Sicurezza di Rete Aziendale 2026: Guida SASE, ZTNA e NDR
Il mercato globale del SASE (Secure Access Service Edge) raggiungerà i 15,54 miliardi di dollari nel 2026, con un tasso di crescita annuo composto del 29% secondo Gartner. Parallelamente, il 65% delle grandi imprese prevede di sostituire le proprie VPN aziendali con soluzioni ZTNA entro la fine dell'anno, secondo la stessa fonte. Questi dati riflettono una trasformazione strutturale nella sicurezza di rete aziendale: il perimetro tradizionale non esiste più e gli strumenti progettati per proteggerlo non sono più sufficienti.
Le reti aziendali odierne sono ibride, distribuite e multicloud. Dipendenti che lavorano da qualsiasi luogo, applicazioni ospitate presso più provider cloud, dispositivi IoT che si connettono direttamente alla rete operativa. In questo contesto, affidarsi a un firewall perimetrale come principale linea di difesa equivale a proteggere una città senza mura con un unico portone d'accesso.
Questa guida fornisce un'architettura pratica di sicurezza di rete organizzata in sei livelli: microsegmentazione, firewall di nuova generazione (NGFW), SASE/SSE, ZTNA, NDR e controlli specifici per ambienti ibridi. Ogni sezione include criteri di selezione, fasi di implementazione e riferimenti a standard riconosciuti. Per un contesto più ampio sulla strategia globale di cybersicurezza, consultate la nostra guida completa alla cybersicurezza aziendale.
Il Perimetro di Rete Non Esiste Più
Per decenni, la sicurezza di rete si è basata sul modello del castello con fossato: un confine chiaramente definito tra la rete interna (affidabile) e l'esterno (ostile). I firewall perimetrali, le DMZ e le VPN costituivano le difese principali. Questo modello funzionava ragionevolmente bene quando tutti i dipendenti lavoravano dagli uffici aziendali e tutte le applicazioni risiedevano in data center di proprietà.
Tre forze hanno demolito quel perimetro. In primo luogo, l'adozione massiccia del cloud: i workload non risiedono più in un unico data center, ma sono distribuiti tra AWS, Azure, GCP e ambienti on-premise. In secondo luogo, il lavoro remoto e ibrido, che ha trasformato ogni abitazione e ogni bar in un'estensione della rete aziendale. In terzo luogo, la proliferazione di dispositivi IoT e OT che si connettono alla rete con sistemi operativi limitati e capacità di sicurezza minime.
Il rapporto Verizon DBIR 2025 documenta che il 30% delle violazioni della sicurezza origina da terzi con accesso alla rete aziendale. Un fornitore, un appaltatore o un partner con credenziali VPN legittime che accede da un dispositivo compromesso rappresenta un vettore di attacco diretto che il firewall perimetrale non è in grado di rilevare.
Il problema fondamentale delle reti piatte è il movimento laterale. Quando un attaccante ottiene l'accesso iniziale — sia tramite phishing, credenziali rubate o lo sfruttamento di una vulnerabilità — una rete priva di segmentazione gli consente di muoversi liberamente tra server, database e sistemi critici. Secondo ENISA Threat Landscape 2025, il tempo medio dall'accesso iniziale all'esfiltrazione dei dati si è ridotto a poche ore negli attacchi sofisticati, mentre il rilevamento richiede ancora giorni o settimane. L'unico modo per arrestare quel movimento laterale è progettare la rete in modo che ogni segmento sia isolato e che ogni comunicazione richieda un'autorizzazione esplicita.
Microsegmentazione di Rete: La Base della Difesa in Profondità
La microsegmentazione divide la rete in zone di sicurezza granulari in cui ogni workload, applicazione o servizio opera in un segmento isolato con criteri di accesso specifici. A differenza della segmentazione tradizionale basata su VLAN e subnet, la microsegmentazione applica controlli a livello di singolo workload, indipendentemente dalla sua posizione nella rete.
