Un server che risponde lentamente, una postazione che si connette a un indirizzo IP sconosciuto di notte, un firewall le cui regole non vengono riviste da due anni. Questi segnali deboli spesso passano inosservati, fino al giorno in cui un’intrusione li trasforma in una crisi. L’audit di sicurezza di rete esiste per individuare queste vulnerabilità prima che un attaccante lo faccia. Ma bisogna sapere cosa si audita, con quali strumenti e soprattutto in quale ordine.
Catena di approvvigionamento di rete: il perimetro che la maggior parte degli audit dimentica
Hai già verificato chi gestisce realmente i tuoi collegamenti MPLS o il tuo accesso SD-WAN? La direttiva NIS2, la cui trasposizione nel diritto francese riguarda ora un ampio ventaglio di entità, impone di verificare le condizioni di sicurezza contrattuali e tecniche con gli operatori telecom, i fornitori di servizi di gestione (MSP/MSSP) e i fornitori di cloud o di apparecchiature di rete.
Consigliato : Le ultime tendenze moda da seguire assolutamente questa stagione per un look stiloso
In concreto, un audit di rete conforme a NIS2 non si limita più a scansionare le tue macchine. Deve anche esaminare gli accessi remoti dei tuoi subappaltatori, gli aggiornamenti firmware dei tuoi router operatore e le clausole di notifica degli incidenti nei tuoi contratti. Audire la catena di approvvigionamento di rete è diventato obbligatorio, non facoltativo.
Per strutturare questo approccio, l’audit di sicurezza di rete con E-novateur dettaglia un quadro metodico che integra questi requisiti dei fornitori sin dalla fase di definizione.
Leggi anche : Le fasi essenziali per riuscire nella divisione di un terreno in indivisione
Definizione tecnica dell’audit di rete: definire cosa si testa realmente
Prima di avviare qualsiasi scansione, è necessario rispondere a una domanda semplice: qual è il perimetro esatto? Una rete aziendale, anche modesta, presenta strati eterogenei. Wi-Fi ospite, VLAN aziendale, accesso VPN dei collaboratori in smart working, API esposte su internet. Ognuno di questi segmenti presenta vulnerabilità diverse.
Inventario degli asset e mappatura
La prima azione concreta consiste nel redigere un inventario esaustivo. Si elenca ogni apparecchiatura attiva (switch, firewall, punti di accesso Wi-Fi, server), ogni connessione esterna e ogni servizio esposto. Senza questa mappatura, il resto dell’audit si basa su ipotesi.
- Elencare gli indirizzi IP pubblici e privati attivi, incrociando i dati DNS, DHCP e le tabelle ARP degli switch.
- Identificare le apparecchiature non gestite (shadow IT): stampanti di rete, telecamere IP, oggetti connessi collegati senza validazione.
- Documentare i flussi intersiti e i tunnel VPN, compresi quelli aperti occasionalmente e mai richiusi.
Un inventario incompleto produce un audit incompleto. Se un segmento di rete sfugge al perimetro, le sue vulnerabilità rimarranno invisibili nel rapporto finale.
Stabilire obiettivi misurabili
Un audit può mirare alla conformità normativa (NIS2, GDPR), alla preparazione per un test di intrusione o semplicemente alla valutazione del livello di protezione dopo un cambiamento di infrastruttura. Mescolare questi obiettivi in un unico esercizio diluisce i risultati. È meglio un audit mirato sulla segmentazione di rete piuttosto che una panoramica di tutto il sistema informativo.
Analisi delle vulnerabilità di rete: scansionare non basta
Gli strumenti di scansione automatizzati (Nessus, OpenVAS, Qualys) rilevano le vulnerabilità note confrontando le versioni software con database di vulnerabilità. È una fase necessaria, ma insufficiente se rimane isolata.
Una scansione delle vulnerabilità rileva le vulnerabilità note, non gli errori di configurazione. Un firewall aggiornato può benissimo autorizzare traffico in uscita non filtrato verso qualsiasi destinazione. Uno switch può avere il protocollo SNMP attivato con la community predefinita “public”. Questi errori non sempre emergono in un rapporto di scansione classico.
Revisione manuale delle configurazioni
È qui che l’audit acquisisce valore. Un auditor esamina le regole di filtraggio del firewall riga per riga, verifica la segmentazione VLAN, controlla le liste di controllo accesso (ACL) e si assicura che i protocolli obsoleti (Telnet, SNMPv1, FTP non crittografato) siano disattivati.
NIS2 aggiunge una dimensione ulteriore: l’audit deve anche valutare la capacità di rilevamento degli incidenti. I log sono centralizzati? Le allerte di correlazione funzionano? Un test semplice consiste nel simulare un comportamento anomalo (connessione da una geolocalizzazione insolita) e verificare se il SIEM o lo strumento di monitoraggio genera effettivamente un allerta.
Rapporto di audit di rete e piano di rimedio: trasformare le constatazioni in azioni
Un rapporto di audit che elenca vulnerabilità senza priorizzazione finisce in un cassetto. Il valore reale del deliverable risiede nella gerarchizzazione dei rischi e nella roadmap correttiva.
- Classificare ogni vulnerabilità per criticità incrociando la sua severità tecnica (punteggio CVSS quando disponibile) e la sua esposizione reale nell’architettura di rete.
- Proporre azioni correttive con un calendario realistico: prima le vulnerabilità critiche esposte su internet, poi i miglioramenti di governance.
- Identificare le correzioni che dipendono da terzi (operatore telecom, fornitore di firmware) e anticipare i tempi contrattuali.
- Prevedere una data di contro-audit per verificare che le correzioni siano state applicate, non solo pianificate.
Un audit senza follow-up di rimedio non riduce il rischio. La gap analysis NIS2 richiede inoltre una rivalutazione regolare dell’efficacia delle misure, il che implica di programmare audit ricorrenti, non solo occasionali.
Governance e responsabilità interne
Chi si assume la responsabilità delle correzioni dopo l’audit? In molte PMI, la risposta rimane poco chiara. Il rapporto deve nominare un responsabile per ogni azione correttiva e fissare un circuito di validazione. Senza questa governance, le raccomandazioni rimangono lettera morta, anche quando sono tecnicamente pertinenti.
L’audit di sicurezza di rete non è un esercizio occasionale da spuntare su una lista di conformità. È un processo che inizia con la mappatura del perimetro reale (fornitori inclusi), passa attraverso un’analisi tecnica che combina scansioni automatizzate e revisione manuale, e produce risultati solo se il piano di rimedio viene seguito fino in fondo. La prossima scadenza normativa NIS2 si avvicina: è meglio audire ora che rattoppare dopo un incidente.