Chiedete a qualcuno in azienda di mostrarvi lo schema della rete. Nella maggior parte delle PMI succede una di due cose: non esiste, oppure esiste un disegno fatto anni fa che non corrisponde più a niente.
Non è negligenza. La rete aziendale non nasce da un progetto: si stratifica. Un apparato aggiunto quando è arrivata la fibra, uno switch comprato per il nuovo reparto, un accesso remoto attivato in fretta e mai più rivisto, le telecamere collegate dall’installatore alla presa più vicina. Ogni pezzo aveva senso quando è stato messo; l’insieme non l’ha mai avuto.
Cosa dovrebbe contenere lo schema
Non serve un disegno da manuale. Serve un foglio che risponda a queste domande:
- Da dove entra internet, con quale operatore e quale contratto, e cosa succede se cade.
- Quali apparati fanno da confine verso l’esterno, e chi li amministra.
- Quali reti interne esistono e cosa ci sta dentro.
- Chi può entrare da fuori, con quale strumento, e verso cosa.
- Quali dispositivi non sono computer: stampanti, telecamere, controlli d’accesso, macchinari, termostati.
L’ultima riga è quella che riserva le sorprese maggiori.
I quattro problemi che saltano fuori
1. Tutto sta sulla stessa rete
È la situazione più comune in assoluto. Computer degli uffici, server, stampanti, telecamere, il PC che pilota il macchinario e il tablet degli ospiti: tutti sullo stesso segmento, tutti in grado di parlare con tutti.
Il problema non è teorico. Significa che un portatile compromesso — quello di un consulente esterno, o quello di un dipendente che ha aperto l’allegato sbagliato — può raggiungere direttamente il server dove stanno i dati. Non c’è nulla in mezzo.
La contromisura si chiama segmentazione: reti separate per ambiti diversi, con regole esplicite su chi può parlare con chi. Le telecamere non hanno motivo di raggiungere il gestionale. Il wi-fi ospiti non ha motivo di vedere alcunché di interno.
2. Gli accessi remoti aperti e dimenticati
Durante i periodi di lavoro da casa si sono aperti accessi in fretta. Poi la fretta è passata, ma gli accessi sono rimasti: utenze di consulenti che non lavorano più con voi, un accesso diretto lasciato attivo «per comodità» del fornitore del gestionale, una porta aperta verso una macchina che nel frattempo è stata dismessa.
Ogni accesso remoto è una porta. Le porte vanno contate, sapute e chiuse quando non servono più. La domanda da porre è semplice e imbarazzante: chi, in questo momento, può entrare nella nostra rete da fuori?
3. Il firewall che filtra solo in entrata
Molti firewall sono configurati per bloccare ciò che arriva da fuori e lasciare passare tutto ciò che esce. È una configurazione che risale a quando il rischio veniva dall’esterno.
Oggi buona parte degli attacchi funziona al contrario: qualcosa entra tramite un’email o un file, poi chiama casa verso l’esterno per ricevere istruzioni. Un controllo sul traffico in uscita intercetta comunicazioni che non hanno ragione di esistere — un server che di notte contatta un indirizzo dall’altra parte del mondo, per esempio.
4. I dispositivi che nessuno aggiorna
Stampanti multifunzione, telecamere, sistemi di controllo accessi, apparati installati da fornitori esterni. Hanno software dentro, spesso mai aggiornato, a volte con credenziali di fabbrica ancora attive.
Sono il punto d’ingresso più trascurato che esista, perché nessuno li considera «informatica»: li ha messi l’elettricista o l’installatore, e da allora nessuno se ne occupa. Su una rete non segmentata, sono un ponte verso tutto il resto.
Da dove cominciare, in ordine di resa
| Intervento | Rischio che riduce | Impegno |
|---|---|---|
| Inventario di ciò che è collegato | Nessuno, ma abilita tutto il resto | Un giorno |
| Revisione degli accessi da remoto | Alto | Poche ore |
| Wi-fi ospiti separato dalla rete interna | Medio-alto | Poche ore |
| Rete separata per telecamere e dispositivi | Alto | Da mezza giornata a qualche giorno |
| Filtro sul traffico in uscita | Alto | Qualche giorno, con taratura |
| Segmentazione completa per reparto | Alto | Progetto |
La prima riga sembra la meno utile ed è la più importante: senza sapere cosa c’è collegato, ogni intervento successivo è fatto alla cieca. È anche l’attività che produce le scoperte più istruttive — nella pratica emergono quasi sempre apparati che nessuno sapeva esistessero.
La domanda di controllo
Una sola, e riassume tutto: se il portatile di una persona qualsiasi venisse compromesso stamattina, fin dove potrebbe arrivare da lì?
Se la risposta onesta è «ovunque», la segmentazione è la priorità del semestre, prima di qualunque acquisto di prodotti di sicurezza. È anche il fattore che nell’articolo sulle prime 48 ore di un ransomware distingue un incidente contenuto da uno che ferma l’azienda intera.
Sulla pagina cyber security trovate come affrontiamo il perimetro nel suo insieme; su ARGO il modo in cui rendiamo leggibile ciò che firewall e server registrano ogni giorno. Se il punto di partenza è capire com’è fatta oggi la vostra rete, l’assessment gratuito comincia proprio dall’inventario.