Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Censire esposizione e casi d’uso
Il perimetro comprende VPN, gateway zero trust, desktop virtuali, RDP, SSH, strumenti RMM e portali amministrativi. Ogni canale deve avere proprietario, utenti autorizzati, risorse raggiungibili e data di riesame.
CISA raccomanda di disabilitare l’RDP esposto direttamente; quando necessario, deve passare attraverso un accesso protetto con VPN e MFA o un gateway zero trust. Servizi inutilizzati o duplicati aumentano l’esposizione e vanno rimossi.
- Gateway e porte esposte su Internet
- Utenti interni, amministratori e fornitori
- Sistemi raggiungibili dopo l’accesso
- Client e posture minime richieste
- Accessi temporanei e relative scadenze
Rafforzare autenticazione e dispositivo
MFA deve essere richiesta per tutti gli accessi remoti e soprattutto per quelli privilegiati. Dove possibile si preferiscono metodi resistenti al phishing. Account condivisi impediscono revoca e attribuzione e non dovrebbero essere il modello ordinario.
Il gateway e i client devono essere supportati, aggiornati e configurati con algoritmi robusti. Un dispositivo remoto compromesso può usare il tunnel come percorso verso l’interno: segmentazione, controllo dello stato e privilegi minimi riducono il danno.
- MFA e identità personale
- Patch tempestive dei gateway esposti
- Cifratura e funzioni legacy disabilitate
- Accesso alle sole reti e porte necessarie
- Dispositivo gestito o isolamento compensativo
Monitorare, provare e revocare
I log devono consentire di ricostruire identità, orari, origine, esito e risorse raggiunte, con allarmi su località o orari inattesi, tentativi ripetuti e uso anomalo. La sincronizzazione temporale è essenziale per correlare gli eventi.
Onboarding e offboarding devono includere autorizzazione, scadenza e revoca. Le procedure di emergenza vanno provate, compresa la possibilità di disabilitare rapidamente un account, un fornitore o l’intero canale senza perdere il controllo amministrativo.
Domande frequenti
La VPN sostituisce MFA?+
No. La VPN protegge il canale; MFA riduce il rischio di accesso con sole credenziali rubate. Sono controlli complementari.
Lo split tunneling è sempre da vietare?+
Dipende da rischio, architettura e capacità. Va deciso e documentato considerando visibilità, prestazioni e possibilità che il dispositivo colleghi contemporaneamente reti con livelli di fiducia diversi.
I fornitori possono avere accesso permanente?+
Solo se motivato e governato. È preferibile limitare durata, sistemi e privilegi, con autorizzazione, logging e riesame periodico.