Il firewall si giudica dalle regole che togli

C'è una richiesta che arriva quasi sempre di venerdì. Un fornitore deve collegarsi al gestionale per una demo, servono due regole, "solo per qualche giorno". Il tecnico apre, la demo funziona, il progetto si chiude. Le regole restano. Due anni dopo nessuno ricorda perché siano lì, e nessuno le toglie perché ogni modifica sembra un rischio. Il firewall continua a costare, ma non protegge più: è diventato un archivio di promesse fatte a qualcuno.

Il problema non è il prodotto. È la manutenzione. Secondo il Data Breach Investigations Report 2026 di Verizon, lo sfruttamento di una vulnerabilità è la prima via d'ingresso, al 31%, contro il 20% del 2025. Il 29% dei casi di ransomware è legato a dispositivi perimetrali non corretti, il 38% a credenziali compromesse. Dove la dimensione è nota, il 96% delle vittime è una PMI. Solo il 26% delle vulnerabilità del catalogo CISA KEV è stato corretto nel 2025, con una mediana di 43 giorni. Il firewall è il punto in cui quelle debolezze incontrano la rete.

Cosa protegge davvero

Un firewall non è un muro unico. È un insieme di decisioni su cosa entra, cosa esce e chi parla con chi.

La prima è il default deny (negazione predefinita): tutto ciò che non è esplicitamente consentito viene bloccato. In entrata è la norma. In uscita manca spesso, ed è tra i buchi più sfruttati. Un malware che non raggiunge il server di comando non riceve istruzioni, non scarica il secondo stadio e non porta fuori dati.

Il filtro in uscita si costruisce con un elenco di destinazioni e servizi ammessi, non con una regola "consenti tutto" in fondo alla lista. Servono liste di ciò che è permesso per aggiornamenti e applicazioni SaaS (software come servizio), e un blocco predefinito per il resto.

La terza decisione è la segmentazione: dividere la rete in zone con regole esplicite tra utenti, server, ospiti, IoT e impianti OT (la tecnologia che governa produzione e impianti). Una VLAN (rete locale virtuale) senza filtro tra le zone è solo un'etichetta. Se un PC compromesso raggiunge i server su SMB o RDP, e dal Wi-Fi ospiti si arriva alla rete interna, il firewall perimetrale non serve a nulla. In ambito industriale il confine conta di più, perché un apparato di campo non si protegge con un agente: ne parliamo in sicurezza IoT e OT.

Chiudono il quadro IDS e IPS, i sistemi di rilevamento e prevenzione delle intrusioni. L'IDS guarda una copia del traffico e avvisa; l'IPS sta in linea e blocca. Un falso positivo può fermare un servizio, per questo in produzione OT si preferisce spesso un IDS passivo.

Tradizionale o NGFW, e gli errori che si ripetono

Un firewall tradizionale filtra indirizzi IP, porte e protocolli e ricorda lo stato delle connessioni. Sa dire "da questo indirizzo a questa porta passa" e lo fa velocemente. Non sa cosa contiene il traffico: davanti a un attacco dentro HTTPS, o dentro un'applicazione consentita, è cieco.

Il firewall di nuova generazione, o NGFW, aggiunge il livello applicativo: riconosce applicazione e utente anche su traffico cifrato, ispeziona il TLS, integra IPS, threat intelligence (informazioni sulle minacce) e filtro DNS. Può bloccare il caricamento su un cloud storage non autorizzato o negare uno strumento di accesso remoto non approvato. In cambio chiede tuning: l'ispezione TLS pesa e genera falsi positivi, e senza personale che la governi diventa un costo con le luci accese.

Il WAF (web application firewall) filtra solo HTTP e HTTPS: blocca pattern noti come SQL injection e XSS e limita il ritmo delle richieste. Non corregge il codice e, se lasciato in monitoraggio, non blocca nulla. Nel cloud il perimetro è fatto di security group, ACL (liste di controllo degli accessi) e criteri di identità: il provider protegge l'infrastruttura, il cliente la configurazione. Un "0.0.0.0/0" su un servizio esposto è una porta aperta sul muro.

Gli errori, in una PMI, sono sempre gli stessi:

• regole any-any o oggetti troppo ampi dalla configurazione iniziale;
• aperture per un fornitore, una demo o lo smart working mai chiuse;
• pannelli di amministrazione esposti su Internet, con password debole o condivisa;
• rete piatta, o VLAN senza regole tra le VLAN;
• nessun filtro in uscita, così il malware dialoga con il proprio server;
• firmware e VPN non aggiornati, apparati in fine vita lasciati in servizio.

