"Tanto abbiamo il firewall di Windows, no?" oppure "Il router ce l'ha già integrato" sono due frasi che sento spesso quando parlo di sicurezza di rete con le PMI ticinesi. E in parte è vero: Windows ha un firewall, e molti router domestici hanno qualche funzione di filtro. Ma la realtà è che per un'azienda — anche piccola — la sicurezza perimetrale è troppo importante per essere affidata a soluzioni built-in pensate per l'uso domestico.
In questo articolo vediamo cos'è un firewall aziendale, cosa deve saper fare e come sceglierlo per una PMI in Ticino.
Cos'è un firewall (davvero)
Nel gergo informatico, un firewall è un dispositivo (o software) che filtra il traffico di rete in base a regole prestabilite. La metafora classica è il muro tagliafuoco nelle gallerie: blocca ciò che è pericoloso e fa passare ciò che è sicuro.
Ma la differenza tra un firewall software come quello di Windows e un firewall aziendale è la stessa che passa tra un estintore da cucina e un sistema antincendio completo per un palazzo di uffici: il primo può spegnere un piccolo principio d'incendio, il secondo protegge l'intero edificio, monitora continuamente, dà l'allarme e interviene automaticamente.
Cosa fa un firewall aziendale
- Filtra il traffico in entrata e in uscita sulla base di regole (allow/deny per IP, porta, protocollo).
- Ispeziona i pacchetti a livello profondo (Deep Packet Inspection, DPI) per riconoscere minacce anche se mascherate.
- Gestisce VPN (Virtual Private Network) per collegare sedi remote o permettere il lavoro da casa in sicurezza.
- Filtra i contenuti web (URL filtering) per bloccare siti dannosi o non appropriati.
- Registra e analizza il traffico (logging) per scoprire tentativi di intrusione o anomalie.
- Protegge da attacchi DDoS, scansioni di porte, malware e intrusioni (IPS/IDS).
- Separa reti diverse tramite VLAN, con regole di comunicazione personalizzate.
Firewall software vs hardware
Firewall software
- È un programma installato su un computer (Windows Firewall, iptables su Linux, pfSense su hardware generico).
- Pro: flessibile, aggiornabile, costo contenuto (spesso gratuito).
- Contro: consuma risorse del computer host, può essere disattivato dall'utente, meno performante su hardware non ottimizzato.
Firewall hardware (appliance)
- È un dispositivo dedicato, con hardware ottimizzato per lo scopo (Fortinet, Sophos, Palo Alto, Cisco).
- Pro: prestazioni elevate, affidabilità, funzionalità integrate (VPN, IPS, antivirus), non dipende da un PC acceso.
- Contro: costo iniziale più alto.
La scelta giusta per una PMI
Per la maggior parte delle PMI ticinesi (5-50 dipendenti), la scelta migliore è un'appliance hardware o un'installazione su hardware dedicato (tipo pfSense su un mini PC robusto). Le soluzioni software su PC condiviso non sono consigliate: se il PC si spegne, l'azienda resta senza Internet.
VPN integrata nel firewall
Un firewall aziendale moderno include funzioni VPN. Questo è importante per due scenari:
VPN per lavoro da remoto (VPN server)
I dipendenti che lavorano da casa o in trasferta si collegano al firewall aziendale tramite VPN (WireGuard, OpenVPN, IPsec) e accedono alle risorse interne (server, NAS, stampanti) come se fossero in ufficio.
VPN per sedi collegate (VPN site-to-site)
Se l'azienda ha due sedi (es. Lugano e Mendrisio), il firewall di ogni sede crea un tunnel VPN crittografato, unendo le due reti come se fossero una sola. I dati viaggiano cifrati su Internet.
Cosa cercare: supporto per WireGuard (moderno, veloce, efficiente) e OpenVPN (standard consolidato). Almeno 10-25 tunnel VPN simultanei per una PMI.
Filtraggio dei contenuti web (URL filtering)
Il filtraggio dei contenuti permette di:
- Bloccare categorie di siti: malware, phishing, violenza, gambling, social network (se l'azienda decide di limitarli).
- Permettere solo siti autorizzati su certi dispositivi (chioschi, postazioni self-service).
- Tenere log di navigazione per audit di conformità.
- Integrare blacklist aggiornate in tempo reale da feed di threat intelligence.
Per una PMI, è utile almeno per bloccare le categorie "malware" e "phishing". Alcuni firewall offrono questo servizio in abbonamento (FortiGuard, Sophos Web Protection, pfSense + pfBlockerNG).
Logging e monitoraggio
Un firewall senza log è come una dashcam senza scheda SD: utile, ma se succede qualcosa non hai traccia.
Cosa cercare
- Log dettagliati: connessioni bloccate, traffico sospetto, tentativi di login falliti.
- Dashboard intuitiva: per vedere in tempo reale il traffico, le minacce bloccate, l'uso della banda.
- Alert configurabili: notifiche email quando vengono bloccati attacchi o quando certi eventi superano soglie predefinite.
- Integrazione SIEM (opzionale per PMI più strutturate): invio log centralizzato per analisi avanzate.
Firewall UTM e NGFW: cosa significano
Nel mercato sentirai parlare di UTM (Unified Threat Management) e NGFW (Next-Generation Firewall).
