Un cliente in sala d’attesa chiede la password del Wi-Fi. Gliela si dà volentieri: è cortesia. Ma se quella rete è la stessa su cui girano il gestionale, il NAS con l’archivio e i computer dello studio, il suo telefono, magari infetto senza che lui lo sappia, si trova a pochi passi dai documenti dei clienti. Vediamo perché conviene creare una rete Wi-Fi ospiti separata e, più in generale, segmentare la rete dell’ufficio.
Cos’è la segmentazione della rete?
Segmentare la rete significa dividerla in più zone isolate tra loro, in modo che i dispositivi di una zona non possano comunicare con quelli di un’altra se non attraverso regole precise. È come dividere un edificio in reparti con porte chiuse a chiave: chi entra nella hall non arriva automaticamente all’archivio.
Tecnicamente le zone si chiamano spesso VLAN (reti locali virtuali): reti separate che possono condividere gli stessi cavi e gli stessi apparati, ma restano distinte. A decidere cosa può passare da una zona all’altra è il firewall (→ perché il router non basta).
Perché è importante? Il problema della “rete piatta”
Nella maggior parte dei piccoli uffici la rete è “piatta”: tutti vedono tutti. Questo significa che:
- un PC infettato da un ransomware può raggiungere il NAS e cifrare l’archivio (→ ransomware negli studi);
- un dispositivo dell’ospite può curiosare tra le cartelle condivise;
- una telecamera vulnerabile può diventare il punto d’ingresso per un attaccante che poi si sposta verso i computer.
Gli attaccanti chiamano questo spostamento movimento laterale: entrano dal punto più debole e si muovono verso quello più prezioso. La segmentazione lo rende molto più difficile.
Il problema dei dispositivi IoT
Con IoT (Internet of Things, Internet delle cose) si indicano tutti gli oggetti connessi che non sono computer: telecamere, videocitofoni, stampanti multifunzione, NAS, centralini VoIP, smart TV in sala riunioni, termostati, sistemi di allarme.
Sono comodi, ma spesso:
- escono di fabbrica con password predefinite note a tutti;
- ricevono aggiornamenti rari o li ricevono per pochi anni;
- espongono servizi su internet per l’accesso da remoto (per esempio l’app per vedere le telecamere dal telefono);
- non possono ospitare un antivirus.
Da anni i dispositivi IoT vulnerabili vengono usati in massa dai criminali per formare botnet, reti di apparecchi infetti usate per gli attacchi DDoS, cioè attacchi che saturano un servizio con traffico. Secondo il Rapporto Clusit 2026, i DDoS sono stati la tecnica più frequente negli incidenti gravi in Italia nel 2025, pari al 38,5% del totale.
Le tre reti di un piccolo ufficio
Per uno studio di 5-50 persone, uno schema semplice ed efficace è questo:
| Rete | Chi ci sta | Cosa può fare | Cosa non può fare |
|---|---|---|---|
| Lavoro | Computer, portatili dello studio, server o NAS | Accedere a internet, gestionale, archivio, stampanti | Essere raggiunta dalle altre reti |
| Ospiti | Smartphone e portatili di clienti e visitatori, dispositivi personali | Solo navigare su internet | Vedere qualsiasi dispositivo dello studio |
| Dispositivi | Stampanti, telecamere, centralino, smart TV, domotica | Le sole comunicazioni necessarie (es. ricevere stampe, inviare aggiornamenti) | Navigare liberamente o raggiungere i computer |
A seconda dei casi si può aggiungere una quarta rete per l’amministrazione degli apparati, accessibile solo al tecnico.
Come fare in pratica
- Fai l’inventario: elenca tutti i dispositivi collegati (spesso se ne scoprono di dimenticati).
- Crea un Wi-Fi ospiti separato, con password diversa da cambiare periodicamente e con l’opzione “isolamento dei client” attiva, così gli ospiti non si vedono nemmeno tra loro.
- Sposta stampanti, telecamere e dispositivi smart nella rete dispositivi.
