La sicurezza informatica parte dalla rete. Nella maggior parte delle PMI italiane la protezione informatica è stata comprata a pezzi: l'antivirus sui computer, forse un backup, la password del Wi-Fi cambiata quando è andato via un dipendente. Sono cose utili, ma arrivano tutte dopo. La sicurezza rete aziendale viene prima, perché la rete è la strada su cui passa tutto il resto: i gestionali in cloud, la posta, i file condivisi, le telecamere, i POS, i macchinari collegati. Se quella strada è aperta, l'antivirus difende una singola stanza mentre la porta d'ingresso resta spalancata. Vediamo i quattro pilastri su cui poggia, e i quattro interventi che in una piccola azienda rendono di più rispetto a quanto costano.
Cosa intendiamo per sicurezza rete aziendale
Non è un prodotto, è un modo di organizzare la rete. Quattro cose: decidere chi entra e chi esce (il perimetro), impedire che chi entra possa andare ovunque (la segmentazione), sapere chi è ogni utente e cosa può toccare (gli accessi), tenere aggiornati gli apparati che reggono tutto (gli aggiornamenti). Nessuna di queste richiede investimenti da grande impresa.
Pilastro 1: il perimetro e il firewall
Il perimetro è il punto in cui la rete dell'azienda incontra internet. Il firewall è l'apparato che sta lì e decide quale traffico può passare e quale no, un po' come un portiere che ha l'elenco di chi è atteso.
Quasi tutte le PMI un firewall ce l'hanno, ma spesso è il router che ha lasciato l'operatore telefonico, con le impostazioni di fabbrica. Funziona, nel senso che la connessione va. Il problema è che non è configurato sulla vostra azienda: lascia esposti servizi che nessuno usa più, non filtra i siti da cui arriva la maggior parte dei problemi, non registra cosa è successo. E questo terzo punto pesa più di quanto sembri: quando qualcosa va storto, senza registri non si sa da dove sia entrato il problema, quindi non si sa nemmeno se è stato chiuso.
C'è poi una porta che si è aperta negli ultimi anni in quasi tutte le aziende: gli accessi da remoto. Il titolare che si collega da casa, il consulente esterno, il fornitore del gestionale che entra per assistenza, il tecnico del macchinario che si collega al PLC. Ognuno di questi è un passaggio attraverso il perimetro. Se avviene tramite VPN (un collegamento cifrato che fa entrare la persona nella rete aziendale come se fosse in sede), con un utente nominativo e una scadenza, è sotto controllo. Se avviene con un programma di teleassistenza installato su un PC e lasciato sempre acceso, con una password condivisa da anni, non lo è.
Conseguenza concreta: in una manifattura, un accesso remoto lasciato aperto dal fornitore di un macchinario è il tipo di via d'ingresso da cui si arriva al server dove sta il gestionale. Non è un problema di produzione, è un problema di fatture che non escono e consegne che slittano.
Pilastro 2: la segmentazione della rete
Segmentare significa dividere la rete in zone separate, in modo che i dispositivi di una zona non vedano quelli delle altre. Nella pratica: gli uffici da una parte, i macchinari e i terminali di produzione dall'altra, le telecamere per conto loro, il Wi-Fi per ospiti e clienti completamente isolato.
Nella maggior parte delle PMI che analizziamo la rete è invece piatta: tutto collegato a tutto. Il portatile del commerciale, la telecamera del piazzale, il PC del capannone, il tablet del cliente in sala d'attesa vivono nello stesso spazio e possono parlarsi. Ed è un problema per due motivi.
Il primo è la propagazione. Un ransomware (il programma che cifra i file e ne chiede il riscatto) arriva quasi sempre da un solo computer. Quello che decide se l'azienda si ferma un'ora o una settimana non è l'infezione iniziale, è quanto lontano riesce ad arrivare. Su una rete piatta arriva dappertutto, compresi i dischi di backup se sono collegati come cartelle condivise.
Il secondo è che i dispositivi più deboli sono quelli che nessuno considera. Una telecamera IP, una stampante multifunzione, un terminale sul muletto: nessuno li aggiorna e la password è spesso quella di fabbrica. Sono il punto d'ingresso più semplice, e su una rete piatta da lì si arriva agli stessi file a cui arriva l'amministrazione.