Macrosegmentazione vs. microsegmentazione. La macrosegmentazione divide la rete in ampie zone: produzione, sviluppo, DMZ, utenti. La microsegmentazione va oltre: all'interno della zona di produzione, ogni applicazione o gruppo di servizi dispone del proprio perimetro virtuale. Un server web può comunicare solo con il server applicativo corrispondente, che a sua volta accede solo al database di cui ha bisogno. Se un attaccante compromette il server web, non può raggiungere altri database né altri servizi nella stessa zona.
CIS Controls v8, Controllo 12 (Gestione dell'Infrastruttura di Rete), stabilisce la segmentazione come misura fondamentale per limitare la portata di un incidente. NIST SP 800-207 la considera un componente essenziale dell'architettura Zero Trust.
Implementazione in cinque fasi.
- Mappare il traffico est-ovest. Prima di segmentare, è indispensabile comprendere come i workload comunicano tra loro. Gli strumenti di analisi del traffico generano una mappa delle dipendenze che rivela le comunicazioni legittime e, frequentemente, flussi inattesi che rappresentano un rischio.
- Definire le policy in base alla classificazione dei dati. Le zone di segmentazione devono allinearsi alla sensibilità dei dati che elaborano. I sistemi che gestiscono dati finanziari, dati personali o proprietà intellettuale richiedono segmenti con controlli più restrittivi.
- Implementare tramite SDN o agenti host. La microsegmentazione può essere distribuita a livello di rete tramite SDN (Software-Defined Networking) o a livello host tramite agenti installati su ogni workload. L'approccio basato su agenti offre una maggiore granularità e funziona in ambienti multicloud.
- Testare con una simulazione di movimento laterale. Prima di attivare le policy in modalità di blocco, è necessario verificare che le regole non interrompano le comunicazioni legittime e che impediscano effettivamente il movimento laterale non autorizzato.
- Monitorare continuamente. Le policy di microsegmentazione devono evolversi con l'infrastruttura. Nuovi servizi, cambiamenti nelle dipendenze e aggiornamenti richiedono una revisione periodica delle regole.
Nel settore finanziario, la microsegmentazione è particolarmente rilevante per la conformità a PCI DSS 4.0, che richiede l'isolamento dell'ambiente dati dei titolari di carta (CDE) dal resto della rete aziendale. Una microsegmentazione adeguata riduce significativamente il perimetro di conformità PCI DSS e, di conseguenza, il costo degli audit.
Firewall di Nuova Generazione (NGFW)
I firewall di nuova generazione (NGFW) superano le capacità di un firewall tradizionale integrando funzioni che in precedenza richiedevano dispositivi separati. Un NGFW combina il filtraggio dei pacchetti con stato, l'ispezione approfondita dei pacchetti (DPI), un sistema di prevenzione delle intrusioni (IPS), l'ispezione del traffico TLS cifrato, l'identificazione di utenti e applicazioni e l'integrazione con feed di intelligence sulle minacce.
| Dimensione | Firewall tradizionale | NGFW |
|---|---|---|
| Ispezione | Intestazioni di pacchetto (L3/L4) | Contenuto completo (L7) |
| Identificazione | IP e porta | Utente, applicazione, contesto |
| Prevenzione delle intrusioni | Richiede dispositivo separato | IPS/IDS integrato |
| Traffico cifrato | Non ispezionato | Decifratura e ispezione TLS |
| Intelligence sulle minacce | Manuale, basata su firme | Automatica, in tempo reale |
IDS vs. IPS: un chiarimento necessario. Un IDS (Intrusion Detection System) rileva e avvisa di attività sospette ma non le blocca. Un IPS (Intrusion Prevention System) rileva e blocca automaticamente. I moderni NGFW integrano l'IPS con la capacità di operare in modalità IDS quando è richiesta visibilità senza blocco durante le fasi di test.
Tuttavia, un NGFW da solo non costituisce una strategia di sicurezza di rete completa. Il NGFW protegge i punti di ingresso e uscita della rete (traffico nord-sud), ma non controlla le comunicazioni interne (traffico est-ovest) dove la microsegmentazione è indispensabile. Inoltre, in un ambiente in cui gli utenti accedono direttamente alle applicazioni cloud senza passare per la rete aziendale, il NGFW perimetrale non vede nemmeno quel traffico. È qui che ZTNA e SASE completano l'architettura.
