La cybersecurity infrastruttura di rete viene spesso affrontata partendo dal livello più visibile: firewall, antivirus, sistemi di backup, autenticazione, servizi cloud, monitoraggio degli endpoint e protezione della posta elettronica. Sono componenti importanti, ma non esauriscono il problema. Una rete aziendale può disporre di apparati di sicurezza evoluti e rimanere comunque fragile se l’infrastruttura fisica e logica su cui quei sistemi lavorano è disordinata, non documentata o cresciuta nel tempo senza una progettazione coerente.
Il punto critico è proprio questo: la sicurezza informatica non nasce soltanto dal software. Nasce anche dal modo in cui sono stati progettati gli armadi rack, dal controllo delle permutazioni, dalla separazione tra reti diverse, dalla gestione delle prese dati, dalla configurazione degli switch, dalla distinzione tra rete aziendale, rete ospiti, videosorveglianza, building automation, dispositivi IoT e apparati di servizio. Una rete non governata diventa un’infrastruttura opaca. E ciò che non è visibile, mappato e controllabile diventa più difficile da proteggere.
Il NIST Cybersecurity Framework 2.0 organizza la gestione del rischio cyber nelle funzioni Govern, Identify, Protect, Detect, Respond e Recover, evidenziando che la cybersecurity è un processo di governo del rischio e non un singolo prodotto tecnico. Questo principio è direttamente applicabile alle infrastrutture di rete: prima di proteggere una rete occorre sapere com’è fatta, quali apparati contiene, quali servizi trasporta, quali dispositivi vi accedono e quali percorsi fisici e logici collegano gli ambienti aziendali.
Una rete cablata male, modificata per anni senza aggiornare gli schemi, con prese dati non identificate, patch panel non coerenti, switch aggiunti per necessità contingenti e collegamenti non tracciati non è solo un problema di ordine tecnico. È un problema di sicurezza. In caso di anomalia, guasto, sospetto accesso non autorizzato o incidente, la prima domanda operativa è sempre la stessa: dove passa il traffico, da quale porta arriva, quale dispositivo è collegato, quale VLAN utilizza, quale apparato lo gestisce e quali altri segmenti può raggiungere. Se queste risposte non sono disponibili, il tempo di intervento aumenta e la capacità di contenimento diminuisce.
Il cablaggio strutturato nasce proprio per superare l’improvvisazione. La serie ISO/IEC 11801 definisce un sistema di cablaggio generico, multi-vendor, utilizzabile con componenti di fonti diverse e capace di supportare servizi come dati, voce, video e alimentazione tramite il cablaggio stesso. Questo aspetto è rilevante anche per la sicurezza, perché un’infrastruttura standardizzata, documentata e verificabile riduce l’ambiguità operativa. Non basta che “funzioni”: deve essere comprensibile, manutenibile e controllabile.
La sicurezza dell’infrastruttura di rete comincia quindi dall’inventario fisico. Ogni armadio rack dovrebbe avere una funzione chiara, una posizione definita, apparati identificati, patch panel etichettati, collegamenti ordinati e documentazione coerente con lo stato reale. La documentazione non può essere un file creato al momento dell’installazione e poi dimenticato. Deve seguire le modifiche della rete. Ogni nuova presa, ogni spostamento, ogni switch aggiunto, ogni uplink, ogni collegamento in fibra, ogni modifica di VLAN o di indirizzamento dovrebbe lasciare una traccia verificabile.
Molte vulnerabilità infrastrutturali non nascono da attacchi sofisticati, ma da stratificazioni non governate. Un ufficio viene ampliato, una sala riunioni viene trasformata, un sistema di videosorveglianza IP viene collegato alla rete esistente, un access point viene installato in emergenza, un piccolo switch viene aggiunto sotto una scrivania, una stampante multifunzione viene collegata a una presa non mappata. Ognuna di queste operazioni può sembrare marginale. Nel tempo, però, la rete perde leggibilità e diventa difficile distinguere ciò che è previsto da ciò che è anomalo.
La separazione logica è il secondo tema centrale. Una rete aziendale moderna non dovrebbe essere un unico spazio piatto in cui utenti, server, stampanti, telecamere, access point, dispositivi IoT, sistemi di controllo accessi, apparati di building automation e ospiti condividono lo stesso dominio di comunicazione. La segmentazione tramite VLAN, policy di routing, firewall interni, ACL e regole di accesso riduce la possibilità che un problema su un segmento si propaghi automaticamente ad altri ambienti. La CISA include la segmentazione di rete tra le pratiche di protezione rilevanti nei Cybersecurity Performance Goals per le organizzazioni, con l’obiettivo di limitare movimento laterale e impatto di eventuali compromissioni.
