Firewall aziendale: UTM, next-generation firewall e come scegliere per una PMI

Il firewall è il punto in cui la rete aziendale incontra internet: decide quale traffico può entrare e uscire. Per una PMI la scelta ricade quasi sempre su un apparato UTM (unified threat management) o su un firewall di nuova generazione (NGFW), che in un unico dispositivo uniscono filtro del traffico, VPN, controllo delle applicazioni e funzioni di rilevamento delle intrusioni. Più dell'apparato conta come viene configurato e mantenuto: un firewall costoso con regole obsolete e firmware non aggiornato protegge meno di uno modesto gestito con cura.

Gli importi e i dati tecnici citati sono esempi illustrativi: verifica sempre le specifiche reali con i fornitori.

Che cosa fa un firewall aziendale

Le funzioni di base sono tre: filtrare il traffico secondo regole, separare le reti interne (per esempio ufficio, ospiti, telecamere, server) e proteggere gli accessi remoti tramite VPN. I modelli UTM e NGFW aggiungono, in genere con licenze a canone:

• ispezione del traffico cifrato e rilevamento delle intrusioni;
• filtro dei siti web per categoria e reputazione;
• controllo delle applicazioni, non solo delle porte;
• antimalware sul traffico in ingresso;
• registrazione degli eventi (log) utile per le indagini.

Un aspetto spesso sottovalutato: le funzioni avanzate funzionano solo con la licenza attiva. Alla scadenza molti apparati continuano a filtrare il traffico, ma smettono di ricevere aggiornamenti di firme e supporto.

Confronto tra tipologie

Come dimensionare l'apparato

Il parametro più citato nelle schede tecniche è il throughput, ma i valori più alti sono misurati in condizioni ideali. Per valutare bene:

1. Calcola il numero di utenti e dispositivi collegati contemporaneamente, inclusi telefoni, stampanti e dispositivi smart.
2. Considera la velocità della connessione internet attuale e quella prevista nei prossimi tre-cinque anni.
3. Chiedi il throughput con le funzioni di sicurezza attive, che è molto inferiore a quello con solo filtro di base.
4. Verifica il numero massimo di connessioni VPN simultanee.
5. Valuta la ridondanza: se il firewall si ferma, l'azienda si ferma? Per attività critiche un secondo apparato in alta affidabilità o un contratto di sostituzione rapida può valere il costo.

Esempio illustrativo: una linea in fibra da 1 gigabit al secondo con ispezione completa attiva potrebbe richiedere un apparato con prestazioni di ispezione dichiarate sensibilmente superiori alla velocità della linea, per avere margine. Se la scheda tecnica dichiara 700 megabit con tutte le funzioni attive, l'apparato diventa il collo di bottiglia.

Costi: voci da considerare

• Apparato (acquisto o noleggio).
• Licenze e supporto, spesso annuali o triennali, che in molte offerte superano nel tempo il prezzo dell'hardware.
• Configurazione iniziale e migrazione delle regole dal vecchio firewall.
• Gestione: aggiornamenti del firmware, revisione periodica delle regole, assistenza.
• Formazione di chi dovrà usare la console.

Per l'orientamento complessivo sul budget puoi consultare la guida quanto costa la sicurezza informatica per una PMI.

Le regole da controllare sul firewall che hai già

Molti incidenti derivano da configurazioni vecchie. Chiedi al tuo referente di verificare:

1. Porte aperte verso internet: ogni servizio esposto (desktop remoto, pannelli di gestione, server di file) è un possibile ingresso. Il desktop remoto aperto direttamente su internet è una causa storica di attacchi ransomware.
2. Regole temporanee dimenticate, create per un fornitore o un test e mai rimosse.
3. Accesso all'interfaccia di amministrazione dall'esterno: dovrebbe essere disattivato o protetto da autenticazione a più fattori.
4. Aggiornamenti del firmware: i produttori pubblicano correzioni a vulnerabilità che vengono sfruttate rapidamente dopo la divulgazione.
5. Segmentazione: rete ospiti, telecamere e dispositivi IoT separati dai computer che contengono dati.
6. Log conservati e controllati, con avvisi su tentativi anomali.

VPN e lavoro da remoto

La VPN collega i dipendenti alla rete aziendale in modo cifrato. Buone pratiche: autenticazione a più fattori obbligatoria, accessi per utente (non credenziali condivise), limiti di accesso solo ai sistemi necessari e disattivazione immediata degli utenti che escono dall'azienda. Per approfondire consulta la guida su autenticazione a più fattori.

Domande da fare al fornitore

1. Quali funzioni sono incluse nella licenza e quali richiedono moduli aggiuntivi?
2. Che prestazioni ha l'apparato con tutte le ispezioni attive?
3. Chi gestisce gli aggiornamenti e con quale frequenza?
4. Per quanto tempo il produttore garantisce il supporto del modello (fine vita)?
5. Come vengono documentate le regole e chi può modificarle?
6. Cosa accade in caso di guasto: sostituzione, tempi, copia della configurazione?

Domande frequenti

Il firewall del router fornito dal provider internet basta?

Per una microimpresa può essere un livello minimo, ma di solito manca di segmentazione, log utili e controllo dell'accesso remoto. Dipende dalla criticità dei dati.

Serve un firewall se uso solo servizi cloud?

Sì, di solito, perché la sede ha comunque una rete con dispositivi da proteggere. Però parte della sicurezza si sposta su identità, accessi e protezione delle postazioni.

Ogni quanto vanno riviste le regole?

Almeno una volta all'anno e dopo ogni cambiamento significativo, come nuovi servizi, fornitori o sedi.

Meglio acquistare o noleggiare?

Dipende dal budget e dalla capacità di gestione. Il noleggio con gestione include spesso sostituzione e aggiornamenti, ma vincola per anni: leggi penali e condizioni di uscita.

Fonti ufficiali

• Agenzia per la Cybersicurezza Nazionale — indicazioni sulla sicurezza delle reti e dei servizi esposti.
• CSIRT Italia — bollettini su vulnerabilità e minacce attive.
• ENISA — pubblicazioni europee su sicurezza delle reti e buone pratiche.