Criteri di selezione di un NGFW. Nella valutazione delle soluzioni, le tre metriche più rilevanti sono: le prestazioni reali con tutte le funzioni di ispezione attive (non solo il throughput grezzo), il tasso di falsi positivi dell'IPS (che determina il carico operativo del team di sicurezza) e la capacità di integrazione nativa con il SIEM aziendale per la correlazione degli eventi.
SASE e SSE: La Convergenza di Rete e Sicurezza
SASE (Secure Access Service Edge), concetto definito da Gartner nel 2019, rappresenta la convergenza delle funzioni di rete (SD-WAN) e di sicurezza (SWG, CASB, ZTNA, FWaaS) in un servizio unificato erogato dal cloud. Secondo Gartner, il 60% delle aziende con una strategia SD-WAN avrà migrato a un'architettura SASE completa entro la fine del 2026.
I cinque componenti di SASE.
- SD-WAN (Software-Defined Wide Area Network). Gestione intelligente del traffico WAN che ottimizza le prestazioni e riduce i costi rispetto a MPLS. Incorpora la cifratura del traffico, la segmentazione e la selezione dinamica del percorso in base alle policy applicative.
- SWG (Secure Web Gateway). Ispezione del traffico web in uscita per bloccare l'accesso a siti dannosi, filtrare i contenuti e applicare le policy di utilizzo accettabile. Sostituisce i proxy web tradizionali.
- CASB (Cloud Access Security Broker). Visibilità e controllo sull'utilizzo delle applicazioni cloud (SaaS). Rileva lo shadow IT, applica policy DLP nelle applicazioni cloud e monitora le attività anomale degli utenti.
- ZTNA (Zero Trust Network Access). Accesso remoto sicuro basato su identità e contesto, senza esporre la rete sottostante. Viene dettagliato nella sezione successiva.
- FWaaS (Firewall as a Service). Funzionalità di firewall erogata dal cloud, che applica policy di sicurezza al traffico indipendentemente dalla posizione dell'utente.
SASE vs. SSE. SSE (Security Service Edge) è il sottoinsieme di sicurezza di SASE, senza la componente SD-WAN. Le organizzazioni che hanno già un investimento significativo nell'infrastruttura WAN possono adottare SSE per ottenere le capacità di sicurezza cloud (SWG, CASB, ZTNA, FWaaS) senza sostituire la soluzione di connettività esistente.
Sicurezza SD-WAN. Nelle sedi remote, SD-WAN integra la cifratura IPsec/TLS in tutti i tunnel, la segmentazione del traffico per applicazione e, nelle implementazioni più avanzate, funzionalità NGFW integrate nel dispositivo di filiale. Questo elimina la necessità di reindirizzare tutto il traffico degli uffici remoti al data center centrale per l'ispezione, riducendo la latenza e migliorando l'esperienza utente.
| Criterio | Architettura on-premise | Architettura SASE |
|---|---|---|
| Latenza per gli utenti remoti | Alta (backhauling al datacenter) | Bassa (PoP vicino all'utente) |
| Complessità operativa | Alta (più dispositivi) | Media (console unificata) |
| Scalabilità | Richiede hardware aggiuntivo | Elastica, on demand |
| Modello di costo | CAPEX elevato + manutenzione | OPEX prevedibile |
| Sicurezza per l'accesso diretto al cloud | Limitata | Nativa |
La migrazione a SASE deve essere affrontata in modo incrementale. Un approccio comune inizia con ZTNA per sostituire la VPN, aggiunge SWG e CASB per il controllo del traffico cloud e infine integra SD-WAN per ottimizzare la connettività WAN. Il nostro team di consulenza in cybersicurezza accompagna le organizzazioni in ogni fase di questa transizione.
ZTNA: La Sostituzione Definitiva della VPN Aziendale
Il 65% delle grandi imprese prevede di sostituire le proprie VPN con soluzioni ZTNA nel 2026, secondo Gartner. Le ragioni sono sia di sicurezza che operative: le VPN tradizionali presentano vulnerabilità strutturali che ZTNA risolve per progettazione.