La segmentazione, però, non va trattata come un esercizio puramente informatico. Deve essere coerente con l’architettura fisica. Una VLAN ospiti ha senso solo se il traffico resta realmente separato dalla rete interna. Una VLAN per videosorveglianza ha senso solo se le telecamere IP non possono comunicare liberamente con sistemi gestionali, postazioni amministrative o apparati non pertinenti. Una rete IoT ha senso solo se i dispositivi con firmware spesso poco aggiornato o con funzioni limitate non diventano un ponte verso servizi aziendali sensibili. ENISA, nei propri documenti sul tema IoT, richiama la necessità di considerare la sicurezza lungo l’intero ciclo di vita dei dispositivi, dalla progettazione all’installazione, all’esercizio, alla manutenzione e alla dismissione.
Questo è particolarmente importante negli edifici aziendali, negli studi professionali, nei magazzini, nelle scuole, nelle strutture sanitarie, negli ambienti produttivi e negli immobili con sistemi tecnici integrati. La rete dati non serve più solo a collegare computer e stampanti. Trasporta telefonia IP, Wi-Fi, controllo accessi, videosorveglianza, sensori, sistemi audio-video, terminali di produzione, badge, dispositivi medicali, building management system e servizi cloud. Ogni nuova categoria di dispositivi aumenta la superficie di attacco e rende più importante la distinzione tra reti, ruoli e privilegi.
Il Wi-Fi è un altro punto spesso sottovalutato. Una rete wireless aziendale non dovrebbe essere progettata soltanto in funzione della copertura radio. La copertura è necessaria, ma non sufficiente. Bisogna distinguere tra utenti interni, ospiti, dispositivi aziendali gestiti, dispositivi personali, terminali IoT, apparati di servizio e sistemi che richiedono continuità operativa. Una password condivisa tra troppi utenti, mai cambiata e usata sia da collaboratori sia da ospiti crea un problema evidente: l’accesso alla rete diventa difficile da attribuire, revocare e governare.
Nei contesti più strutturati, il controllo degli accessi alla rete può essere affrontato con soluzioni NAC e con IEEE 802.1X. Lo standard IEEE 802.1X riguarda il controllo di accesso basato sulla porta e consente di limitare l’uso dei punti di accesso LAN a dispositivi autenticati e autorizzati. Non è una soluzione da applicare superficialmente, perché richiede progettazione, directory, certificati o credenziali, policy coerenti e gestione delle eccezioni. Tuttavia introduce un principio corretto: la rete non dovrebbe essere automaticamente accessibile a qualunque dispositivo venga collegato a una presa libera o raggiunga il segnale Wi-Fi.
Anche l’armadio rack è parte della sicurezza. Un rack aperto, accessibile a personale non autorizzato, con permutazioni casuali e apparati non etichettati è un punto debole. La sicurezza fisica non è un tema secondario rispetto alla cybersecurity. Chi può accedere fisicamente agli switch, alle porte di rete, ai collegamenti in fibra, agli alimentatori, alle console degli apparati o ai patch panel può causare disservizi, modificare collegamenti, collegare dispositivi non previsti o rendere più difficile la diagnosi di un problema. La protezione dell’armadio, il controllo degli accessi al locale tecnico, l’ordine delle permutazioni e la tracciabilità degli interventi sono misure operative prima ancora che estetiche.
Qui emerge un errore frequente: considerare il cablaggio come una parte “passiva” e quindi meno rilevante. Dal punto di vista elettrico o ottico, il cavo può essere passivo; dal punto di vista operativo, però, l’infrastruttura fisica condiziona tutta la rete. Un collegamento mal documentato può rallentare il ripristino. Una dorsale sottodimensionata può generare colli di bottiglia. Un armadio senza alimentazione adeguata o senza continuità elettrica può diventare un singolo punto di guasto. Una fibra non identificata può complicare interventi e migrazioni. Una presa dati non tracciata può consentire collegamenti non autorizzati o rendere difficile ricostruire l’origine di un evento.
La sicurezza richiede anche controllo della configurazione. Gli switch non dovrebbero essere semplici moltiplicatori di porte installati dove serve con configurazioni minime. Dovrebbero essere gestiti, aggiornati, documentati, protetti da credenziali robuste, integrati in una logica di backup delle configurazioni, monitorati e coerenti con il disegno di rete. Il CIS Control 12, dedicato alla gestione dell’infrastruttura di rete, richiama la necessità di stabilire, implementare e gestire attivamente i dispositivi di rete per evitare che servizi e punti di accesso vulnerabili possano essere sfruttati.