- UTM: firewall + antivirus + IPS + filtro URL + VPN + antispam in un unico dispositivo. Tipico delle soluzioni per PMI (Fortinet FortiGate, Sophos XG).
- NGFW: evoluzione dell'UTM, con maggiore intelligenza: ispezione TLS/SSL decifrata, riconoscimento applicazioni (non solo porte), analisi comportamentale, sandboxing.
Per una PMI, un UTM è più che sufficiente. Il NGFW è indicato per aziende con esigenze di sicurezza elevate o compliance stringenti.
Come scegliere il firewall giusto per la tua PMI
1. Valuta il throughput necessario
Ogni firewall ha una capacità massima di traffico (espressa in Mbps). Scegli un modello che supporti almeno 1.5-2 volte la tua banda Internet, tenendo conto che le funzioni di sicurezza (DPI, VPN) riducono il throughput.
| Banda Internet | Throughput firewall consigliato | Esempi modelli |
|---|---|---|
| 50-100 Mbps | 200-500 Mbps | FortiGate 40F, Sophos XG 105 |
| 100-300 Mbps | 500-1000 Mbps | FortiGate 60F, Sophos XG 125 |
| 300-1000 Mbps | 1000-2000 Mbps | FortiGate 80F, Sophos XG 135 |
2. Numero di utenti e dispositivi
I firewall hanno limiti sul numero massimo di connessioni simultanee. Per una PMI con 10-30 utenti, un modello entry-level con supporto 50-100 utenti va bene. Considera anche dispositivi IoT e server.
3. Abbonamenti e licenze
Molti firewall aziendali richiedono abbonamenti annuali per:
- Aggiornamenti delle firme IPS/antivirus (~200-600 CHF/anno).
- Filtraggio URL e web protection (~100-300 CHF/anno).
- Supporto tecnico e aggiornamenti firmware (~100-400 CHF/anno).
Il costo totale va considerato su 3-5 anni, non solo l'acquisto iniziale.
4. Facilità di gestione
- Ha un'interfaccia web chiara? Puoi configurarlo senza un corso di specializzazione?
- Ha template o wizard per configurazioni comuni (VPN, VLAN, QoS)?
- Supporta cloud management per gestirlo da remoto?
5. Supporto locale in Ticino
Preferisci marche con rivenditori o assistenza in Ticino o nella Svizzera italiana. Se il firewall si blocca o va riconfigurato, avere un supporto che risponde in italiano e con fuso orario allineato fa la differenza.
Marche consigliate per PMI
| Marca | Pro | Contro | Ideale per |
|---|---|---|---|
| Fortinet FortiGate | Eccellente rapporto qualità-prezzo, UTM completo, facile da gestire | Abbonamento necessario per funzioni avanzate | PMI con 10-100 utenti |
| Sophos XG | Interfaccia intuitiva, ottimo filtro web, buon supporto | Licenze un po' care sulle fasce basse | PMI che vogliono semplicità |
| pfSense (su hardware dedicato) | Gratuito, estremamente flessibile, comunità attiva | Richiede competenze tecniche, nessun supporto ufficiale | Aziende con competenze IT interne |
| MikroTik (RouterOS + firewall) | Economico, potente, VPN WireGuard nativa | Curva di apprendimento ripida, interfaccia datata | Chi ha già competenze MikroTik |
| WatchGuard | Buona sicurezza, cloud management | Meno diffuso in Ticino | PMI attente alla compliance |
FAQ
1. Il firewall di Windows è sufficiente per un'azienda? No. Protegge solo quel singolo PC, non la rete. Un firewall aziendale protegge tutti i dispositivi (PC, server, stampanti, telefoni, IoT) e blocca le minacce prima che arrivino ai dispositivi.
2. Quanto costa un firewall per una PMI di 15 persone? Tra 500 e 1.500 CHF per l'hardware, più 200-600 CHF/anno di abbonamenti. Considerando che protegge l'intera rete aziendale, è un costo irrisorio rispetto ai danni potenziali di un attacco informatico.
3. Posso configurare il firewall da solo o serve un tecnico? Se hai competenze di rete (VLAN, VPN, regole firewall), puoi configurarlo tu. Altrimenti, affidati a un professionista. Una configurazione sbagliata può bloccare servizi legittimi o lasciare falle di sicurezza.
4. Il firewall rallenta la connessione? Minimamente, se scelto adeguatamente. Un firewall sottodimensionato (es. modello entry-level su fibra 1 Gbps) può introdurre latenza. Per questo è importante scegliere un modello con throughput adeguato alla propria banda.
5. Devo cambiare firewall ogni anno? No. Un buon firewall dura 5-7 anni, purché riceva aggiornamenti firmware e abbonamenti di sicurezza attivi. Valuta la sostituzione quando il produttore annuncia l'end-of-life del modello o quando la banda aziendale supera la capacità del dispositivo.
CTA
Vuoi proteggere la rete della tua azienda in Ticino con un firewall professionale? Ti aiutiamo a scegliere il modello giusto e lo configuriamo su misura per le tue esigenze. Richiedi una consulenza gratuita — analizziamo la tua situazione e ti proponiamo la soluzione più adatta.
