Email aziendale su smartphone: la configurazione sicura che la maggior parte delle PMI salta

Il mese scorso ho fatto un giro di controllo sui dispositivi mobili di un cliente -- studio tecnico, 18 persone. Risultato: undici smartphone con l'email aziendale configurata senza PIN, tre con la password salvata in chiaro nell'app nativa, due che si collegavano esclusivamente via WiFi pubblico dalla sala d'attesa di un aeroporto. E nessuno -- nessuno -- aveva un sistema di gestione remota attivo.

Diciotto porte aperte sui dati aziendali, e il titolare non ne sapeva nulla. Non perche fosse negligente, ma perche nessuno gli aveva mai detto che lo smartphone e il punto debole della catena. Lo e sempre stato, ma nel 2026, con il lavoro ibrido e le email che si leggono piu dal telefono che dal PC, il rischio e diventato strutturale.

Questo articolo e la guida che do ai miei clienti quando configurano l'email aziendale su smartphone. Non solo "come si fa", ma "come si fa in modo che i dati aziendali non finiscano in mano a chiunque trovi il telefono sul sedile di un treno".

Perche lo smartphone e il punto debole della sicurezza email

Sul PC dell'ufficio hai un firewall, un antivirus, una rete controllata, e il dispositivo non esce dall'edificio. Sullo smartphone hai un dispositivo che viaggia, si connette a reti sconosciute, puo essere perso o rubato, e spesso e lo stesso telefono che il dipendente usa per Instagram, WhatsApp e giochi.

Il problema non e tecnico in se -- i protocolli email sono gli stessi su mobile e su desktop. Il problema e il contesto. Lo smartphone opera in un ambiente che non controlli: reti WiFi pubbliche, Bluetooth aperto, app di terze parti con permessi eccessivi, e un utente che sblocca il telefono con uno swipe invece che con un PIN. E tutto questo mentre nella casella email ci sono preventivi, contratti, dati dei clienti, comunicazioni riservate.

Ho scritto una guida completa sulla configurazione di Outlook con dominio personalizzato che copre anche il mobile. Ma la configurazione da sola non basta. Se il telefono non e protetto, la configurazione perfetta non serve a niente.

IMAP, Exchange ActiveSync, OAuth: cosa cambia su mobile

Prima di configurare, devi capire quale protocollo userai. La scelta dipende dal tuo provider email e cambia radicalmente cosa puoi fare e quanto e sicuro il collegamento.

IMAP. Il protocollo classico. Funziona con qualsiasi provider, sincronizza le email tra dispositivi, e su mobile lo configurano tutti. Il limite: IMAP trasferisce solo email. Niente calendario condiviso, niente rubrica centralizzata, niente policy di sicurezza imposte dal server. La sicurezza dipende interamente da come configuri il dispositivo. Se usi un hosting tradizionale italiano, IMAP e quasi certamente il tuo protocollo.

Exchange ActiveSync (EAS). Il protocollo di Microsoft per la sincronizzazione mobile. Fa molto di piu di IMAP: sincronizza email, calendario, contatti e attivita in un colpo solo. Ma la cosa importante per la sicurezza e che EAS permette al server di imporre policy sul dispositivo -- puo obbligare il PIN, bloccare il telefono dopo tot tentativi falliti, e fare il wipe remoto in caso di furto. Se hai Microsoft 365, Exchange ActiveSync e disponibile e dovresti usarlo.

OAuth 2.0. Non e un protocollo email, ma un metodo di autenticazione. Invece di salvare la password dell'email dentro l'app, OAuth usa un token temporaneo generato dopo l'accesso tramite il browser. Risultato: la password non viene mai memorizzata sul dispositivo. Se il telefono viene compromesso, il token puo essere revocato dal server senza cambiare la password dell'account. Google Workspace e Microsoft 365 usano OAuth di default. Se il tuo provider lo supporta, attivalo.

Il mio consiglio per le PMI: se hai Microsoft 365 o Google Workspace, usa Exchange ActiveSync o la sincronizzazione nativa del provider con OAuth. Se hai un hosting IMAP tradizionale, configura IMAP con SSL/TLS e compensa i limiti di sicurezza con le misure che descrivo piu avanti.

Configurazione Android passo passo

Su Android hai tre opzioni principali: l'app Gmail (preinstallata), l'app Outlook, o l'app Email nativa del produttore. Le ho provate tutte con decine di clienti. Ecco cosa funziona.

