Protezione della rete Wi-Fi aziendale: il passaggio di sicurezza che blocca l’infiltrazione di spie

Quando entro in azienda per un sopralluogo, la rete Wi‑Fi è quasi sempre il varco più comodo per chi vuole curiosare senza farsi notare. Le “spie” oggi non arrivano in trench: sono device non autorizzati, consulenti troppo informati o vicini di ufficio con un’antenna potente. La buona notizia è che c’è un passaggio di sicurezza capace, da solo, di togliere l’aria a chi prova a infiltrarsi.

Il passaggio decisivo: basta password condivisa, via con l’autenticazione per dispositivo

Se nella vostra azienda usate ancora una singola password per il Wi‑Fi (la classica PSK scritta su un foglio o mandata via e‑mail), state offrendo a chiunque un lasciapassare. Quel lasciapassare circola, non si aggiorna, finisce in mano a ex fornitori e stagisti. Il salto che blocca le infiltrazioni è passare all’autenticazione per dispositivo con certificati digitali: WPA‑Enterprise con IEEE 802.1X, preferibilmente EAP‑TLS.

In pratica, ogni computer, smartphone o tablet aziendale ha un certificato univoco. Il punto di accesso e il server RADIUS controllano quel certificato a ogni connessione. Se il dipendente se ne va o il device si perde, si revoca il certificato e quell’apparato non entra più, anche se conosceva la vecchia password. Fine dei “passaggi” sotto banco.

Potrebbe interessarti anche

Tracciamento dei dati GPS nei pedinamenti professionali: il vantaggio tecnologico per prove concreteQuali app usa davvero un investigatore per monitorare account social? La selezione che massimizza la precisioneInstallare telecamere nascoste in casa: l’errore comune che può invalidare le proveUso delle telecamere in negozio e rispetto della normativa: il dettaglio che porta alla conformità

Per molte PMI il timore è la complessità. In realtà, oggi esistono soluzioni cloud RADIUS che si configurano in poche ore. Io consiglio: EAP‑TLS, certificati distribuiti via MDM o, dove non c’è MDM, con un breve onboarding guidato. Si può mantenere temporaneamente una rete legacy isolata, solo per vecchi apparati, mentre si migra il resto.

Caso reale: consulente furbo, rete “aperta” di fatto

Mi è capitato di recente in una società di logistica a Monza. Consulente IT uscente, rancoroso, aveva la password Wi‑Fi PSK e l’aveva passata a due colleghi rimasti in un appalto vicino. Dai log abbiamo notato connessioni fuori orario e picchi di traffico su un gestionale. Nessun malware: solo uso improprio. Soluzione? In 72 ore abbiamo attivato WPA2‑Enterprise con EAP‑TLS su un nuovo SSID, distribuito certificati ai laptop via MDM e, in parallelo, isolato l’SSID vecchio in una VLAN senza accesso ai server. Il quarto giorno il vecchio SSID è stato spento. Le connessioni sospette sono sparite. Nessuna caccia alla talpa: gli abbiamo tolto la sedia.

Piano operativo in 48 ore

Se volete replicare il passaggio chiave con pragmatismo, ecco come partire lunedì e respirare già mercoledì:

• Inventario: elencate i dispositivi che devono accedere alle risorse interne e quelli solo a Internet (ospiti, stampanti legacy).
• Nuovo SSID “Azienda‑SECURE”: abilitate WPA‑Enterprise con server RADIUS; scegliete EAP‑TLS come metodo.
• Certificati: usate una CA interna o un servizio cloud; distribuite i certificati ai dispositivi tramite MDM o assistenza IT.
• Segmentazione: mettete l’SSID legacy e la rete ospiti in VLAN separate, con firewall che nega l’accesso ai server interni.
• Revoche: definite la procedura per revocare subito i certificati di chi lascia l’azienda o perde il device.
• Test e switch: provate con un gruppo pilota, poi spostate a scaglioni il resto degli utenti.
• Spegnimento del passato: disattivate l’SSID con password condivisa entro una settimana, non lasciatelo “per sicurezza”.

