Firewall aziendale nel 2026: cosa deve gestire davvero una PMI
Lettura 8 min · AstraLoop Studio
Il firewall aziendale non è un'icona verde su un pannello che qualcuno ha acceso una volta e poi dimenticato. È l'insieme di regole che decide chi entra e chi esce dalla tua rete, cosa può parlare con cosa, e quali porte restano aperte anche quando nessuno se ne ricorda più il motivo. Se gestisci un negozio con due casse in rete, uno studio con quattro postazioni o un capannone con dieci macchine collegate al gestionale di produzione, il problema è lo stesso in radice ma cambia moltissimo nella pratica.
Cosa c'è davvero da proteggere, e perché non è uguale per tutti
Un negozio con una cassa e un PC in ufficio ha un perimetro piccolo: il router del provider, forse un firewall integrato che nessuno ha mai aperto, e basta. Un'azienda di produzione con linee automatizzate ha invece macchine che parlano in rete tra loro, un gestionale che deve vedere i dati delle macchine, e magari un fornitore esterno che si collega per manutenzione da remoto. Un'azienda di servizi con più sedi ha il problema opposto: persone che si connettono da fuori, da casa, dal cliente, con dispositivi che a volte sono aziendali e a volte no. La domanda "quale firewall mi serve" non ha una risposta unica, perché dipende da quanti punti di accesso hai, quanti dati sensibili passano di lì, e quanto ti costerebbe un fermo di qualche ora.
Firewall perimetrale e firewall sulle singole postazioni: due livelli diversi
Il firewall perimetrale è quello che sta al confine tra la tua rete e internet: di solito integrato nel router, a volte un apparato dedicato. Filtra quello che entra ed esce a livello di rete. Ma non basta, e qui sta l'errore più comune: pensare che un solo apparato al bordo copra tutto. Ogni PC, ogni server, ogni cassa ha un proprio firewall software che decide quali programmi possono ricevere connessioni. Se quello del server del gestionale è disattivato "per comodità", o se qualcuno lo ha spento anni fa per far funzionare una stampante di rete e non l'ha più riacceso, il perimetro esterno non serve a molto: basta che un dispositivo dentro la rete venga compromesso, per esempio con una chiavetta USB o un allegato aperto per errore, e da lì si muove verso tutto quello che non è protetto internamente.
Regole di traffico e porte aperte per errore
Le porte sono i canali attraverso cui i programmi comunicano. Molte restano aperte per motivi che avevano senso tre anni fa: un accesso remoto configurato per un tecnico che non lavora più con te, una porta lasciata aperta per testare un software poi mai richiuso, una regola "consenti tutto" scritta di fretta durante un'installazione e mai più rivista. Nessuno le controlla perché nessuno in azienda ha il compito esplicito di farlo. Non serve un controllo quotidiano: serve una revisione periodica, magari due volte l'anno, di cosa è davvero aperto e perché. Per un'azienda con dieci dipendenti questo può essere un pomeriggio di lavoro con chi ti segue l'informatica. Per un'azienda con più sedi e più fornitori collegati, è un lavoro che va incluso nel processo, non lasciato alla buona volontà.
L'accesso da remoto dei dipendenti
Da quando lavorare fuori ufficio è normale, l'accesso remoto è diventato uno dei punti più delicati. Un agente che consulta gli ordini dal telefono, un responsabile che si collega da casa la sera, un tecnico che entra nel gestionale del cliente per un intervento: ogni accesso remoto è una porta che il firewall deve gestire con criterio, non semplicemente "aperta" o "chiusa". La differenza sta nel modo in cui quell'accesso è autenticato e limitato: se un dipendente può entrare in tutto il sistema con la stessa password che usa per il resto, o se invece l'accesso è vincolato a quello che gli serve davvero, con una connessione cifrata e tracciata. Per una piccola realtà con due o tre persone che si collegano da remoto, una configurazione semplice ma corretta basta. Per un'azienda di servizi con decine di tecnici sul territorio, la gestione degli accessi remoti diventa un pezzo del processo aziendale vero e proprio, non un dettaglio tecnico.
Rete ospiti separata dalla rete di produzione
Questo è un punto che molte PMI saltano del tutto. Il wifi che dai ai clienti in sala d'attesa, o ai visitatori in fiera, o al rappresentante che passa in ufficio, non dovrebbe mai stare sulla stessa rete delle casse, dei server, delle macchine di produzione. Sembra ovvio detto così, ma nella pratica capita spesso che ci sia un unico router e un'unica rete per tutto, perché configurare due reti separate richiede un minimo di lavoro in più. Il rischio concreto: un dispositivo ospite compromesso, un telefono con un'app infetta per dire, che si trova sulla stessa rete del PC che gestisce gli ordini o dei terminali di pagamento. Separare le reti, anche con un apparato modesto, è uno degli interventi con il miglior rapporto tra sforzo e beneficio che esista in questo ambito.
Prima di continuare a leggere, fatti una domanda semplice: sai davvero quali reti e quali accessi convivono oggi nella tua azienda?
I log: chi li guarda davvero
Ogni firewall, anche quello più economico, registra quello che succede: tentativi di connessione respinti, traffico anomalo, dispositivi nuovi che si affacciano alla rete. Il problema è che quasi nessuna PMI li guarda. I log restano lì, accumulati, finché non serve capire cosa è successo dopo un problema, e a quel punto spesso sono già stati sovrascritti o non dicono granché perché nessuno li ha impostati con criterio. Non ti serve qualcuno che li fissi otto ore al giorno: ti serve che qualcuno, con una cadenza regolare, guardi se c'è qualcosa di anomalo, e che il sistema segnali da solo gli eventi che contano davvero invece di sommergere di notifiche inutili. È qui che un processo pensato sul tuo modo di lavorare fa la differenza rispetto a un apparato lasciato con le impostazioni di fabbrica.