App Gmail (consigliata per Google Workspace)

Apri Gmail. Tocca l'icona del profilo in alto a destra, poi Aggiungi un altro account.
Se usi Google Workspace: seleziona Google, inserisci l'email aziendale, autenticati con OAuth. Fatto. Calendario e contatti si sincronizzano automaticamente.
Se usi IMAP: seleziona Altro, inserisci l'email. Gmail prova la configurazione automatica. Se fallisce (succede spesso con gli hosting italiani), tocca Configurazione manuale e seleziona IMAP.
Inserisci il server di posta in entrata (es. imaps.aruba.it), porta 993, tipo di sicurezza SSL/TLS.
Inserisci il server di posta in uscita (es. smtps.aruba.it), porta 465, tipo di sicurezza SSL/TLS.
Inserisci la password. Completa la configurazione.

App Outlook (consigliata per Microsoft 365)

Scarica Outlook dal Play Store. Apri l'app.
Inserisci l'email aziendale. Per Microsoft 365, Outlook rileva automaticamente la configurazione via autodiscover e ti chiede di autenticarti con OAuth -- si apre il browser, inserisci la password e l'eventuale secondo fattore.
Per IMAP, Outlook prova la configurazione automatica. Se non riesce, tocca Configurazione manuale e inserisci i parametri del server (stessi del desktop -- li trovi nella guida Outlook).
Outlook mobile supporta la Focused Inbox (posta prioritaria), le notifiche per cartella e la firma email separata da quella desktop. Configurali subito.

App Email nativa del produttore (Samsung Email, Xiaomi Mail, ecc.)

Funzionano, ma le sconsiglio per l'email aziendale. Il motivo: ogni produttore ha la sua versione dell'app, con interfacce diverse, aggiornamenti non prevedibili, e supporto OAuth spesso incompleto o assente. Se usi Microsoft 365, l'app nativa Samsung supporta Exchange ActiveSync e funziona bene. Ma per tutti gli altri casi, meglio Gmail o Outlook -- app standardizzate, aggiornate regolarmente, con supporto OAuth completo.

Configurazione iPhone passo passo

Su iPhone le opzioni sono due: l'app Mail nativa (integrata in iOS) o l'app Outlook. Entrambe funzionano bene, ma hanno vantaggi diversi.

App Mail nativa (integrata in iOS)

Vai in Impostazioni > Mail > Account > Aggiungi account.
Per Microsoft 365: seleziona Microsoft Exchange. Inserisci l'email aziendale. iOS contatta autodiscover e si configura automaticamente. Autenticazione via OAuth nel browser. Email, calendario, contatti e promemoria si sincronizzano tutti.
Per Google Workspace: seleziona Google. Inserisci le credenziali. Stessa cosa -- OAuth, sincronizzazione completa.
Per IMAP: seleziona Altro > Aggiungi account Mail. Inserisci nome, email, password. iOS prova la configurazione automatica. Se fallisce, inserisci manualmente: server IMAP, porta 993, SSL attivo, server SMTP, porta 465, SSL attivo.

Il vantaggio dell'app Mail nativa su iPhone: integrazione totale con iOS. Le email appaiono nella ricerca Spotlight, Siri puo leggere e dettare risposte, i widget mostrano le email recenti. Per chi vive nell'ecosistema Apple, e la scelta naturale.

App Outlook per iOS

Stessa procedura dell'app Outlook su Android. Inserisci l'email, autodiscover per Microsoft 365, configurazione manuale per IMAP. Il vantaggio: interfaccia identica su Android e iOS, Focused Inbox, e gestione calendari piu strutturata dell'app Mail nativa. Lo consiglio quando l'azienda ha un mix di Android e iPhone e vuole un'esperienza uniforme per tutti.

Sicurezza mobile: PIN, biometria e le basi non negoziabili

La configurazione dell'email e solo meta del lavoro. L'altra meta e assicurarsi che il dispositivo sia protetto. Queste non sono raccomandazioni opzionali -- sono requisiti minimi che impongo a tutti i miei clienti prima di configurare l'email aziendale su qualsiasi smartphone.

PIN o password di sblocco obbligatori. No swipe, no pattern semplici. Un PIN di almeno 6 cifre o una password alfanumerica. Sembra banale, ma il numero di smartphone aziendali senza blocco schermo che incontro e imbarazzante. Se perdi un telefono senza PIN, chi lo trova ha accesso a tutte le email aziendali in tre secondi.

Biometria come complemento. Impronta digitale o riconoscimento facciale -- comodi e sicuri, ma sempre con PIN di backup. La biometria non sostituisce il PIN: serve per lo sblocco rapido. Il PIN resta la protezione di base quando la biometria fallisce (dita bagnate, luce insufficiente).

