Cos'è la segmentazione di rete?

La segmentazione di rete è la divisione dell'infrastruttura in zone separate, con transiti consentiti soltanto dove servono e negati per default altrove. L'obiettivo non è impedire il primo accesso, che prima o poi avviene, ma limitare quanto un intruso riesce a raggiungere una volta dentro: se la postazione dell'ufficio acquisti non ha alcuna via verso i controllori di stabilimento, una macchina compromessa in amministrazione resta un problema locale invece di diventare un fermo di produzione. Tecnicamente si realizza con reti separate a livello di collegamento, filtri applicati fra le zone e regole scritte per flusso, non per comodità. Il concetto è vecchio quanto le reti aziendali, ma è tornato centrale per due ragioni concrete: il ransomware si diffonde muovendosi lateralmente, e il mondo industriale è pieno di apparecchiature che non si possono più aggiornare.

Come si segmenta in pratica

Il primo passo non è tecnico, è documentale: sapere quali sistemi parlano con quali, in che direzione e per quale motivo. Senza quell'elenco ogni regola nasce permissiva per non fermare nulla. Da lì si definiscono le zone secondo la funzione e la criticità, uffici, gestionali, produzione, servizi esposti, gestione dei sistemi, e i punti di transito fra loro, ognuno con un filtro che consente le porte necessarie e blocca il resto. La microsegmentazione porta lo stesso principio a granularità di singolo servizio, applicando le regole alla sua identità invece che al suo indirizzo IP. Nel mondo industriale il riferimento è il modello a zone e condotti della famiglia IEC 62443, che formalizza gli stessi ragionamenti per gli impianti e ripartisce le responsabilità fra costruttore, integratore e utilizzatore.

Le macchine che non si possono aggiornare

È il caso che rende la segmentazione non negoziabile. Una fresa a controllo numerico da trecentomila euro comprata nel 2011 gira su un sistema operativo fuori supporto da anni, e non si aggiorna per tre motivi che nessun reparto informatico può risolvere: il fornitore non rilascia più nulla, il software di controllo è certificato solo su quella versione, e toccare la configurazione fa decadere la garanzia sulla macchina. La risposta corretta non è né aggiornare, che è impossibile, né rassegnarsi: è isolarla. Zona dedicata senza accesso a Internet, comunicazione consentita verso il solo server di raccolta dati e su una sola porta, trasferimenti di programmi tramite un percorso controllato invece della chiave USB del manutentore, e accesso remoto del fornitore aperto su richiesta e per il tempo dell'intervento. La vulnerabilità resta, ma la superficie da cui è raggiungibile si riduce a quasi nulla. In gergo è un controllo compensativo, ed è la forma di trattamento del rischio più concreta che esista in fabbrica.

Cosa la segmentazione non fa

Non ferma il phishing, non impedisce l'uso di credenziali valide rubate, e non difende nulla se le regole fra le zone finiscono per consentire qualsiasi traffico. Il modo tipico in cui muore non è un attacco: è la deroga temporanea concessa a un fornitore un venerdì pomeriggio e mai revocata. Per questo una segmentazione vale quanto il processo che la mantiene, con revisione periodica delle regole, scadenza automatica delle eccezioni e un proprietario dichiarato per ogni transito.

C'è poi il caso che ribalta il risultato di una segmentazione fatta bene: la teleassistenza permanente del costruttore della macchina. Un router 4G o un programma di controllo remoto lasciato dal service in fase di installazione, con un tunnel in uscita sempre attivo e spesso scritto dentro le condizioni di garanzia. Nessuna regola fra le zone lo intercetta, perché la connessione parte da dentro; e se passa da una SIM dati la macchina non è nemmeno sulla rete aziendale, quindi non c'è nulla da segmentare. Quella connessione va rimossa, oppure convogliata su un unico punto di accesso controllato: un sistema di transito con autenticazione a più fattori, abilitazione concessa a tempo e registrazione della sessione. Per le macchine nuove è una clausola del contratto d'acquisto, non una richiesta da fare dopo la messa in servizio.

Perché conta per chi decide

È l'intervento con il rapporto migliore tra costo e riduzione del danno in un'azienda che produce, perché agisce sull'estensione dell'incidente e non sulla sua probabilità, e perché protegge anche ciò che non si può correggere. Sta a monte del rilevamento: gli strumenti EDR, XDR e MDR vedono cosa succede, la segmentazione decide fin dove può succedere. Ed è il pilastro infrastrutturale su cui poggia in concreto un impianto Zero Trust, oltre a essere una delle misure attese esplicitamente dai soggetti che ricadono nel perimetro NIS2.