"Ma noi siamo una piccola azienda, chi vuoi che ci attacchi?" Sentiamo questa frase almeno una volta a settimana. Il problema è che gli attacchi informatici oggi non scelgono più il bersaglio. Sono automatizzati, girano 24/7, e cercano semplicemente qualcuno con la porta aperta. Che tu sia una multinazionale o un'officina meccanica di 4 dipendenti, per un bot non fa differenza.

Cosa fa davvero un firewall (senza gergo tecnico)

Un firewall è, in sostanza, un portinaio della tua rete aziendale. Sta in mezzo tra internet e i tuoi PC/server/dispositivi, e decide chi può entrare, chi può uscire, e a quali condizioni. Non è un antivirus (quello sta sui singoli PC), non è un antispam (quello sta sul mail server): è un dispositivo dedicato al controllo del traffico di rete.

Un buon firewall fa tre cose:

  • Blocca il traffico non richiesto in entrata — se nessuno dall'interno ha chiesto quel pacchetto, il firewall lo scarta.
  • Controlla il traffico in uscita — se un PC infetto prova a "chiamare a casa" un server malevolo, il firewall può bloccarlo.
  • Registra tutto — quando succede qualcosa di strano, puoi risalire a chi, quando, da dove.

"Ma non basta il router del provider?"

Domanda giusta, risposta breve: no.

Il router che ti dà l'operatore telefonico (Fastweb, TIM, Vodafone, Sky, ecc.) include un firewall di base — che fa più o meno il minimo sindacale: NAT + qualche blocco elementare. Ma:

  • Non ha controllo granulare del traffico in uscita
  • Non ha segmentazione vera della rete (guest wifi vs rete produttiva)
  • Non ha VPN business-grade per l'accesso remoto sicuro
  • Non riceve aggiornamenti tempestivi — quando esce una vulnerabilità nuova, aspetti che il provider la patchi (o non la patcha proprio)
  • Non ti dà log utilizzabili per capire cosa è successo
  • Spesso ha credenziali di default mai cambiate e configurazioni fatte per il consumatore medio, non per un'azienda

Insomma, il router del provider è come chiudere la porta di casa a chiave — utile, ma se ti aspetti che protegga davvero un'attività commerciale con dati sensibili di clienti e fornitori, stai sottovalutando il problema.

I 5 rischi concreti senza firewall aziendale

1. Servizi esposti che non dovresti esporre

Molte aziende hanno servizi accessibili da internet senza saperlo: RDP (desktop remoto) per lavorare da casa, VPN mal configurate, gestionali web raggiungibili da chiunque, telecamere IP, NAS. Se questi servizi sono esposti direttamente su internet senza un firewall che li filtri, sono continuamente sotto attacco. Basta cercare su Shodan.io per vedere quante aziende italiane hanno un RDP aperto — e quanto durano prima di essere violate.

2. Ransomware che si propaga in rete locale

Un ransomware arriva quasi sempre da una singola postazione (email phishing, chiavetta USB, download infetto). Una volta dentro, però, cerca di propagarsi lateralmente agli altri PC e ai server della LAN — perché più macchine cripta, più leva ha per chiederti il riscatto. Un firewall interno (o una rete segmentata a livello di firewall) può isolare il PC infetto prima che il danno si estenda a tutto il resto.

3. Esfiltrazione dei dati verso l'esterno

Quando un attaccante riesce a entrare in un sistema, il suo primo obiettivo spesso è portare fuori i dati — anagrafiche clienti, listini, contratti, database. Senza un controllo del traffico in uscita, il tuo router del provider lascia passare tutto. Un firewall serio nota traffico anomalo (grandi volumi verso IP sconosciuti, connessioni a orari strani) e può bloccarlo.

4. Uso improprio della tua rete

Dispositivi IoT infetti (stampanti, termostati, telecamere) diventano parte di botnet che attaccano altri, minano criptovalute, o inviano spam a nome tuo. Risultato: la tua connessione rallenta, il tuo IP finisce in blacklist, le tue email vengono bloccate da tutti. E tu non sai nemmeno cosa sta succedendo. Un firewall vede questo traffico e lo blocca.