Crittografia del dispositivo. Su Android, verificala in Impostazioni > Sicurezza > Crittografia. Sugli iPhone recenti e attiva di default quando imposti un codice di sblocco. La crittografia del dispositivo significa che i dati sul telefono sono illeggibili senza il codice di sblocco -- anche se qualcuno estrae fisicamente la memoria. Ho scritto di crittografia email aziendale in un articolo dedicato: sul mobile il principio e lo stesso, ma applicato al dispositivo intero.

Aggiornamenti automatici. Sistema operativo e app email sempre aggiornati. Le patch di sicurezza su Android e iOS correggono vulnerabilita che vengono sfruttate attivamente. Un telefono con due aggiornamenti di ritardo e un telefono con due falle aperte.

BYOD: quando il dipendente usa il telefono personale

BYOD -- Bring Your Own Device. Il dipendente usa il suo telefono personale per l'email aziendale. E lo scenario piu comune nelle PMI italiane, perche comprare uno smartphone aziendale per ogni dipendente costa, e la maggior parte dei titolari pensa "tanto hanno gia il telefono".

Il problema e che quel telefono non e tuo. Non puoi obbligare il dipendente a mettere il PIN. Non puoi impedirgli di installare app da fonti sconosciute. Non puoi fare il wipe remoto senza il suo consenso -- e su quel telefono ci sono anche le foto dei figli e i messaggi personali.

La soluzione e una policy BYOD scritta. Non serve un documento di 40 pagine. Servono regole chiare, accettate per iscritto dal dipendente prima di configurare l'email sul suo telefono. I punti essenziali:

PIN obbligatorio -- nessuna email aziendale su telefono senza blocco schermo
Crittografia attiva -- verificata dall'IT prima della configurazione
App email approvate -- solo Gmail, Outlook o l'app specificata dall'azienda
Consenso al wipe selettivo -- in caso di furto o uscita del dipendente, l'azienda puo cancellare solo i dati aziendali, non quelli personali
Obbligo di segnalazione -- il dipendente deve avvisare immediatamente se il telefono viene perso o rubato

Questo si collega direttamente a quello che ho scritto sulla privacy dell'email aziendale del dipendente: il confine tra dati aziendali e dati personali sul dispositivo del dipendente e il punto piu delicato di tutta la questione. Una policy BYOD non e burocrazia -- e la linea di demarcazione che protegge entrambe le parti.

Wipe remoto: quando serve e cosa implica

Il wipe remoto e la possibilita di cancellare i dati aziendali da uno smartphone a distanza. Serve in tre situazioni: telefono perso, telefono rubato, o dipendente che lascia l'azienda senza restituire il dispositivo (ho scritto una procedura completa di offboarding che include questo passaggio).

Wipe totale vs wipe selettivo. Il wipe totale cancella tutto il telefono -- riporta il dispositivo alle impostazioni di fabbrica. Il wipe selettivo cancella solo i dati aziendali (email, calendario, contatti sincronizzati) lasciando intatti i dati personali. Su un telefono aziendale, il wipe totale e accettabile. Su un telefono BYOD, il wipe selettivo e l'unica opzione legalmente difendibile.

Come si fa in pratica. Con Microsoft 365, il wipe selettivo si fa dalla console admin di Exchange Online: Utenti > seleziona l'utente > Dispositivi mobili > Cancella dati. Con Google Workspace, nella Console di amministrazione > Dispositivi > seleziona il dispositivo > Cancella account. In entrambi i casi, alla prossima connessione del telefono i dati aziendali vengono rimossi.

Le implicazioni legali. Il wipe remoto su un dispositivo personale del dipendente tocca dati personali. Anche se cancelli solo i dati aziendali, stai intervenendo su un dispositivo che non ti appartiene. La policy BYOD firmata dal dipendente e la tua copertura. Senza quella firma, il wipe -- anche selettivo -- e un terreno scivoloso. In caso di contenzioso, il dipendente potrebbe sostenere che hai cancellato anche dati personali. La documentazione e tutto.

I 5 errori che vedo piu spesso sugli smartphone aziendali

Li elenco in ordine di frequenza, non di gravita. Ma sono tutti gravi.

1. Password email salvata su telefono senza PIN. E l'errore piu comune e il piu assurdo. Il dipendente configura l'email, salva la password, e il telefono non ha blocco schermo. Chiunque prende in mano il telefono ha accesso a tutta la posta aziendale. Lo vedo in almeno il 40% degli smartphone che controllo. La soluzione e semplice: niente PIN, niente email aziendale. Punto.

