Accesso remoto sicuro: VPN, MFA ed errori da evitare

Lavorare da casa, collegarsi al gestionale da un cantiere, permettere a un fornitore di assistere un macchinario: l'accesso remoto è diventato una necessità quotidiana. Ma ogni porta aperta verso l'esterno è anche un possibile punto d'ingresso per un attaccante. Le credenziali di accesso remoto rubate o deboli sono tra le vie più sfruttate per entrare nelle reti aziendali.

Le soluzioni più comuni per l'accesso remoto

VPN

La VPN (Virtual Private Network) crea un tunnel cifrato tra il dispositivo remoto e la rete aziendale. È la soluzione più diffusa e, se configurata bene, è affidabile. Di solito è gestita dal firewall aziendale.

Accesso basato sull'identità (Zero Trust)

Un approccio più moderno, spesso chiamato ZTNA (Zero Trust Network Access), non collega l'utente all'intera rete, ma solo alle singole applicazioni per cui è autorizzato, verificando ogni volta identità e stato del dispositivo. Riduce molto i danni in caso di credenziali compromesse.

Applicazioni in cloud

Quando posta, documenti e gestionale sono in cloud, ad esempio in Microsoft 365 o Google Workspace, una parte dell'accesso remoto non passa più dalla rete aziendale. La sicurezza si sposta sulla protezione degli account.

Strumenti di controllo remoto

Usati per l'assistenza tecnica. Sono utili, ma vanno governati: installati solo dove serve, con accessi tracciati e mai lasciati liberamente attivi.

L'autenticazione a più fattori è obbligatoria, di fatto

Una password da sola non basta: può essere rubata con un'email di phishing, indovinata o riutilizzata da un altro servizio violato. L'autenticazione a più fattori (MFA) aggiunge una verifica, come un codice o una notifica su app, una chiave fisica o il riconoscimento biometrico.

Per l'accesso remoto, la MFA dovrebbe essere attiva sempre e per tutti, compresi amministratori e fornitori. È una delle misure con il miglior rapporto tra costo e protezione. Tra i metodi disponibili, quelli basati su app con notifica e conferma del numero o su chiavi fisiche sono più resistenti degli SMS.

Errori da evitare

• Esporre il desktop remoto direttamente su Internet: aprire la porta del desktop remoto di un server o di un pc verso l'esterno è uno degli errori più pericolosi. Questi servizi vengono scansionati e attaccati di continuo.
• Account condivisi: un'unica utenza "remoto" usata da più persone rende impossibile capire chi ha fatto cosa.
• VPN senza MFA o con password deboli.
• Apparati non aggiornati: le vulnerabilità di VPN e firewall vengono sfruttate rapidamente dopo la pubblicazione. Gli aggiornamenti vanno applicati con priorità.
• Accesso illimitato: chi deve usare solo il gestionale non ha bisogno di raggiungere tutta la rete.
• Fornitori sempre connessi: l'accesso dei tecnici esterni dovrebbe essere attivato quando serve e disattivato subito dopo.
• Account dimenticati: utenze di ex dipendenti o vecchi fornitori ancora attive.
• Dispositivi personali non controllati: un pc di casa infetto collegato in VPN porta il problema dentro l'azienda.

Buone pratiche per un accesso remoto sicuro

• MFA su ogni accesso remoto, senza eccezioni.
• Utenze nominative per dipendenti e fornitori.
• Principio del minimo privilegio: ogni utente raggiunge solo le risorse necessarie, anche grazie alla segmentazione della rete.
• Dispositivi aziendali gestiti, con antivirus o EDR, cifratura del disco e aggiornamenti.
• Registrazione degli accessi e monitoraggio di anomalie, come accessi da paesi insoliti o in orari strani.
• Revisione periodica delle utenze abilitate.
• Firewall aggiornato e configurato secondo le indicazioni del produttore. Approfondisci nell'articolo sui firewall di nuova generazione.

Checklist rapida

• ☐ Nessun desktop remoto esposto direttamente su Internet
• ☐ MFA attiva per tutti gli accessi remoti
• ☐ Utenze nominative, nessun account condiviso
• ☐ Accessi limitati alle sole risorse necessarie
• ☐ Accesso dei fornitori attivato solo quando serve
• ☐ VPN e firewall aggiornati
• ☐ Log degli accessi conservati e controllati

E i fornitori dei macchinari?

Nelle aziende produttive capita spesso che il costruttore di una macchina abbia un proprio dispositivo di teleassistenza collegato alla rete. Va censito, isolato in un segmento dedicato e controllato: è un accesso remoto a tutti gli effetti, anche se non lo gestisce l'IT. Ne parliamo nell'articolo sulla sicurezza delle reti industriali.

Come può aiutarti Area GUI

Area GUI verifica come oggi si accede da remoto ai tuoi sistemi, chiude le esposizioni rischiose e configura VPN o accessi basati sull'identità con autenticazione a più fattori. Scopri il servizio reti e Wi-Fi o la nostra offerta di Access Security, e contattaci per una verifica.