Difese complementari che fanno la differenza

L’autenticazione per dispositivo è la barriera principale. Ma una rete che funziona sul campo richiede qualche mossa in più, rapida da mettere a terra:

Isolate gli ospiti davvero. La rete guest deve vedere solo Internet, con client isolation attivo e limiti di banda. Niente stampanti interne, niente NAS.

Spegnere il WPS. La configurazione con pulsante o PIN è ancora una delle scappatoie preferite negli uffici. Disattivatelo senza tentennare.

Controllo dei canali e della potenza. Un AP che spara troppo lontano porta il vostro segnale in strada. Riducete la potenza dove possibile, fate un piccolo site survey e ridistribuite gli AP per coprire zone critiche.

WIDS/WIPS base. Molti access point business includono funzioni di rilevamento di “evil twin” e AP non autorizzati. Attivate gli allarmi minimi: SSID clonato, de‑auth massivi, MAC spoofing sospetto.

Firmware e chiavi di management. Aggiornate trimestralmente. Cambiate le credenziali di amministrazione degli AP e del controller; abilitate l’accesso solo da IP di gestione e, se possibile, con MFA.

DNS filtrato. Aggiungete un resolver DNS con blocco di domini malevoli: riduce l’impatto di un device compromesso connesso al Wi‑Fi.

Errori tipici da evitare

• Lasciare attiva la vecchia rete PSK “per qualche mese” in parallelo. Diventa quella che tutti continuano a usare.
• Consegnare certificati senza un piano di revoca e scadenza. Senza revoche, tornate al problema iniziale.
• Non segmentare stampanti e IoT. Sono il ponte preferito per muoversi in laterale.
• Delegare tutto al fornitore senza log di controllo. Senza visibilità, non potete indagare quando succede qualcosa.
• Ignorare gli orari. Account che si collegano alle 3 di notte? Devono generare un alert, non una spallucciata.

Log e indagini: se non lo misuri, non lo proteggi

Lavorando nelle sale controllo ho imparato che i log sono amici, ma solo se leggibili. Centralizzate gli eventi di autenticazione RADIUS, connessioni agli AP, tentativi falliti e cambi di configurazione. Anche un semplice syslog con retention di 90 giorni è sufficiente per ricostruire una dinamica. Impostate alert per: più di 5 fallimenti su un device, nuovo AP apparso, SSID con nome simile al vostro, connessioni fuori orario.

Quando un lettore mi ha chiesto come “vedere” chi sniffa fuori dall’ufficio, gli ho suggerito un giro settimanale con un laptop e un’app di survey: se trovate un SSID gemello del vostro con potenza anomala vicino all’ingresso, fermatevi e verificate. Spesso è solo un ripetitore improvvisato da un collega, ma quando non lo è bisogna spegnere il twin e ruotare i certificati coinvolti.

Conformità e buon senso

Passare a 802.1X ed EAP‑TLS aiuta anche sul fronte compliance. Con l’autenticazione per dispositivo potete dimostrare tracciabilità degli accessi e principio di minimizzazione, linee in linea con GDPR. Non serve accumulare dati sensibili: bastano metadati tecnici per gli audit, conservati per il tempo strettamente necessario e protetti.

Se avete dati particolarmente critici o volete allinearvi a standard di gestione, inserite la migrazione del Wi‑Fi nel perimetro del vostro SGSI e definite policy documentate, come richiesto da ISO/IEC 27001. Non è burocrazia: è ciò che rende ripetibile e difendibile il vostro processo quando qualcuno vi chiede conto.

La linea del traguardo

Non serve rifare l’intera infrastruttura per togliere l’ossigeno alle spie: il passaggio che conta è eliminare la password condivisa e legare ogni accesso a un certificato per dispositivo, con revoche rapide. Fate seguire segmentazione, WPS off, log e alert essenziali. In una settimana passate da “rete di cortesia” a “rete professionale”.

L’ho visto decine di volte: appena la porta della PSK si chiude, i curiosi spariscono e voi tornate a lavorare. Se vi serve una mano a costruire il piano passo per passo, scrivetemi: porto io il cacciavite, voi portate l’elenco dei dispositivi.