2. Nessuna crittografia del dispositivo. Su Android, la crittografia non e sempre attiva di default -- dipende dal produttore e dalla versione. Se il dispositivo non e cifrato e viene rubato, i dati sono estraibili con strumenti forensi anche senza conoscere il PIN. Verificare la crittografia richiede trenta secondi: Impostazioni > Sicurezza > Crittografia (o Encrypt phone). Non c'e motivo per non farlo.

3. App email non aggiornata. L'app Gmail o Outlook non aggiornata da sei mesi. Ogni aggiornamento include patch di sicurezza. Un'app non aggiornata e un'app con vulnerabilita note e documentate -- pubblicamente. Gli attaccanti le conoscono. Attiva gli aggiornamenti automatici e non disattivarli mai.

4. Connessione via WiFi pubblico senza VPN. Il dipendente controlla la posta dal WiFi dell'hotel, dell'aeroporto, del bar. Il traffico email via IMAP con SSL/TLS e cifrato in transito, quindi il contenuto delle email non e leggibile. Ma il WiFi pubblico espone il dispositivo ad altri attacchi: man-in-the-middle, captive portal malevoli, reti fake con nomi credibili. Ho visto il tema anche nell'articolo sul phishing aziendale: il WiFi pubblico e uno dei vettori di attacco. La soluzione: VPN aziendale attiva quando si usa una rete non fidata. Sempre.

5. Nessun MDM attivo. Lo smartphone ha l'email aziendale ma l'azienda non ha nessun modo di gestirlo da remoto. Non puo imporre policy, non puo fare wipe, non puo nemmeno sapere quanti dispositivi hanno accesso alle email aziendali. E come dare le chiavi dell'ufficio senza sapere quante copie esistono.

MDM per PMI: quando serve e quale scegliere

MDM -- Mobile Device Management. Un software che permette all'azienda di gestire gli smartphone da remoto: imporre PIN, verificare crittografia, distribuire app, fare wipe, monitorare la conformita dei dispositivi.

Quando serve. La regola che uso con i miei clienti: se hai piu di 5 persone con email aziendale sullo smartphone, ti serve un MDM. Sotto i 5, puoi gestire manualmente -- controlli i telefoni uno per uno, verifichi PIN e crittografia, tieni un registro. Sopra i 5, la gestione manuale non scala e qualcosa sfugge sempre.

Le tre opzioni che consiglio alle PMI:

Microsoft Intune. Se hai gia Microsoft 365 Business Premium, Intune e incluso nel prezzo. Gestisce Android e iOS, impone policy di sicurezza, fa wipe selettivo, integra l'accesso condizionale (il dispositivo deve essere conforme per accedere alle email). Per una PMI che usa gia Microsoft 365, e la scelta naturale -- nessun costo aggiuntivo e integrazione nativa con Exchange Online.

Google Endpoint Management. Incluso in Google Workspace Business Standard e superiori. Meno potente di Intune nella gestione avanzata, ma sufficiente per le esigenze di una PMI: impone PIN, verifica crittografia, wipe selettivo e totale, inventario dispositivi. Se usi Google Workspace, parti da qui prima di cercare alternative.

Jamf (per ambienti Apple). Se la tua PMI usa prevalentemente iPhone e Mac, Jamf e lo standard. Piu costoso (circa 4 dollari per dispositivo al mese nella versione Jamf Now), ma la gestione dei dispositivi Apple e superiore a qualsiasi alternativa. Per PMI con meno di 3 dispositivi Apple, Jamf Now ha un piano gratuito. Per ambienti misti Android/iOS, meglio Intune o Google Endpoint.

Cosa deve fare il tuo MDM come minimo:

Imporre PIN/password di sblocco con complessita minima
Verificare che la crittografia del dispositivo sia attiva
Permettere il wipe remoto (selettivo per BYOD, totale per telefoni aziendali)
Bloccare il dispositivo dopo un numero massimo di tentativi di sblocco falliti
Inventariare i dispositivi che accedono alle email aziendali

Tutto il resto -- distribuzione app, geolocalizzazione, kiosk mode -- e utile ma non essenziale per una PMI che vuole partire con le basi.

La sicurezza dell'email aziendale su mobile non si risolve con un'unica azione. E una catena: configurazione corretta del protocollo, dispositivo protetto, policy BYOD se servono, MDM se i numeri lo giustificano. Togli un anello e la catena non tiene. Se hai bisogno di mettere in sicurezza i dispositivi mobili della tua azienda, qui trovi come lavoro con le PMI sulla configurazione email mobile -- dalla scelta del protocollo alla gestione dei dispositivi, passando per backup e conformita normativa.