Questo vale anche per le configurazioni apparentemente banali: porte inutilizzate lasciate attive, protocolli di gestione esposti su VLAN non corrette, password condivise tra apparati, SNMP configurato male, firmware non aggiornati, switch non monitorati, access point installati senza mappatura, uplink ridondanti non verificati, trunk configurati senza coerenza, porte configurate in modo difforme rispetto alla documentazione. Ogni eccezione non governata può diventare una zona grigia.
La cybersecurity dell’infrastruttura di rete non coincide quindi con l’acquisto di un prodotto. È un insieme di scelte progettuali e gestionali. La prima scelta è conoscere l’infrastruttura. La seconda è separare ciò che deve restare separato. La terza è controllare chi accede. La quarta è monitorare ciò che accade. La quinta è mantenere aggiornata la documentazione. La sesta è verificare periodicamente che la rete reale corrisponda alla rete progettata.
Questa impostazione cambia anche il rapporto tra progettazione e manutenzione. Una rete sicura non può essere progettata una volta per tutte e poi lasciata evolvere per aggiunte successive. Ogni modifica dovrebbe essere valutata rispetto al disegno complessivo. Inserire nuove telecamere IP, aggiungere access point, collegare una macchina di produzione, attivare un sistema di controllo accessi, aprire una rete guest, integrare dispositivi IoT o installare nuovi switch non sono attività neutre. Ogni intervento modifica la superficie tecnica dell’infrastruttura e può introdurre nuove dipendenze.
Per questo motivo la documentazione dovrebbe comprendere almeno lo schema logico della rete, la mappa degli armadi, la numerazione delle prese, la corrispondenza tra patch panel e punti terminali, la posizione degli apparati attivi, le VLAN, gli indirizzamenti principali, gli uplink, le dorsali in rame o fibra, le regole di separazione tra segmenti, le eventuali reti Wi-Fi, i dispositivi speciali e le procedure di modifica. Non tutto deve avere lo stesso livello di dettaglio in ogni azienda, ma l’assenza totale di documentazione è incompatibile con una gestione seria della sicurezza.
Anche la certificazione del cablaggio ha un ruolo. Il test strumentale non serve solo a dimostrare che un collegamento rispetta determinate prestazioni trasmissive. Serve anche a produrre evidenze, ridurre incertezze e distinguere i problemi fisici dai problemi logici. In una rete non certificata, degradi, errori intermittenti, disconnessioni, ritrasmissioni o anomalie possono essere attribuiti per tentativi a firewall, switch, endpoint o software, quando invece il problema è nel link fisico. Una rete verificata consente diagnosi più rapide e interventi più affidabili.
Il tema diventa ancora più rilevante con PoE, Wi-Fi ad alta densità, telecamere IP, telefoni VoIP, sistemi di controllo accessi e apparati alimentati direttamente dal cavo dati. La rete non trasporta soltanto pacchetti, ma anche energia. Questo richiede attenzione alla qualità del cablaggio, alla categoria dei componenti, alla dissipazione termica nei fasci di cavi, alla gestione degli armadi, alla capacità degli switch PoE, alla continuità elettrica e alla separazione tra servizi. Un’infrastruttura sottodimensionata o modificata senza criterio può generare problemi di disponibilità, e la disponibilità è parte della sicurezza.
La sicurezza, infatti, non riguarda solo la riservatezza dei dati. Riguarda anche integrità e disponibilità. Una rete che cade frequentemente, che non consente diagnosi rapide o che espone servizi essenziali a interruzioni prevedibili produce un rischio operativo. NIST SP 800-53 raccoglie controlli di sicurezza e privacy per proteggere sistemi, asset, operazioni e organizzazioni da minacce diverse, incluse azioni ostili, errori umani, disastri naturali e guasti strutturali. Anche questo conferma che la protezione non può essere letta solo come difesa da un attaccante esterno, ma come capacità complessiva di ridurre rischi tecnici e organizzativi.
Per una piccola o media azienda, l’approccio corretto non è necessariamente implementare subito architetture complesse. Il primo passo è spesso più concreto: censire armadi, switch, prese, access point, apparati IP e collegamenti principali. Il secondo è eliminare ciò che è palesemente fuori controllo: switch non gestiti sotto le scrivanie, reti Wi-Fi condivise senza criterio, credenziali deboli, porte inutilizzate attive, apparati senza aggiornamento, patch panel non etichettati, documentazione inesistente. Il terzo è introdurre una segmentazione minima ma coerente: rete amministrativa, rete ospiti, rete IoT o videosorveglianza, rete server o servizi interni, rete management degli apparati.