Cosa chiedono NIS2 e le misure ACN

La direttiva NIS2 (UE 2022/2555), recepita con il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024, chiede alle entità in perimetro misure basate sul rischio, all'articolo 21: sicurezza delle reti, controllo degli accessi, MFA (autenticazione a più fattori), logging, gestione degli incidenti. Non nomina un prodotto: il firewall è il punto in cui quelle misure diventano regole. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato per le essenziali, 7 milioni o l'1,4% per le importanti.

Il riferimento più concreto è la determina ACN 379907/2025, applicabile dal 15 gennaio 2026, con l'Allegato 1 per i soggetti importanti (37 misure) e l'Allegato 2 per gli essenziali (43). Il punto PR.IR-01, comma 3, chiede che i sistemi perimetrali, "quali firewall", siano "presenti, aggiornati, mantenuti e configurati in modo adeguato". I commi 1 e 2 chiedono accessi remoti definiti, documentati ed elencati; PR.PS-04 il log degli accessi remoti e amministrativi; DE.CM-01 il monitoraggio di reti e servizi. Le misure vanno adottate entro 18 mesi dall'inserimento nell'elenco NIS.

La norma non prescrive un NGFW e non nomina la segmentazione. Chiede un perimetro adeguato, aggiornato e documentato: la segmentazione rientra nella protezione delle reti e nella valutazione del rischio, non in un obbligo letterale. Una PMI sotto soglia può restare fuori dal perimetro e essere coinvolta lo stesso, come fornitore di un soggetto NIS2, con le richieste che arrivano dal contratto: è il tema della supply chain.

La checklist in 8 punti

Otto domande da fare al fornitore, chiedendo i fatti e non le funzioni del prodotto.

1. Esiste un elenco delle aperture, con proprietario e scadenza? Quali servizi sono raggiungibili da Internet, da chi, perché e fino a quando. Se la risposta è "le ha messe il tecnico anni fa", manca il controllo.
2. Il default è "nega" in entrata e in uscita? L'ultima regola deve essere di blocco, e i server non devono navigare liberamente.
3. Quanti servizi sono esposti, e servono davvero? Una scansione autorizzata dall'esterno lo dice. RDP, SSH, pannelli di amministrazione e interfacce di stampanti non devono essere raggiungibili.
4. L'accesso remoto è nominativo e protetto da MFA? Account individuali, verifica in due passaggi, log e aperture temporanee per i fornitori.
5. La segmentazione è verificata, non solo disegnata? Da un PC utente si arriva a un server su SMB o RDP? Dal Wi-Fi ospiti si arriva alla rete interna?
6. Il firewall è aggiornato e ancora supportato? Firmware, data di fine supporto, piano di sostituzione, copertura delle VPN. Un apparato in fine vita è un buco anche con regole perfette.
7. I log esistono e qualcuno li legge? Log attivi e conservati, alert su modifiche e accessi amministrativi. Chiedi l'ultimo alert esaminato, non la scheda tecnica.
8. Ogni modifica ha approvazione, backup e rollback? Procedura di change (gestione delle modifiche), copia della configurazione, revisione annuale e dopo ogni incidente. Le regole temporanee devono scadere.

Da dove partire

Prima di comprare qualsiasi cosa, chiedi l'esportazione delle regole e segna accanto a ognuna tre informazioni: chi l'ha chiesta, perché, quando scade. Le regole senza proprietario sono il punto di partenza. Scegline tre senza motivo e chiudile, verificando cosa smette di funzionare. Poi fai lo stesso sulle porte in uscita: un elenco di ciò che deve passare vale più di un prodotto nuovo.

Se il firewall non conserva i log o nessuno li guarda, il problema è il processo: senza tracce, ogni incident response parte in ritardo. Un apparato in fine vita va sostituito prima di riordinare le regole, perché nessuna configurazione salva un software che non riceve correzioni.

La revisione si fa in mezza giornata, con chi gestisce la rete. B2B Driven la affronta con le PMI partendo dall'inventario delle aperture e dai log, non dal catalogo. Se vuoi sapere quante regole senza proprietario hai, scrivici: partiamo da quel numero.