5. GDPR — "misure tecniche adeguate"

Il GDPR (art. 32) obbliga chi tratta dati personali ad adottare misure tecniche adeguate al rischio. In caso di data breach, il Garante non ti chiede solo cosa è successo — ti chiede cosa avevi fatto per prevenirlo. Non avere un firewall dedicato in un'azienda che gestisce anagrafiche clienti è oggi difficilmente difendibile. Le sanzioni possono essere pesanti, e non parliamo solo di multe: il danno reputazionale è spesso peggiore.

Cosa cambia con un firewall serio

Un firewall aziendale ben configurato ti dà quattro cose che il router del provider non ti darà mai:

  • Segmentazione della rete: il Wi-Fi degli ospiti su una rete separata da quella dei PC aziendali. Le telecamere IP isolate dai server. Le postazioni amministrative separate da quelle produttive. Se un dispositivo viene compromesso, l'attaccante è confinato in un'area limitata.
  • Controllo del traffico in USCITA: sai (e decidi) verso chi i tuoi dispositivi possono parlare. Blocchi paesi da cui non ricevi mai traffico legittimo, servizi non necessari, connessioni sospette.
  • VPN aziendale sicura: chi lavora da casa o in trasferta si connette alla rete aziendale attraverso una VPN robusta (WireGuard, OpenVPN, IPsec), non attraverso un desktop remoto esposto direttamente su internet.
  • Log e visibilità: sai in ogni momento quanto traffico passa, verso dove, da chi. Se succede qualcosa di anomalo, hai gli strumenti per investigare invece di brancolare nel buio.

Le tre strade per il tuo firewall aziendale

La buona notizia: oggi hai tre alternative concrete, tutte accessibili anche a una piccola azienda.

pfSense (o OPNsense) — enterprise-grade a costo di un mini PC

pfSense (e il suo fork open source OPNsense) è un sistema operativo firewall gratuito che gira su qualsiasi hardware x86. Con un mini PC dedicato da 150-300€ (con almeno 2 porte di rete) hai un firewall che, come funzionalità, compete con soluzioni commerciali da migliaia di euro. È la scelta ideale se hai (o hai a disposizione tramite un fornitore) competenze tecniche per configurarlo, perché la potenza è tanta ma va gestita.

MikroTik — semplice, potente, italiano-friendly

I router MikroTik partono da poche decine di euro e arrivano a modelli enterprise sotto i 500€. Il firewall integrato è di livello entry ma decente e più che sufficiente per la maggior parte delle PMI italiane. Il sistema operativo RouterOS è potente e ben documentato; la curva di apprendimento è più dolce rispetto a pfSense per chi parte da zero. Sono una scelta che consigliamo spesso ai nostri clienti quando serve un buon compromesso costo/complessità/prestazioni.

Firewall commerciali (SonicWall, Fortinet, Sophos, WatchGuard)

Le soluzioni commerciali (500-2000€ a hardware + licenza annuale) offrono funzioni avanzate "chiavi in mano": intrusion prevention (IPS), antivirus di rete, filtro contenuti, threat intelligence aggiornata dal vendor. Sono la scelta giusta quando l'azienda ha volumi di traffico importanti, gestisce dati particolarmente sensibili, o vuole un supporto commerciale con SLA. Il costo di licenza annuale è il vero elemento da valutare: dopo 5 anni potresti aver speso più che con una soluzione pfSense/MikroTik equivalente.

Da dove cominciare: audit gratuito della rete

Prima di scegliere quale firewall, la vera prima domanda è: come sta oggi la tua rete? Cosa è esposto verso internet? Come è configurato il router del provider? Ci sono già dispositivi che parlano con l'esterno in modi anomali?

Per rispondere a queste domande facciamo audit gratuiti di rete alle PMI del bresciano che ce li chiedono. Nel giro di un paio d'ore in azienda mappiamo la situazione attuale, identifichiamo le vulnerabilità più evidenti, e ti diamo un report onesto con le priorità di intervento. Nessun impegno di acquisto, nessuna pressione commerciale: se poi la sistemazione ce l'affidi ok, altrimenti hai comunque un quadro chiaro della tua situazione.

Se ti interessa, scrivici con qualche informazione sulla tua realtà (quanti dispositivi, che tipo di attività, se già usi qualche VPN) e concordiamo un sopralluogo.

La sicurezza della tua rete non è un problema "da grandi aziende". È un problema di tutte le aziende che hanno dati, clienti, e voglia di continuare a lavorare senza sorprese.