Firewall aziendale: cos'è e quanto costa

"Abbiamo già il router, a cosa serve un firewall?" È una domanda sensata, e la risposta dipende da come è fatta la tua azienda. Un ufficio con tre portatili e la posta in cloud può vivere bene con un router ben configurato. Un'azienda con un server, un gestionale, venti postazioni, un capannone con il Wi-Fi e qualcuno che si collega da casa ha bisogno di qualcosa di più. In questa guida spieghiamo in parole semplici che cosa fa un firewall, in che cosa è diverso dal router del provider, quali funzioni contano davvero, come sceglierlo senza farsi guidare solo dalla scheda tecnica e quali voci compongono il costo, compresa quella che molti dimenticano: il rinnovo annuale.

Che cos'è un firewall, in parole semplici

Pensa all'ingresso di uno stabilimento. Il cancello lascia passare camion e persone: è il router, che collega la tua rete interna a internet. Il firewall è la portineria con il registro: controlla chi entra e chi esce, verso dove, per fare che cosa, e blocca chi non è autorizzato. Il controllo si basa su regole: "i PC dell'ufficio possono navigare", "da internet nessuno può raggiungere il server, salvo chi entra dalla VPN", "le telecamere non possono parlare con l'esterno se non con il loro registratore".

Un firewall può essere un apparecchio fisico (una scatola collegata fra la linea internet e la rete), un programma installato su un computer o un servizio in cloud. Anche Windows ha un suo firewall interno, che protegge il singolo PC: utile, ma non sostituisce il controllo all'ingresso della rete, così come la serratura di un ufficio non sostituisce la portineria.

Router del provider o firewall: le differenze

I router forniti dagli operatori hanno una protezione di base: bloccano le connessioni in arrivo non richieste e poco altro. Per una casa va bene; per un'azienda i limiti si vedono presto.

Aspetto	Router del provider	Firewall aziendale
Blocco delle connessioni non richieste	Sì, di base	Sì, con regole dettagliate
Controllo del traffico in uscita	Quasi assente	Sì: si può decidere cosa può uscire e verso dove
Reti separate (uffici, ospiti, macchinari, telecamere)	Spesso solo rete ospiti	Sì, con più reti isolate fra loro
Filtro dei siti pericolosi e ispezione del traffico	No o molto limitato	Sì, con abbonamento ai servizi di sicurezza
VPN per chi lavora fuori sede e fra sedi	Limitata o assente	Sì, con più utenti e doppio controllo all'accesso
Registro degli eventi (log)	Minimo	Dettagliato, consultabile e conservabile
Due linee internet con passaggio automatico	Raramente	Sì, su molti modelli
Chi lo gestisce	Spesso l'operatore, con accesso limitato per te	Tu o il tuo tecnico, con pieno controllo

Le funzioni di un firewall moderno

Sui cataloghi trovi sigle come UTM (gestione unificata delle minacce) o NGFW (firewall di nuova generazione). In pratica indicano apparecchi che, oltre a filtrare le connessioni, fanno anche altro. Le funzioni utili per una PMI sono queste:

Regole di accesso: chi può parlare con chi. È la funzione fondamentale.
Segmentazione: dividere la rete in zone (VLAN) che non si vedono fra loro. Gli ospiti non raggiungono il server, le telecamere non raggiungono i PC, i macchinari di produzione restano su una rete a parte.
Prevenzione delle intrusioni (IPS): riconosce schemi di attacco noti nel traffico e li blocca.
Filtro web e DNS: impedisce di aprire siti noti per truffe o virus, anche quando qualcuno clicca un link sbagliato.
Controllo antivirus del traffico: un livello in più rispetto alla protezione installata sui PC.
VPN: il collegamento protetto per chi lavora da casa e per unire più sedi. Come impostarla bene lo spieghiamo nella guida alla VPN aziendale.
Gestione di due linee: se cade la fibra, il traffico passa su una seconda linea, anche mobile.
Log e avvisi: registrano cosa succede e segnalano anomalie. Servono se qualcuno li guarda.

Serve davvero a una piccola azienda?

Non sempre. Ecco un modo pratico per capirlo.

Probabilmente sì, se…

hai un server o un NAS con dati importanti in ufficio;
qualcuno deve collegarsi alla rete aziendale da fuori;
hai più sedi da collegare fra loro;
in rete ci sono dispositivi difficili da aggiornare: macchinari di produzione, centralini, telecamere, vecchie apparecchiature di laboratorio;
offri il Wi-Fi a clienti, ospiti o autisti in attesa;
sei soggetto NIS2 o fornitore di un'azienda che lo è, e ti viene chiesto di dimostrare controlli sugli accessi e registrazione degli eventi.

