Segmentare la rete aziendale: perché una rete piatta è un rischio

3 settembre 2026 · 7 min di lettura

Una rete aziendale piatta è una rete in cui ogni dispositivo può parlare con ogni altro dispositivo, senza che ci sia niente in mezzo a fermarli. Il termine "piatta" descrive proprio questo: non ci sono livelli, non ci sono zone separate, e tutto quello che è collegato, dal computer dell'amministrazione alla stampante di rete fino al server con i dati dei clienti, si trova sullo stesso segmento, come se fosse tutto nella stessa stanza. Il fatto che i dispositivi comunichino senza intoppi sembra un vantaggio, ed è anche il motivo per cui tante reti aziendali nascono così: si aggiunge un apparato dopo l'altro sulla stessa rete perché è la strada più veloce, senza che nessuno si fermi a chiedersi se debba restarci.

Il problema si vede quando qualcosa va storto. Un dipendente apre un allegato che non doveva aprire e il suo computer viene compromesso. Su una rete piatta, da quel singolo computer si può arrivare al server con i dati aziendali senza superare nessun ostacolo intermedio, semplicemente perché sono sulla stessa rete e nessuno ha mai impedito quella comunicazione. Basta che la rete non abbia mai tracciato un confine fra chi ha bisogno di parlare con chi.

Il perimetro protegge da fuori, non da dentro

Un router, o un firewall dedicato all'ingresso della rete, lavora sul perimetro: sorveglia il confine fra la rete aziendale e l'esterno e filtra quello che prova a entrare da internet. È un livello di protezione necessario, e ne ho parlato in un articolo precedente a proposito dei limiti del router fornito dall'operatore quando resta l'unico presidio della rete. Risponde però a una sola domanda, chi prova a entrare da fuori: non dice niente su cosa succede una volta che qualcuno, o qualcosa, è già dentro.

Ed è proprio quello il punto debole delle reti piatte. Una volta superato il perimetro, che sia per un allegato aperto per errore, una password debole o un dispositivo collegato senza controllo, non c'è più nessun confine da attraversare. Tutto è raggiungibile da tutto. Segmentare la rete significa aggiungere quei confini interni che il perimetro da solo non può offrire.

La logica della segmentazione: dividere per funzione e per fiducia

Segmentare non vuol dire complicare la rete per il gusto della tecnica. Vuol dire raggruppare i dispositivi secondo due criteri concreti, la funzione che svolgono e il livello di fiducia che gli si può accordare. Il computer di chi lavora in amministrazione non ha lo stesso livello di fiducia del telefono di un visitatore collegato al Wi-Fi per un'ora. Il server con i dati dei clienti non ha la stessa funzione della telecamera che sorveglia il magazzino. Metterli tutti sulla stessa rete significa trattarli come se fossero equivalenti, quando non lo sono affatto.

Tecnicamente, il modo più comune per realizzare questa divisione si chiama VLAN, virtual LAN: una rete virtuale che separa gruppi di dispositivi anche quando condividono lo stesso cablaggio fisico o lo stesso switch gestito. È un meccanismo standard, supportato da qualsiasi apparato di rete un minimo moderno, non un prodotto legato a un fornitore in particolare. Ogni VLAN si comporta come una rete a parte: i dispositivi al suo interno si vedono fra loro, ma per raggiungere un'altra VLAN il traffico deve passare da un punto di controllo, dove si decide cosa permettere e cosa no.

Le zone tipiche in un'azienda

Le zone tipiche dipendono da come è organizzata l'azienda, ma alcune ricorrono quasi sempre. La rete degli ospiti, per chi si collega da visitatore e non deve avere accesso a niente oltre a internet. La rete dei dipendenti, per le postazioni di lavoro che usano applicazioni interne e file condivisi. La rete dei server, dove risiedono i dati e i servizi più delicati, con l'accesso più ristretto di tutti. La rete dei dispositivi come telecamere IP e NAS, che non sono computer ma parlano comunque in rete. E infine la rete di gestione, riservata a chi amministra gli apparati stessi, switch, router, access point: la più critica di tutte, perché chi la raggiunge ha in mano la rete intera.

Questo elenco non va preso come uno standard rigido da applicare identico ovunque. Un'azienda di cinque persone non ha bisogno delle stesse zone di una con cinquanta dipendenti su più sedi, e va sempre usata una buona dose di flessibilità nel capire quali divisioni servono davvero. Il criterio resta lo stesso: chiedersi chi deve parlare con chi, e isolare quello che non ha ragione di comunicare con il resto.

