Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Partire da asset e flussi necessari
CISA raccomanda segmentazione logica o fisica per contenere un’intrusione e limitare il movimento laterale. Il progetto deve partire da servizi, dati e dipendenze, non da una suddivisione arbitraria degli indirizzi IP.
Per ogni zona si identificano proprietario, livello di fiducia, sistemi presenti e comunicazioni in ingresso e uscita. I flussi non giustificati devono essere rimossi o mantenuti come eccezioni approvate e riesaminate.
- Utenti e postazioni gestite
- Server e servizi applicativi
- Stampanti, IoT e dispositivi non gestiti
- Amministrazione e apparati di rete
- DMZ, cloud, sedi e fornitori
Applicare controlli tra le zone
VLAN e subnet creano separazione logica, ma il controllo nasce da firewall, ACL o policy equivalenti tra i segmenti. Una regola dovrebbe indicare sorgente, destinazione, servizio, finalità, proprietario e scadenza quando temporanea.
NIST chiarisce che la posizione di rete non deve conferire fiducia implicita. Segmentazione e principi zero trust sono quindi complementari: identità, stato del dispositivo e autorizzazione restano necessari anche all’interno della rete aziendale.
- Negazione predefinita tra zone quando sostenibile
- Regole specifiche invece di intervalli troppo ampi
- Gestione apparati da rete amministrativa dedicata
- Controllo del traffico in uscita
- Log e allarmi sui punti di passaggio
Migrare e verificare senza bloccare il lavoro
Prima dell’enforcement conviene osservare i flussi, coinvolgere i proprietari dei servizi e provare le regole su un gruppo limitato. DNS, directory, gestione, backup e monitoraggio sono dipendenze frequenti che devono essere mappate.
La verifica include tentativi consentiti e negati, revisione delle eccezioni e confronto tra schema e configurazione reale. Dopo incidenti o cambiamenti importanti la matrice dei flussi deve essere aggiornata.
Domande frequenti
Creare più VLAN significa avere segmentato la rete?+
Non necessariamente. Se il routing tra VLAN è aperto, la separazione non limita il traffico. Servono policy applicate e verificate tra le zone.
La segmentazione sostituisce EDR e MFA?+
No. Riduce la propagazione, ma deve lavorare insieme a identità protette, endpoint, patching, logging e risposta.
Da quale zona iniziare?+
Da risorse ad alto impatto e segmenti a fiducia ridotta, per esempio gestione apparati, server critici, ospiti, IoT e sistemi esposti, valutando le dipendenze reali.