Probabilmente basta un router ben configurato, se…

sei un professionista o un piccolo ufficio con pochi portatili;
posta, archivi e programmi sono tutti in cloud;
nessuno accede alla rete dell'ufficio dall'esterno.

Anche in questo secondo caso il router va gestito: password di amministrazione cambiata, firmware aggiornato, nessuna porta aperta verso i PC, rete ospiti separata. E restano indispensabili le misure sui singoli computer e sugli account, descritte nella guida sulla sicurezza informatica per piccole aziende: il firewall controlla la rete, non protegge una password rubata.

Hardware, software o cloud?

Firewall hardware. È la soluzione più diffusa nelle PMI: un apparecchio dedicato, installato in ufficio, che il produttore aggiorna con firmware e servizi di sicurezza. Pro: affidabile, semplice da sostituire, supporto del produttore. Contro: ha una vita utile, dopo la quale non riceve più aggiornamenti e va cambiato.

Firewall software su un computer dedicato. Esistono progetti affidabili e gratuiti, come pfSense e OPNsense, che si installano su un piccolo PC con più schede di rete. Pro: niente licenze obbligatorie, grande flessibilità. Contro: richiedono competenza per configurarli e mantenerli; il supporto dipende da chi te lo installa.

Firewall in cloud. Il controllo del traffico avviene presso un fornitore esterno, utile soprattutto quando le persone lavorano da molti luoghi diversi. Per un ufficio tradizionale con server in sede, in genere resta comunque necessario un apparecchio all'ingresso della rete.

Come sceglierlo: sei domande da fare

Quanta velocità regge con le protezioni accese? Le schede tecniche mettono in evidenza la velocità massima "nuda". Quella che conta è con ispezione del traffico e antivirus attivi, che può essere molto più bassa. Confrontala con la velocità della tua linea, considerando anche futuri aumenti.
Quanti utenti e quante VPN contemporanee? Conta le persone, ma anche i dispositivi e le sedi. Alcuni modelli limitano il numero di collegamenti VPN o lo legano a licenze.
Che cosa costa il rinnovo? Le funzioni di sicurezza avanzata (filtro web, IPS, antivirus) richiedono di solito un abbonamento annuale. Senza rinnovo l'apparecchio continua a filtrare le connessioni, ma perde gli aggiornamenti delle protezioni.
Fino a quando sarà aggiornato? Chiedi la data di fine supporto del modello. Un firewall che non riceve più aggiornamenti diventa esso stesso un punto debole.
Cosa succede se si guasta? Verifica garanzia e tempi di sostituzione. Per le aziende che non possono fermarsi esistono configurazioni con due apparecchi in coppia.
Chi lo configura e chi lo segue nel tempo? Un firewall non è un elettrodomestico: le regole vanno pensate sulla tua rete, documentate e riviste quando cambia qualcosa.

Quanto costa un firewall aziendale: le voci

I prezzi variano molto con la marca, la velocità e le funzioni, quindi diffida di chi dà una cifra senza aver visto la rete. Conviene invece conoscere le voci che compongono la spesa, per confrontare le offerte su basi uguali:

L'apparecchio, dimensionato sul numero di utenti e sulla velocità della linea.
Le licenze dei servizi di sicurezza, di solito annuali o pluriennali: spesso, nell'arco di qualche anno, pesano quanto o più dell'hardware.
L'eventuale secondo apparecchio per la continuità, solo dove un fermo è davvero inaccettabile.
La progettazione e la configurazione: analisi della rete, creazione delle zone, regole, VPN, test, documentazione.
La manutenzione: aggiornamenti del firmware, revisione delle regole, controllo dei log, modifiche quando arrivano nuove persone o nuovi dispositivi.
Gli interventi collegati: switch gestibili per creare le reti separate, nuovi punti di accesso Wi-Fi, una seconda linea.

Nel confronto fra preventivi chiedi sempre il costo totale su tre o cinque anni, licenze comprese. Un apparecchio economico con rinnovi cari può costare di più di uno più caro con licenze pluriennali incluse.