Rischi della VPN tradizionale. Una VPN aziendale concede all'utente accesso completo alla rete interna una volta autenticato. Se le credenziali dell'utente sono compromesse, o se il suo dispositivo è infetto, l'attaccante ottiene lo stesso accesso di un dipendente legittimo: visibilità su tutte le risorse della rete. Inoltre, le stesse piattaforme VPN sono bersagli frequenti di attacchi. I CVE pubblicati contro i principali produttori di VPN nel 2024 e 2025 dimostrano che i concentratori VPN esposti a Internet rappresentano una superficie di attacco significativa.
Meccanismo di ZTNA. ZTNA (Zero Trust Network Access) inverte il modello di accesso. Invece di connettere l'utente alla rete e permettergli di navigarla, ZTNA stabilisce un tunnel cifrato tra l'utente e unicamente l'applicazione o la risorsa specifica di cui ha bisogno. La rete sottostante rimane invisibile. Ogni sessione richiede la verifica dell'identità, la valutazione dello stato del dispositivo e la validazione del contesto di accesso. Non esiste accesso implicito: ogni risorsa richiede un'autorizzazione esplicita.
NIST SP 800-207 (Zero Trust Architecture) definisce i principi fondamentali di questo modello: verifica continua, privilegio minimo, assunzione di violazione e decisioni di accesso basate su segnali multipli (identità, dispositivo, posizione, comportamento).
Due modelli di distribuzione. ZTNA come servizio (ZTNAaaS) viene distribuito dal cloud del provider, senza infrastruttura on-premise aggiuntiva. È l'opzione più comune e quella che offre i tempi di implementazione più brevi. ZTNA on-premise distribuisce i componenti di controllo nell'infrastruttura propria dell'organizzazione, offrendo un maggiore controllo ma richiedendo più risorse di gestione. Molte organizzazioni optano per un approccio ibrido.
| Dimensione | VPN tradizionale | ZTNA |
|---|---|---|
| Modello di accesso | Rete completa dopo l'autenticazione | Risorsa specifica per sessione |
| Visibilità della rete | Completa per l'utente | Nascosta |
| Verifica | Una volta, alla connessione | Continua durante la sessione |
| Superficie di attacco | Concentratore VPN esposto | Nessuna infrastruttura esposta |
| Movimento laterale | Possibile | Impedito per progettazione |
| Scalabilità | Limitata dall'hardware | Elastica nel cloud |
Prerequisiti di implementazione. ZTNA richiede due capacità preliminari che molte organizzazioni sottovalutano. In primo luogo, un'autenticazione a più fattori (MFA) robusta: senza MFA, ZTNA perde la sua capacità di verifica forte. In secondo luogo, un inventario completo e aggiornato dei dispositivi: ZTNA valuta lo stato del dispositivo a ogni accesso, il che richiede di sapere quali dispositivi sono autorizzati e quale sia la loro configurazione di sicurezza minima accettabile.
NDR: Rilevamento e Risposta al Livello di Rete
Il mercato NDR (Network Detection and Response) raggiungerà i 3,68 miliardi di dollari nel 2026, con una crescita annua del 9,6% secondo le stime di mercato. Questa crescita riflette una realtà operativa: le organizzazioni necessitano di visibilità su ciò che accade all'interno della propria rete, non solo nei punti di ingresso e uscita.
Il gap di rilevamento. I SIEM aggregano e correlano i log da più fonti, ma dipendono dal fatto che i dispositivi generino gli eventi corretti e che le regole di correlazione siano ben definite. NDR funziona in modo diverso: analizza il traffico di rete in tempo reale, senza dipendere dai log, e utilizza modelli di machine learning per stabilire linee di base del comportamento normale e rilevare le deviazioni che indicano attività dannose.