L'aggiornamento del firmware, il compito che nessuno si prende
Il firmware è il software interno del firewall stesso, e va aggiornato quando il produttore rilascia correzioni, spesso proprio per chiudere falle scoperte nel tempo. È un compito piccolo, che richiede pochi minuti, ma che finisce sempre in fondo alla lista perché non ha una scadenza visibile come una fattura o una scadenza fiscale. Il risultato è un apparato che, con gli anni, resta esposto a problemi già noti e già risolti dal produttore, semplicemente perché nessuno ha applicato l'aggiornamento. Vale per il firewall perimetrale come per i firewall software sulle singole postazioni. Assegnare questo compito a una persona precisa, con una cadenza fissa, costa pochissimo e chiude uno dei buchi più banali e più comuni.
Cosa cambia quando il gestionale è in cloud
Molte PMI stanno spostando il gestionale sul cloud, e questo cambia parte del ragionamento sul firewall, non lo elimina. Se il gestionale non è più su un server fisico dentro l'azienda ma su un servizio esterno, il fornitore di quel gestionale in cloud si occupa della sicurezza dei suoi sistemi. Ma tu resti responsabile di come i tuoi dipendenti si collegano a quel gestionale: da quale rete, con quale dispositivo, con quali credenziali. Un e-commerce con ordini che arrivano ventiquattr'ore su ventiquattro e più persone che accedono al pannello da luoghi diversi ha esigenze diverse da un piccolo studio che si collega solo dall'ufficio in orario di lavoro. Chi vende online, per esempio, spesso ha un gestionale ecommerce collegato a più canali di vendita e a più integrazioni esterne, e ogni integrazione è un punto in più da tenere sotto controllo. Il cloud sposta parte del rischio, non lo azzera: sposta la responsabilità dalla protezione del server alla protezione degli accessi.
Standard, verticale o su misura: come orientarsi
Per la maggior parte delle piccole realtà, un buon apparato configurato correttamente e mantenuto con costanza è più che sufficiente: non serve inventarsi nulla di complicato. Un canone mensile per la licenza dell'apparato, un investimento iniziale una tantum per l'installazione e la configurazione corretta, e una manutenzione periodica coprono la gran parte dei casi, sia che tu venda servizi sia che tu gestisca una produzione con macchine collegate in rete.
Il discorso cambia quando il tuo processo ha caratteristiche che un pacchetto standard fatica a seguire: più sedi che devono parlare tra loro in modo controllato, macchine di produzione che devono restare isolate dal resto della rete ma visibili al gestionale, fornitori esterni con accessi diversi da gestire uno per uno, o un gestionale su misura che deve dialogare con sistemi diversi (magazzino, produzione, contabilità), ognuno con le proprie regole di accesso. In quei casi vale la pena progettare la parte di sicurezza insieme a chi ti costruisce il resto del sistema, invece di sommare pezzi diversi che non si parlano tra loro. È lo stesso ragionamento che vale per un gestionale di produzione pensato sul tuo reparto specifico: la rete e gli accessi vanno progettati insieme al processo, non aggiunti dopo.
Da AstraLoop progettiamo gestionali su misura per PMI, e quando il progetto lo richiede affrontiamo insieme al cliente anche il ragionamento su rete, accessi e sicurezza, perché un gestionale ben costruito che gira su una rete lasciata a se stessa è un lavoro a metà. Se stai valutando come far dialogare in modo sicuro un nuovo sistema con la tua infrastruttura esistente, o se hai capito che Excel e un modulo generico non bastano più a coprire il tuo processo, parliamo del tuo caso specifico prima di scegliere in che direzione andare. È un passo che si inserisce bene in un percorso più ampio di digitalizzazione dei processi aziendali, dove sicurezza e gestionale vanno pensati insieme fin dall'inizio.
Domande frequenti
Cos'è esattamente un firewall aziendale?
È l'insieme di regole, hardware e software, che decide quale traffico può entrare o uscire dalla rete aziendale e quali dispositivi interni possono comunicare tra loro. Comprende sia un apparato al confine con internet (perimetrale) sia i firewall software su ogni singolo PC o server.
Un firewall perimetrale da solo basta a proteggere l'azienda?
No. Se un dispositivo interno viene compromesso, per esempio tramite una chiavetta USB o un allegato aperto per errore, il perimetro esterno non impedisce che il problema si muova verso il resto della rete. Servono anche i firewall sulle singole postazioni, attivi e configurati.
Perché serve una rete separata per gli ospiti?
Perché il wifi dato a clienti o visitatori, se condivide la stessa rete di casse, server o macchine di produzione, espone quei sistemi a un dispositivo ospite compromesso. Separare le reti è uno degli interventi più semplici con il miglior rapporto tra costo e beneficio.
Con un gestionale in cloud il firewall aziendale serve ancora?
Sì, cambia solo cosa devi presidiare. Il fornitore del cloud protegge i propri sistemi, ma resti responsabile di come i tuoi dipendenti si collegano: da quale rete, con quale dispositivo e con quali credenziali accedono al gestionale.
Conviene un firewall standard o una soluzione su misura?
Per la maggior parte delle piccole realtà un buon apparato standard, configurato correttamente e mantenuto, è sufficiente. Ha senso progettare qualcosa su misura quando ci sono più sedi da collegare, macchine di produzione da isolare o un gestionale che deve dialogare con più sistemi con regole di accesso diverse.
Vuoi un gestionale su misura che integri anche una rete e degli accessi progettati sul tuo processo? Parliamo del tuo caso specifico con AstraLoop.