare un elenco di app approvate (whitelist).
Ricevere notifiche quando un utente tenta di autorizzare un’app sconosciuta.

Noi, di Meteora Web, abbiamo risolto un caso in cui un’app di finta produttività stava esfiltando dati. Bloccata in 10 minuti.

4. Policy per la posta elettronica e protezione da spam

Google Workspace ha filtri antispam potenti, ma vanno configurati. Vai su App > Gmail > Sicurezza:

Abilita il filtro antispam con protezione avanzata.
Attiva la quarantena per messaggi sospetti (così l’utente non li vede).
Configura l’autenticazione SPF, DKIM e DMARC per il tuo dominio. Questi tre meccanismi impediscono che qualcuno invii email falsificate a nome della tua azienda. Senza di essi, i tuoi messaggi potrebbero finire nello spam dei clienti.

Come fare: Google fornisce un wizard per SPF e DKIM nella console admin (segui le istruzioni). Per DMARC, pubblichi un record TXT nel DNS del tuo dominio. Se non hai dimestichezza, chiedi a chi gestisce il DNS (o contattaci).

5. Monitoraggio e audit logging

La sicurezza non è solo prevenzione, ma anche rilevamento. Vai su Report > Audit. Qui trovi i log di tutte le attività amministrative (chi ha aggiunto un utente, modificato una policy, etc.). Imposta avvisi per azioni critiche:

Creazione di nuovi account amministratore.
Modifica delle policy di password.
Accessi da IP sospetti (geografici).

Noi attiviamo notifiche email per ogni modifica di sicurezza. In questo modo, se qualcuno tenta di disabilitare la 2FA, lo scopriamo subito.

6. Backup e ripristino degli account

Google Workspace non sostituisce un backup vero. Se un utente cancella per sbaglio file o email, hai finestre di recupero (30 giorni per Gmail, 180 per Drive con Vault). Per una protezione completa, attiva Google Vault (se nel tuo piano) per retention e discovery dei dati. In alternativa, usa uno strumento di backup di terze parti (es. Backupify).

Cosa fare subito: verifica che il periodo di retention dei dati di Gmail e Drive sia impostato correttamente (almeno 30 giorni per eliminazioni soft).

In sintesi — cosa fare adesso

Accedi a admin.google.com e verifica di essere l’unico admin (rimuovi account admin non necessari).
Abilita la verifica in due passaggi per tutti gli utenti (non solo per te).
Crea gruppi per ogni reparto e imposta le autorizzazioni di invio.
Configura SPF, DKIM e DMARC per il tuo dominio – usa il wizard Google.
Blocca app di terze parti non autorizzate e attiva la quarantena email.
Imposta policy per dispositivi mobili (cifratura, PIN, wipe remoto).
Attiva i log di audit e imposta avvisi per attività amministrative sospette.
Esegui un backup dei dati critici con Vault o un tool esterno.

Se hai bisogno di una mano su questi passaggi, noi di Meteora Web seguiamo aziende in tutta Italia dal dominio alla configurazione della sicurezza. Non lasciare la console admin incustodita. Il costo di un account violato è molto più alto del tempo speso oggi per configurarla.