In contesti più strutturati, la progressione può includere controllo degli accessi tramite 802.1X, autenticazione centralizzata, NAC, logging degli switch, monitoraggio degli uplink, backup delle configurazioni, gestione delle vulnerabilità degli apparati, politiche di aggiornamento firmware, ridondanza delle dorsali, separazione più rigorosa tra zone e procedure formali di change management. Non tutte le aziende hanno le stesse esigenze, ma tutte dovrebbero evitare la situazione peggiore: una rete cresciuta per accumulo, mai verificata, mai documentata e considerata sicura solo perché “finora ha funzionato”.
Il costo di un intervento infrastrutturale deve essere letto anche in rapporto al costo dell’incertezza. Una rete non documentata fa perdere tempo a ogni modifica. Un armadio disordinato aumenta il rischio di errori durante gli interventi. Una segmentazione assente amplifica l’impatto di un dispositivo compromesso. Un Wi-Fi ospiti mal separato espone servizi interni. Un sistema di videosorveglianza collegato senza logica può introdurre dispositivi deboli nella rete aziendale. Una dorsale non ridondata può bloccare reparti interi. Il risparmio ottenuto evitando progettazione e documentazione viene spesso pagato più tardi in tempi di fermo, interventi urgenti, diagnosi lunghe e rischi difficili da quantificare.
La best practice non consiste nel rendere la rete più complicata, ma nel renderla più governabile. Una rete governabile è una rete in cui le relazioni sono chiare: quale presa corrisponde a quale patch panel, quale porta switch serve quale utenza, quale VLAN è assegnata a quale categoria di dispositivi, quali apparati possono comunicare tra loro, quali accessi sono ammessi, quali log sono disponibili, quali modifiche sono state eseguite e quali collegamenti sono critici. La complessità esiste già negli edifici moderni; il progetto serve a renderla gestibile.
Per questo la cybersecurity dell’infrastruttura di rete dovrebbe entrare nella fase progettuale, non solo nella fase di emergenza. Quando si ristruttura un ufficio, si realizza una nuova sede, si amplia una rete, si inseriscono sistemi di videosorveglianza, si aggiorna il Wi-Fi o si integrano dispositivi IoT, occorre chiedersi prima come verranno separati i servizi, come verranno documentati i collegamenti, chi potrà accedere agli armadi, come verranno gestite le credenziali, quali apparati saranno monitorati, quali dorsali saranno necessarie e quali servizi dovranno restare disponibili anche in caso di guasto.
Il ruolo del cablaggio non è quindi marginale. Il cablaggio è la base fisica su cui poggiano segmentazione, accesso, continuità, monitoraggio e manutenzione. Un’infrastruttura ordinata non garantisce da sola la sicurezza, ma una infrastruttura disordinata rende la sicurezza più debole, più costosa e meno verificabile. La cybersecurity comincia anche da qui: dalla possibilità di sapere con precisione che cosa è collegato, dove è collegato, come comunica, chi lo può usare e quale impatto può avere sul resto della rete.
Una rete aziendale sicura non è quella in cui sono stati installati molti strumenti, ma quella in cui ogni livello lavora in modo coerente: cablaggio, armadi, switch, Wi-Fi, VLAN, autenticazione, monitoraggio, firewall, backup e procedure. Il firewall resta importante, ma non può compensare una rete fisica e logica priva di governo. La sicurezza più solida nasce quando infrastruttura, configurazione e gestione operativa vengono considerate come parti dello stesso sistema.
Fonti
NIST, The Cybersecurity Framework (CSF) 2.0
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
CISA, Cybersecurity Performance Goals (CPGs)
https://www.cisa.gov/cybersecurity-performance-goals-cpgs
ENISA, Guidelines for Securing the Internet of Things
https://www.enisa.europa.eu/publications/guidelines-for-securing-the-internet-of-things
IEEE, 802.1X: Port-Based Network Access Control
https://1.ieee802.org/security/802-1x/
IEEE, IEEE 802.1X-2020 Standard
https://standards.ieee.org/ieee/802.1X/7345/
ISO, ISO/IEC 11801-1:2017 — Information technology — Generic cabling for customer premises — Part 1: General requirements
https://www.iso.org/standard/66182.html
CIS, CIS Critical Security Control 12: Network Infrastructure Management
https://www.cisecurity.org/controls/network-infrastructure-management
NIST, SP 800-53 Rev. 5 — Security and Privacy Controls for Information Systems and Organizations
https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
NIST, SP 800-207 — Zero Trust Architecture
https://csrc.nist.gov/pubs/sp/800/207/final