Meccanismo di NDR. I sensori NDR vengono distribuiti in punti strategici della rete per catturare e analizzare il traffico. Gli algoritmi di machine learning costruiscono un profilo del comportamento normale per ogni segmento di rete, ogni server e ogni schema di comunicazione. Quando un server che normalmente comunica solo con tre servizi interni avvia connessioni verso un IP esterno o inizia a scansionare porte in altri segmenti, il sistema genera un avviso ad alta priorità.
Posizionamento dei sensori. Una copertura efficace richiede sensori in tre punti. Traffico nord-sud (tra la rete interna e Internet) per rilevare comunicazioni con server di comando e controllo, esfiltrazione di dati e connessioni a domini dannosi. Traffico est-ovest (comunicazioni interne) per identificare movimenti laterali, scansioni di rete interne e propagazione di malware. Flussi di rete negli ambienti cloud (VPC Flow Logs in AWS, NSG Flow Logs in Azure) per estendere la visibilità ai workload cloud.
NDR e SIEM: complementari, non sostitutivi. NDR fornisce visibilità sul traffico di rete che il SIEM non cattura: comunicazioni cifrate analizzate per metadati, protocolli non standard e schemi comportamentali che non generano log. Il SIEM, da parte sua, correla gli eventi di endpoint, applicazioni, identità e rete in una vista unificata. L'integrazione di entrambi offre la copertura di rilevamento più completa.
La capacità analitica del NDR beneficia direttamente dei progressi nell'intelligenza artificiale. I modelli di rilevamento delle anomalie migliorano con il volume dei dati, e le organizzazioni che integrano NDR con le proprie soluzioni di intelligenza artificiale ottengono capacità di rilevamento significativamente superiori a quelle basate su regole statiche.
Sicurezza di Rete in Ambienti Ibridi e Multicloud
La maggior parte delle organizzazioni opera in ambienti ibridi dove i workload sono distribuiti tra infrastruttura on-premise, uno o più provider cloud pubblici e, in molti casi, edge computing. Questa realtà introduce tre specifiche sfide di sicurezza di rete che non esistevano nelle architetture centralizzate.
Sfida 1: traffico est-ovest nel cloud. Le comunicazioni tra servizi all'interno dello stesso provider cloud o tra regioni cloud sono invisibili per i controlli di sicurezza di rete on-premise. Un firewall perimetrale non vede il traffico tra due istanze EC2 in AWS né tra due pod Kubernetes in GKE. Senza controlli specifici per questo traffico, un attaccante che compromette un workload cloud può muoversi lateralmente senza restrizioni.
Sfida 2: interconnessioni cloud. Le connessioni tra provider cloud (peering), tra cloud e on-premise (VPN site-to-site, ExpressRoute, Direct Connect) e tra cloud e partner (API) creano punti di interconnessione che richiedono policy di sicurezza specifiche. Ogni interconnessione è un potenziale punto di guasto e un vettore di propagazione degli incidenti.
Sfida 3: traffico cifrato. Più del 90% del traffico web è attualmente cifrato con TLS. Sebbene la cifratura protegga la riservatezza, nasconde anche il contenuto del traffico agli strumenti di ispezione. Gli attaccanti utilizzano canali cifrati per comunicare con i server di comando e controllo e per esfiltrare i dati, sapendo che molte organizzazioni non ispezionano questo traffico.
Controlli per ambienti ibridi. La microsegmentazione cloud-nativa (Security Groups in AWS, Network Security Groups in Azure, regole firewall in GCP) deve essere integrata da soluzioni di terze parti che forniscano visibilità e policy unificate negli ambienti multicloud. Gli strumenti nativi di ogni provider sono efficaci all'interno del proprio ecosistema, ma non offrono una vista consolidata né policy coerenti tra provider.
Le policy di interconnessione devono seguire il principio del privilegio minimo: ogni connessione tra ambienti consente solo il traffico strettamente necessario, con cifratura obbligatoria e monitoraggio delle anomalie. L'ispezione TLS deve essere applicata in modo selettivo, dando priorità alle connessioni a maggiore rischio e rispettando le implicazioni in materia di privacy e l'impatto sulle prestazioni.