Un esempio che vale per il commercio: il Wi-Fi dei clienti collegato alla stessa rete dei registratori di cassa e del POS. Gratis per il cliente, comodo da attivare, e completamente evitabile con una configurazione che non richiede hardware nuovo.
S3. Pilastro 3: la gestione degli accessi
Qui non si parla di tecnologia ma di ordine. Tre domande, a cui in molte aziende non si sa rispondere: quanti utenti esistono sui vostri sistemi, chi ha i privilegi di amministratore (cioè può installare, modificare e cancellare tutto), e cosa succede quando una persona se ne va.
I casi ricorrenti sono sempre gli stessi. Utenti di dipendenti usciti mesi prima ancora attivi. Un'unica utenza "ufficio" usata da quattro persone, quindi nessuna possibilità di sapere chi ha fatto cosa. Credenziali di amministratore usate per il lavoro di tutti i giorni, così un clic sbagliato sull'allegato di una mail ha subito i permessi per fare danni ovunque. In uno studio professionale, dove i dati dei clienti sono il patrimonio dell'attività, significa anche un problema di responsabilità verso quei clienti, non solo un fastidio tecnico.
Due misure coprono gran parte del rischio. La prima è il principio del privilegio minimo: ogni persona accede solo a quello che le serve per lavorare. La seconda è l'autenticazione a due fattori, cioè password più un codice temporaneo sul telefono, almeno su posta elettronica, accessi remoti e gestionale. Da sola, rende inutile una password rubata, che resta il modo più comune con cui si entra in un'azienda.
Pilastro 4: gli aggiornamenti degli apparati
Si aggiornano i computer, raramente gli apparati di rete: router, firewall, switch, access point Wi-Fi, NAS. Il loro software interno, il firmware, riceve correzioni proprio perché nel frattempo sono state scoperte falle. Un apparato non aggiornato da anni ha vulnerabilità note e pubbliche, e vengono cercate in modo automatico da programmi che scandagliano internet in continuazione, senza scegliere le vittime per dimensione o settore.
Peggio ancora è l'apparato fuori supporto: il produttore non pubblica più correzioni, quindi la falla resterà aperta per sempre. È la situazione che troviamo più spesso negli impianti installati da anni.
Serve poco per sistemarla: un inventario degli apparati con modello e data di fine supporto, e una finestra fissa, per esempio trimestrale, in cui si aggiornano fuori orario. È lavoro programmato, non emergenza, e costa una frazione di un fermo non programmato.
I 4 interventi con il miglior rapporto costo/beneficio
Se dovessimo ordinare per rapporto tra spesa e rischio evitato, in una PMI l'ordine è questo.
-
Autenticazione a due fattori su posta, accessi remoti e gestionale.
Costo quasi nullo, mezza giornata di attivazione e un po' di abitudine da prendere. Blocca lo scenario più frequente in assoluto, quello della password finita nelle mani sbagliate.
-
Isolamento del Wi-Fi ospiti e dei dispositivi IoT
(telecamere, stampanti, POS, sensori). Si fa in genere con gli apparati già presenti. Toglie di mezzo le porte d'ingresso più facili senza cambiare nulla nel lavoro quotidiano.
-
Backup con una copia scollegata dalla rete
e, soprattutto, una prova di ripristino. Un backup che non è mai stato ripristinato è un'ipotesi, non una garanzia: la differenza si scopre nel giorno peggiore possibile.
-
Inventario degli apparati, aggiornamenti e chiusura delle utenze inutilizzate.
Nessun acquisto, solo metodo. È l'intervento che rende di più perché elimina problemi che oggi nessuno sta guardando.
Quattro interventi, nessuno dei quali richiede di rifare l'infrastruttura. Il criterio non è spendere di più: è mettere in ordine quello che c'è già, partendo dalla rete.
Biztems è una società di consulenza IT con sede a Napoli: ci occupiamo di reti aziendali e connettività industriale (LAN enterprise, ponti wireless, FWA e 5G), cloud, backup, VPN e telefonia VoIP per PMI, studi professionali e attività commerciali. Se vuoi capire a che punto è la tua rete, ti offriamo un check-up gratuito: lo facciamo per telefono in mezz'ora, oppure veniamo in azienda per una visita senza impegno.