Wi Fi aziendale sicuro: perché rete ospiti, IoT e dispositivi personali non devono stare sulla stessa rete

Molte aziende lavorano ancora con un’unica rete in cui tutti i dispositivi sono collegati allo stesso segmento. In questa configurazione, basta compromettere un dispositivo debole per spostarsi verso server, dati sensibili e sistemi gestionali.

Tenere sulla stessa rete Wi-Fi PC aziendali, dispositivi personali, ospiti e IoT crea un ambiente ideale per la propagazione di un attacco. È sufficiente compromettere il dispositivo più vulnerabile per raggiungere i sistemi critici. Un Wi-Fi aziendale sicuro parte invece da reti separate, con regole chiare su chi può dialogare e con chi.

Perché una sola rete è un problema

Molte aziende, purtroppo, lavorano ancora con un’unica rete, dove tutto è connesso allo stesso segmento: PC, stampanti, telecamere, POS, smartphone di visitatori e consulenti.

In questa configurazione, se un dispositivo debole viene compromesso, per esempio una telecamera con firmware datato, l’attaccante può fare il cosiddetto “lateral movement” e provare a raggiungere server, PC con dati sensibili, NAS o sistemi gestionali.

I dispositivi IoT, in particolare, ricevono spesso aggiornamenti con minore frequenza, utilizzano credenziali di default e integrano funzioni cloud talvolta poco trasparenti. Questo li rende un bersaglio ideale se condividono la rete con i sistemi critici.

Le linee guida di diversi enti di cybersecurity insistono proprio su questo: segmentare le reti è una delle misure più efficaci per ridurre il rischio senza stravolgere l’infrastruttura.

Rete ospiti: cosa fa davvero

Una rete ospiti utilizza un SSID separato e, se correttamente configurata, consente l’accesso a internet isolando i dispositivi dalle risorse interne come file server, stampanti e gestionali.

Le linee guida ufficiali raccomandano di usare password diverse da quella della rete interna, adottare una crittografia robusta e, se possibile, funzioni come “client isolation” o “AP isolation” per impedire che i dispositivi ospiti parlino tra loro.

Un’ulteriore buona pratica consiste nel limitare nel tempo le credenziali guest, in modo che l’accesso non resti aperto dopo la visita.

Perché dispositivi IoT e personali non devono stare con tutto il resto

Vediamo ora 3 categorie di dispositivi che devono rimanere separati dal resto della rete aziendale.

• Ospiti (clienti, fornitori, consulenti)

Hanno bisogno solo di navigare e, se necessario, accedere a e-mail o presentazioni condivise, non di raggiungere cartelle di rete, NAS o stampanti interne. Tenere queste persone sulla stessa rete dei sistemi aziendali significa esporre la LAN a dispositivi non controllati che potrebbero essere già compromessi o favorire la diffusione di malware nella rete.

• Dispositivi IoT

Questi apparati sono spesso più vulnerabili e vengono citati in molte guide come priorità assoluta da isolare in VLAN o reti dedicate. Se una telecamera o uno presa smart viene compromessa, l’isolamento di una rete IoT separata fa in modo che l’attaccante resti confinato e non possa raggiungere facilmente i server o computer aziendali.

• BYOD e dispositivi personali (smartphone, tablet, notebook dei dipendenti)

Anche se appartengono a chi lavora in azienda, restano dispositivi meno controllati. Ad esempio, potrebbero non avere lo stesso livello di antivirus,  cifratura o gestione centralizzata dei laptop aziendali. Le best practice suggeriscono di gestirli con politiche specifiche, spesso su SSID separati o con regole firewall che limitano l’accesso solo a pochi servizi interni necessari.

Alcune linee guida internazionali arrivano a raccomandare esplicitamente una struttura minima composta da tre reti: personale, IoT e ospiti, ognuna con ruoli e regole proprie.

Come segmentare una rete aziendale

• Tre SSID distinti 
  Un SSID per la rete aziendale (PC, server, stampanti), uno per IoT (telecamere, TV, POS, sensori) e uno per gli ospiti. Alcuni router permettono di associare ogni SSID a una VLAN e a regole firewall diverse, mantenendo fisicamente la stessa infrastruttura ma separando logicamente il traffico.
• VLAN e firewall
  La segmentazione più robusta prevede VLAN dedicata per IoT e guest, con firewall che consentono solo i flussi necessari. Le VLAN, da sole, non costituiscono una frontiera di sicurezza definitiva, ma funzionano bene quando combinate con regole di controllo degli accessi e monitoraggio.
• Funzioni di isolamento e NAC (se disponibili)
  Molti access point permettono di abilitare l’isolamento tra client, così che i dispositivi sulla stessa rete non possano dialogare tra loro. Questa funzione è utile soprattutto per la rete ospiti. Soluzioni più avanzate prevedono il Network Access Control (NAC), che consente di identificare automaticamente i dispositivi e li spostano nella VLAN corretta in base al loro profilo.

Oggi gli attacchi non partono quasi mai dai server più protetti ma dai dispositivi più deboli e meno considerati: una TV in sala riunioni, una telecamera IP, lo smartphone di un visitatore collegato alla “rete di tutti”.

Separare questi ambienti è uno dei modi più semplici per ridurre il rischio che un incidente circoscritto si trasformi in un grave fermo operativo.