Gli errori di configurazione che annullano la protezione

Regole "tutto aperto" create per far funzionare in fretta un programma e mai richiuse.
Desktop remoto esposto su internet: aprire la porta del desktop remoto di Windows per lavorare da casa, invece di passare dalla VPN, è una delle vie d'ingresso più sfruttate dagli attacchi ransomware.
Pannello di gestione raggiungibile da internet, magari con la password di fabbrica.
Firmware mai aggiornato: i difetti dei firewall e delle VPN sono fra i più cercati dagli attaccanti, proprio perché sono la porta d'ingresso.
Rete piatta: un apparecchio costoso all'ingresso, ma dentro tutti i dispositivi si vedono tra loro. Se cade una telecamera vecchia, è a un passo dal server.
Log che nessuno legge: un attacco lascia segni prima di fare danni. Se nessuno guarda gli avvisi, il firewall registra ma non serve.
Nessuna documentazione: dopo due anni nessuno ricorda perché una regola esiste e nessuno osa toccarla.

Esempio: azienda con ufficio, magazzino e Wi-Fi per gli autisti

Un'impresa di distribuzione con quindici PC in ufficio, un server con il gestionale, terminali di magazzino, telecamere sul piazzale e autisti che chiedono il Wi-Fi mentre aspettano il carico. All'inizio tutto è collegato alla stessa rete dietro il router dell'operatore, e il commerciale si collega da casa con una porta aperta sul router verso il suo PC.

Con il firewall la rete viene divisa in quattro zone: uffici e server, magazzino, telecamere, ospiti. Gli autisti navigano ma non vedono nulla dell'azienda; le telecamere parlano solo con il loro registratore; i terminali del magazzino raggiungono solo il gestionale. La porta aperta sul router viene chiusa e il commerciale entra con la VPN e un codice sul telefono. Un'eventuale seconda linea mobile tiene in piedi ordini e spedizioni se cade la fibra. Nessuna di queste scelte richiede apparecchi straordinari: serve progettare la rete prima di comprare.

Il nostro approccio

Quando ci chiedete un firewall, prima guardiamo la rete: linee, dispositivi, chi lavora da fuori, quali dati sono critici. Solo dopo proponiamo il modello, che forniamo e configuriamo con le zone, le regole e la VPN, lasciandovi la documentazione e le credenziali. Seguiamo aziende, studi ed enti di Lodi e dintorni con interventi in sede in un raggio di circa 100 km da Lodi Vecchio; molte modifiche successive alle regole si fanno da remoto. La manodopera è a 43 € + IVA all'ora, uguale da remoto e in sede, più l'uscita in base ai chilometri. Gli enti pubblici possono acquistare tramite MEPA e Sintel. I dettagli sono nella pagina Informatica e assistenza; per un parere sulla vostra rete compila il modulo.

Domande frequenti

Il firewall di Windows non basta?

Protegge il singolo computer ed è bene tenerlo attivo, ma non controlla la rete: non separa ospiti e telecamere dal server, non gestisce le VPN, non filtra il traffico di dispositivi su cui non si può installare nulla, come stampanti o macchinari. Le due protezioni si sommano, non si sostituiscono.

Se non rinnovo la licenza il firewall smette di funzionare?

In genere no: continua a filtrare le connessioni secondo le regole impostate. Smettono però di aggiornarsi le funzioni avanzate, come il filtro dei siti pericolosi, la prevenzione delle intrusioni e l'antivirus del traffico, che perdono efficacia giorno dopo giorno. Le condizioni precise variano da produttore a produttore.

Ogni quanto va sostituito un firewall?

Quando il produttore smette di rilasciare aggiornamenti per quel modello, oppure quando la linea internet diventa più veloce di quanto l'apparecchio riesca a gestire con le protezioni attive. Conviene conoscere la data di fine supporto già al momento dell'acquisto.

Un firewall rallenta internet?

Se è dimensionato bene, l'effetto non si nota. I rallentamenti arrivano quando l'apparecchio è sottodimensionato rispetto alla linea e alle funzioni attive: per questo nella scelta bisogna guardare la velocità dichiarata con ispezione e antivirus accesi, non quella massima.

Posso installare il firewall senza cambiare il router dell'operatore?

Di solito sì: il firewall si mette subito dopo il router, che viene impostato per passargli il traffico. Così il router resta all'operatore, mentre il controllo della rete passa al firewall gestito da te o dal tuo tecnico. In alcuni casi si può chiedere all'operatore di configurare il router in modalità semplice ponte.

Firewall aziendale: cos'è, quando serve e quanto costa