- Configura le regole sul firewall: per esempio, i computer possono inviare stampe alla stampante, ma la stampante non può aprire connessioni verso i computer.
- Niente telecamere esposte su internet: per vederle da fuori usa la VPN dello studio, non porte aperte sul router.
- Documenta lo schema: una pagina con le reti, cosa c’è in ciascuna e chi ha le password.
La segmentazione richiede un apparato in grado di gestirla (firewall e access point con supporto VLAN) e un po’ di lavoro iniziale del tecnico. Una volta fatta, però, resta.
8 regole per i dispositivi IoT
- Cambia subito la password predefinita, con una lunga e unica (→ guida alle password).
- Aggiorna il firmware e attiva gli aggiornamenti automatici se disponibili.
- Disattiva i servizi che non usi (accesso remoto, UPnP, servizi cloud non necessari).
- Tienili nella rete dispositivi, mai in quella di lavoro.
- Niente porte aperte sul router per raggiungerli da fuori.
- Scegli prodotti con aggiornamenti garantiti: dal dicembre 2027, con il Cyber Resilience Act europeo, i prodotti connessi venduti nell’UE dovranno rispettare requisiti di sicurezza e garantire aggiornamenti.
- Sostituisci quelli non più supportati.
- Fai attenzione alle stampanti multifunzione: conservano copie dei documenti scansionati e spesso inviano email; trattale come un computer.
Come aiuta Strega Defence
La Strega Defence Box è l’unico punto di passaggio tra l’ufficio e internet e, per impostazione, chiude tutto ciò che non serve. Osserva il traffico e si accorge, per esempio, se un dispositivo inizia a parlare con un server sospetto: in quel caso isola da sola il dispositivo sospetto dal resto della rete e avvisa il titolare sul telefono, finché il tecnico non lo controlla. Nota: la riprogettazione completa della rete (separazione in VLAN, configurazione di access point e switch) è un lavoro a parte, da affidare al proprio tecnico di fiducia o a un partner. Scopri Strega Defence.
Per una verifica generale della sicurezza dello studio, prova la checklist in 10 domande.
Domande frequenti
Perché il Wi-Fi degli ospiti deve essere separato?
Perché i dispositivi dei visitatori non sono sotto il tuo controllo e potrebbero essere infetti. Se condividono la rete con i computer dello studio, possono raggiungere cartelle condivise, NAS e stampanti. Una rete ospiti separata permette loro solo di navigare su internet.
Cos’è una VLAN, in parole semplici?
È una rete virtuale: permette di creare più reti separate usando gli stessi cavi e gli stessi apparati. I dispositivi di una VLAN non comunicano con quelli di un’altra, se non attraverso le regole stabilite sul firewall.
Una stampante può essere un rischio per la sicurezza?
Sì. Le stampanti multifunzione sono veri computer: conservano copie dei documenti, inviano email, hanno pannelli di gestione accessibili in rete e ricevono aggiornamenti di rado. Vanno aggiornate, protette con password e tenute su una rete separata.
Le telecamere di sorveglianza possono essere hackerate?
Sì, soprattutto se usano password predefinite, non vengono aggiornate o sono esposte su internet per la visione da remoto. Il rischio è sia di intrusione nella privacy sia di uso della telecamera come porta d’ingresso nella rete o in una botnet.
Il router dell’operatore può creare una rete ospiti?
Molti router offrono una rete ospiti di base, utile come primo passo. Di solito però non permettono di creare più reti con regole dettagliate, né di sorvegliare il traffico tra di esse. Per uno studio conviene un firewall che gestisca la segmentazione.
Fonti e approfondimenti
- Rapporto Clusit 2026 – dati principali — Clusit, 11 marzo 2026.
- Cyber Resilience Act — Commissione europea.
- Regolamento (UE) 2024/2847 (Cyber Resilience Act) — EUR-Lex.
- Consigli utili per i professionisti IT delle PMI (PDF) — Agenzia per la Cybersicurezza Nazionale.
- ENISA Threat Landscape 2025 — ENISA.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