Telecamere e dispositivi IoT: il punto debole silenzioso

Fra i dispositivi che finiscono più spesso su una rete piatta senza che nessuno se ne accorga ci sono le telecamere IP e in generale i dispositivi IoT, cioè tutto quello che ha un indirizzo IP ma non è un computer: sensori, centraline e altri apparati di automazione. Sono comodi, si installano e in genere non ci si pensa più.

Il problema è che raramente vengono aggiornati. Ne ho scritto parlando di quanto sia importante avere un programma regolare di aggiornamenti per tutto ciò che ha un indirizzo IP, non solo per i server: molte telecamere restano in funzione per anni con il firmware di fabbrica e con le credenziali di default scritte nel manuale, mai cambiate. Un dispositivo così, sulla stessa rete di tutto il resto, è un punto di ingresso comodo per chiunque riesca a comprometterlo dall'esterno o lo trovi scansionando la rete locale. Se invece è isolato nella sua zona, con regole precise su cosa può raggiungere, il danno resta contenuto lì: la telecamera compromessa non diventa un trampolino verso il server aziendale.

Quando conviene davvero segmentare

Non tutte le aziende hanno bisogno della segmentazione più fine possibile fin dal primo giorno. Un piccolo studio professionale con quattro postazioni e un server condiviso ha esigenze diverse da un'azienda con reparto produzione, uffici, magazzino e una rete di telecamere distribuita su più aree. La domanda utile da farsi è cosa succederebbe se uno di questi dispositivi venisse compromesso, e quanto vale quello che potrebbe raggiungere da lì.

Quando la risposta include dati dei clienti, contabilità o sistemi di produzione, la segmentazione smette di essere un dettaglio tecnico e diventa una misura proporzionata al rischio reale. Quando invece la rete è già piccola e omogenea, con poco da isolare, un progetto troppo articolato rischia solo di aggiungere complessità di gestione senza un beneficio corrispondente.

Da dove si comincia, senza rifare tutta l'infrastruttura

Il timore più comune è di dover buttare giù tutto e ricominciare da zero, ma non deve essere così. Un approccio graduale funziona meglio di un progetto tutto o niente: si isola per prima la zona a rischio più alto, spesso proprio quella delle telecamere e dei dispositivi IoT di cui si parlava sopra, poi si separano gli ospiti dalla rete interna, poi via via il resto, verificando a ogni passo che tutto continui a funzionare.

Progettare questi passaggi nell'ordine giusto, con le regole di comunicazione fra zone che servono davvero all'operatività dell'azienda, è il punto su cui vale la pena farsi supportare: è uno dei temi su cui lavoro quando mi occupo di sicurezza della rete aziendale. La rete cambia nel tempo, si aggiungono dispositivi, e la segmentazione va rivista di conseguenza: è manutenzione continua, non un progetto che si chiude una volta per tutte.

Gli errori di chi segmenta a metà

Il primo errore tipico è creare le zone senza definire le regole di comunicazione fra loro: si dividono i dispositivi in gruppi diversi, ma senza restrizioni esplicite su chi può raggiungere chi, e il traffico continua a passare liberamente da una zona all'altra. A quel punto la segmentazione esiste solo sulla carta, non produce nessun contenimento reale quando qualcosa va storto.

Il secondo errore è segmentare la rete cablata e dimenticarsi del Wi-Fi. Capita più spesso di quanto sembri: si separano gli switch con cura, si dividono i cavi per zona, e la rete wireless resta un'unica rete a cui si collega tutto, dai computer aziendali ai telefoni dei visitatori. Basta un dispositivo collegato al Wi-Fi sbagliato per aggirare tutte le divisioni create con cura sulla rete fisica.

Il dubbio che sento più spesso, a questo punto, è se tutto questo rallenti la rete o complichi il lavoro di tutti i giorni. Non succede: chi si siede alla propria postazione continua ad aprire le stesse applicazioni e a raggiungere le stesse risorse di sempre, con l'unica differenza che quello che non deve vedere, ora non lo vede più. La complessità aggiuntiva riguarda chi amministra la rete, non chi la usa.

Router, aggiornamenti e segmentazione sono tre livelli della stessa logica di difesa. Il router e un firewall dedicato presidiano il confine con l'esterno. Gli aggiornamenti programmati tengono in ordine quello che è già dentro, riducendo le porte che restano aperte per trascuratezza. La segmentazione parte da un'idea più realistica: prima o poi qualcosa va storto comunque, un dispositivo si compromette o una credenziale trapela. A quel punto quello che conta è quanto lontano può arrivare il problema prima di essere fermato.