Per proteggere la rete aziendale bisogna presidiare i punti da cui si entra e quelli dove stanno i dati: la connessione a internet con il suo firewall, il Wi-Fi, gli accessi da remoto, le cartelle condivise e i dispositivi collegati. Per una PMI questo si traduce in pochi controlli essenziali: credenziali cambiate, apparati aggiornati, reti separate, accesso remoto con autenticazione a più fattori e permessi limitati a chi serve.
Di seguito vediamo come proteggere la rete aziendale parte per parte, quali errori si ripetono più spesso e da dove conviene cominciare.
Di cosa è fatta la rete di una PMI
Anche in un ufficio piccolo la rete non è un oggetto solo. È l’insieme di:
- la connessione a internet, con il router del fornitore e, se c’è, un firewall;
- la rete interna, cablata e Wi-Fi, a cui si collegano computer, stampanti, telefoni e telecamere;
- gli accessi da remoto, cioè il modo in cui chi lavora fuori ufficio raggiunge i sistemi aziendali;
- le risorse condivise: server, NAS, cartelle di rete, gestionale;
- i servizi esposti su internet: sito, posta, eventuali pannelli di gestione raggiungibili dall’esterno.
Ogni parte ha i suoi rischi, ma il principio è uno: chi entra deve essere riconosciuto, e chi è entrato deve poter vedere solo ciò che gli serve.
Come proteggere la rete aziendale, parte per parte
| Parte della rete | Rischio principale | Controlli essenziali |
|---|---|---|
| Router e firewall | Accesso con credenziali di fabbrica o difetti non corretti | Cambiare la password di amministrazione, aggiornare il firmware, disattivare la gestione da internet se non serve. |
| Wi-Fi | Ospiti e dispositivi esterni dentro la rete aziendale | Rete ospiti separata, cifratura WPA2 o WPA3, password cambiata quando qualcuno lascia l’azienda. Approfondimento: come proteggere il Wi-Fi aziendale. |
| Accesso da remoto | Credenziali rubate usate per entrare da fuori | Canale protetto con autenticazione a più fattori; nessun desktop remoto esposto direttamente su internet. Approfondimento: MFA in azienda. |
| Cartelle condivise e server | Tutti vedono tutto, e un attacco si estende a ogni file | Permessi per gruppo di lavoro, nessuna cartella aperta a tutti per comodità , backup isolato. Approfondimento: backup aziendale. |
| Dispositivi collegati | Stampanti, telecamere e apparati dimenticati e mai aggiornati | Inventario di ciò che è collegato, password di fabbrica cambiate, apparati separati dai computer di lavoro quando possibile. |
| Servizi esposti | Pannelli di gestione raggiungibili da chiunque | Sapere quali servizi sono raggiungibili da internet e chiudere quelli che non servono. |
Separare la rete: perché conta
In molte piccole imprese tutto sta sulla stessa rete: il portatile dell’amministrazione, la stampante, la telecamera, il telefono dell’ospite. Se uno di questi dispositivi viene compromesso, da lì si può raggiungere tutto il resto.
Separare la rete significa dividerla in zone che non si parlano liberamente: almeno una per gli ospiti, una per il lavoro e, quando i numeri lo giustificano, una per gli apparati come telecamere e dispositivi industriali. Molti router e firewall per piccole imprese lo consentono già , senza acquisti aggiuntivi.
È anche la principale difesa contro il cosiddetto movimento laterale, cioè lo spostamento di un attaccante da un sistema all’altro dopo il primo accesso.
Il lavoro da casa fa parte della rete
Quando qualcuno lavora da casa, la sua rete domestica diventa di fatto un’estensione di quella aziendale. Il router di casa, spesso con la configurazione di fabbrica, e gli altri dispositivi della famiglia condividono la stessa connessione del portatile di lavoro.
Non serve controllare le reti domestiche dei dipendenti, ma conviene fissare poche regole chiare: accesso ai sistemi aziendali solo dal canale protetto previsto, portatile aziendale usato solo per lavoro e aggiornato, password del router di casa cambiata rispetto a quella di fabbrica. Sono indicazioni da scrivere in una pagina e consegnare insieme al portatile.
Gli errori più comuni
- Password di fabbrica su router, firewall, stampanti e telecamere: sono pubblicate nei manuali.
- Un’unica rete per tutti, ospiti compresi.
- Desktop remoto aperto su internet per comodità di chi lavora da casa.
- Apparati mai aggiornati perché «funzionano».
- Cartelle condivise aperte a tutti, compresi archivi del personale e contratti.
- Nessuno che sa cosa c’è collegato: dispositivi installati anni fa da fornitori diversi e mai censiti.
Cosa chiedere a chi gestisce la rete
Se la rete è gestita da un fornitore esterno, queste cinque domande bastano per capire a che punto si è:
- Le password di amministrazione di router e firewall sono state cambiate, e chi le conosce?
- Quando sono stati aggiornati l’ultima volta gli apparati di rete?
- La rete ospiti è separata da quella aziendale?
- Come si accede da remoto, e con quale autenticazione?
- Quali servizi dell’azienda sono raggiungibili da internet, e perché?
Le risposte vanno scritte e conservate: sono la base di qualunque verifica successiva.
Da dove partire questa settimana
Se non si sa da dove cominciare, tre azioni danno di solito il miglior risultato con il minimo sforzo:
- cambiare le password di amministrazione di router, firewall e Wi-Fi, se non è mai stato fatto;
- creare o verificare la rete ospiti separata;
- controllare che l’accesso da remoto richieda l’autenticazione a più fattori.
Per una verifica completa, che va oltre la rete, la checklist qui sotto raccoglie 32 controlli in 8 aree e si compila in circa mezz’ora. Per approfondire anche la protezione dei dati: protezione dei dati sensibili in azienda. Per i servizi dedicati alle piccole e medie imprese: helmon per le PMI.
