La rete piatta è la configurazione più diffusa nelle PMI italiane: tutto parla con tutto, perché è il modo più semplice per far funzionare le cose. Il prezzo si paga il giorno dell’incidente, quando un malware entrato da una email in amministrazione trova aperta la strada verso i server, i macchinari e le casse.
Segmentare significa decidere esplicitamente cosa può parlare con cosa. Il PC dell’ufficio acquisti non ha motivo di raggiungere il controllo di una macchina utensile; il telefono di un ospite connesso al Wi-Fi non ha motivo di raggiungere niente. Sono decisioni organizzative prima che tecniche, e sono anche ciò che permette di tenere in rete sistemi vecchi che non si possono aggiornare.
Perché è l’intervento con il rapporto migliore fra costo e rischio
Nella maggior parte delle aziende che visitiamo tutto sta sulla stessa rete: postazioni, server, stampanti, telecamere, macchinari e Wi-Fi degli ospiti si vedono a vicenda. Funziona, e proprio per questo nessuno ci mette mano.
La segmentazione non impedisce a un attacco di entrare — quello dipende da altre difese — ma decide fin dove può arrivare una volta dentro. È la differenza fra un incidente che coinvolge le postazioni degli uffici e uno che coinvolge anche i server, i backup e la produzione.
Il secondo vantaggio è meno noto e altrettanto utile: la separazione è ciò che permette di tenere in rete i dispositivi che non si possono aggiornare — un macchinario con un sistema fuori supporto, un apparato diagnostico, una telecamera vecchia. Isolati, continuano a lavorare senza essere una porta aperta sul resto.
Come si fa, senza fermare l’azienda
È un lavoro che si esegue a impianto acceso e per fasi, e non richiede di sostituire i dispositivi che si vogliono isolare.
Prima si guarda chi parla con chi
Il rischio di separare al buio è tagliare un flusso che serviva. Si osserva il traffico reale per un periodo, si scopre quali sistemi si parlano davvero — spesso non quelli che ci si aspetta — e solo dopo si scrivono le regole.
Si comincia da ciò che è più facile e rende di più
Il Wi-Fi degli ospiti e le telecamere sono i primi candidati: nessuno dei due ha motivo di raggiungere i server, e separarli non ha praticamente controindicazioni. Poi si passa alla produzione e agli apparati non aggiornabili.
Le regole restano scritte
Una segmentazione documentata si mantiene; una fatta a memoria si sfalda al primo problema, quando qualcuno apre un passaggio per risolvere in fretta e non lo richiude. La documentazione è parte del lavoro, non un accessorio.
Perché conta per un’azienda
È l’intervento che più riduce l’impatto di un attacco a parità di spesa. Non impedisce l’ingresso: limita drasticamente dove l’attacco può arrivare una volta entrato.
L’errore che vediamo più spesso
La segmentazione si progetta a impianto acceso e si applica in una finestra breve, di norma su una fermata già programmata. L’idea che richieda di fermare la produzione per giorni è il motivo per cui molte aziende non la fanno, e non corrisponde alla realtà.