La Direttiva NIS2 stabilisce requisiti espliciti sulla sicurezza delle interconnessioni con terzi e provider cloud, richiedendo alle organizzazioni la valutazione e la gestione del rischio di questi punti di connessione. Le organizzazioni che operano in ambienti multicloud necessitano di un partner specializzato in cloud e DevOps che integri la sicurezza di rete nella progettazione dell'architettura cloud, non come uno strato aggiunto a posteriori.
Roadmap: Come Rafforzare la Sicurezza di Rete
Prima di investire in tecnologia, ogni responsabile IT dovrebbe rispondere a cinque domande diagnostiche sullo stato attuale della propria sicurezza di rete.
- Un utente con accesso VPN può raggiungere sistemi di cui non ha bisogno per il proprio lavoro? In caso affermativo, la rete manca di una segmentazione adeguata.
- Avete visibilità sulle comunicazioni tra workload interni (traffico est-ovest)? In caso negativo, i movimenti laterali passeranno inosservati.
- Sapete quante applicazioni SaaS utilizzano i vostri dipendenti senza autorizzazione (shadow IT)? In caso negativo, avete urgente bisogno di un CASB.
- Il vostro firewall ispeziona il traffico TLS cifrato? In caso negativo, più del 90% del traffico web attraversa i vostri controlli senza essere ispezionato.
- Disponete di un inventario aggiornato di tutti i dispositivi che accedono alla rete aziendale? Senza inventario, ZTNA e qualsiasi controllo basato su dispositivo risulteranno inefficaci.
Matrice di priorità per dimensione organizzativa.
Organizzazione piccola (meno di 250 dipendenti). Priorità: NGFW con IPS attivo, ZTNA per sostituire la VPN e NDR base per la visibilità di rete. Queste tre misure forniscono una protezione significativa con un investimento e una complessità operativa sostenibili.
Organizzazione media (250–2.000 dipendenti). Priorità: microsegmentazione per zone di sensibilità, ZTNA completo, migrazione progressiva a SASE e NDR con integrazione SIEM. La segmentazione della rete e la visibilità del traffico sono critiche a questa scala per via della maggiore superficie di attacco.
Organizzazione grande (più di 2.000 dipendenti). Priorità: architettura SASE completa, microsegmentazione avanzata a livello di workload, NDR con copertura nord-sud ed est-ovest, e controlli specifici per ambienti multicloud e interconnessioni con terzi. La complessità dell'ambiente richiede un'architettura integrata con gestione centralizzata delle policy.
Indipendentemente dalle dimensioni, le organizzazioni soggette a NIS2 devono tenere presente che la prima scadenza di audit è il 30 giugno 2026. L'implementazione di controlli di sicurezza di rete è un processo che richiede mesi di pianificazione, distribuzione e messa a punto. Le organizzazioni che non hanno ancora avviato la pianificazione si trovano di fronte a scadenze molto strette.
Conclusione
La sicurezza di rete aziendale nel 2026 richiede un'architettura a più livelli in cui ogni controllo completa gli altri: microsegmentazione per limitare i movimenti laterali, NGFW per l'ispezione approfondita del traffico, SASE/SSE per proteggere l'accesso da qualsiasi luogo, ZTNA per eliminare le vulnerabilità intrinseche della VPN, NDR per rilevare le minacce che eludono i controlli preventivi, e policy specifiche per ambienti ibridi e multicloud.
Nessuna di queste tecnologie risolve il problema in modo isolato. Il loro valore risiede nell'integrazione coerente all'interno di una strategia di sicurezza che si adatti alla realtà di ogni organizzazione: le sue dimensioni, il settore, il livello di maturità e i requisiti normativi.
In Technova Partners aiutiamo le organizzazioni a progettare e implementare architetture di sicurezza di rete adattate al loro contesto specifico. Dalla valutazione iniziale al dispiegamento operativo, il nostro team apporta competenza tecnica e conoscenza normativa affinché la sicurezza di rete diventi un abilitatore del business, non un freno.
Volete valutare la sicurezza della vostra rete aziendale? Richiedete una valutazione della sicurezza di rete e ottenete una diagnosi chiara con raccomandazioni prioritarie per la vostra organizzazione.
