Sicurezza
Software su Internet o solo in rete locale: rischi e scelte.
“Vorrei usare il gestionale anche da casa” è una richiesta frequente. La risposta più veloce, aprire una porta sul router, è anche la più rischiosa. Prima di decidere conviene capire cosa significa davvero mettere un servizio su Internet e quali alternative esistono.
Di Alessandro Negru · Sviluppatore software · · 4 min di lettura
01 / Le basi
Su Internet o in rete locale
Un servizio in rete locale è raggiungibile solo da chi è collegato alla rete dell’ufficio, via cavo o Wi-Fi. Un servizio esposto su Internet risponde a chiunque, da qualsiasi parte del mondo, conosca o trovi il suo indirizzo.
“Trovare” è la parola chiave: esistono programmi automatici che scandiscono continuamente tutti gli indirizzi di Internet alla ricerca di servizi aperti. Un gestionale esposto viene scoperto in poche ore, anche se nessuno ne conosce l’esistenza.
02 / I rischi
Cosa rischia un servizio esposto
- Tentativi di accesso continui: programmi che provano migliaia di combinazioni di utenti e password.
- Vulnerabilità note: un software non aggiornato può avere difetti già pubblicati, che chiunque può sfruttare.
- Ransomware: molti attacchi alle piccole aziende partono proprio da un accesso remoto lasciato aperto.
- Dati personali: una violazione può comportare obblighi di notifica al Garante e ai clienti coinvolti.
Questo non significa che nulla debba stare su Internet: un sito o un portale clienti nasce per essere raggiungibile. Significa che ciò che si espone deve essere progettato per esserlo.
03 / Le alternative
Tre modi per raggiungere un software da fuori
| Aspetto | Porta aperta sul router | VPN | Pubblicazione controllata |
|---|---|---|---|
| Chi lo vede | Tutto Internet | Solo i dispositivi autorizzati | Tutto Internet, ma solo la parte prevista |
| Adatto a | Quasi mai | Gestionali interni, server, NAS | Siti, portali clienti, app |
| Protezioni | Quelle del singolo programma | Accesso alla rete per utente e dispositivo | HTTPS, limiti ai tentativi, ruoli, monitoraggio |
| Manutenzione | Facile da dimenticare | Bassa con le soluzioni mesh | Aggiornamenti e controlli continui |
Per uno strumento usato solo dai dipendenti la scelta naturale è una VPN aziendale: il software resta invisibile da Internet e si raggiunge solo dai dispositivi autorizzati. Per un servizio pensato per clienti e fornitori serve invece una pubblicazione progettata con cura.
04 / Il criterio
Cosa esporre e cosa no
La regola è esporre il minimo indispensabile. In pratica:
- il database non deve mai essere raggiungibile da Internet, nemmeno con una password;
- pannelli di amministrazione e strumenti tecnici dovrebbero stare dietro una VPN o almeno avere protezioni aggiuntive;
- la parte pubblica passa da un unico punto d’ingresso, con HTTPS, che inoltra solo le richieste previste.
E il desktop remoto?
Il desktop remoto di Windows aperto direttamente su Internet è uno dei bersagli più colpiti. Se serve, va usato solo attraverso una VPN.
05 / Esperienza sul campo
Un esempio reale
Il portale clienti di Toscana Stampaggi deve essere su Internet, perché i clienti lo usano da ovunque. L’ho organizzato in livelli separati:
- solo il server web (Caddy) è raggiungibile dall’esterno, e solo in HTTPS;
- l’applicazione e il database stanno su reti interne che da Internet non si vedono;
- gli allegati degli ordini non sono mai pubblicati direttamente: si scaricano solo dopo aver verificato che l’utente ne abbia diritto;
- gli strumenti di monitoraggio sono raggiungibili solo attraverso la VPN Tailscale.
Le domande da fare
- Quali programmi della mia azienda sono raggiungibili da Internet oggi?
- Chi ha aperto quelle porte, quando e perché?
- Chi li usa davvero da fuori: dipendenti, clienti o nessuno?
- Chi si accorge se qualcuno prova ad entrare?
Se a qualcuna di queste domande nessuno sa rispondere, è il momento di fare un controllo.