Un commerciale che apre il gestionale da casa, un consulente esterno che deve entrare su un server e un dipendente in trasferta che usa il Wi-Fi di un hotel: sono scenari normali per molte PMI. Il problema non è consentire il lavoro fuori sede, ma capire come configurare accessi remoti sicuri senza esporre dati, credenziali e sistemi che tengono in movimento l’azienda.

Un accesso remoto progettato male può trasformare una comodità operativa in un punto d’ingresso per ransomware, furto di account e blocchi produttivi. Un accesso progettato bene, invece, permette alle persone autorizzate di lavorare dove serve, con regole chiare, tracciabilità e interventi rapidi quando qualcosa non torna.

Perché la sicurezza dell’accesso remoto riguarda il business

L’errore più frequente è trattare l’accesso da remoto come una semplice impostazione tecnica: attivare una VPN, inoltrare una porta sul router o installare un programma di controllo remoto. Queste azioni, se isolate, non costituiscono una strategia di sicurezza.

Ogni connessione esterna amplia la superficie di attacco. Se un dispositivo personale è compromesso, se una password è stata riutilizzata oppure se un account di un ex collaboratore rimane attivo, l’accesso remoto può offrire a un aggressore una strada diretta verso file condivisi, posta elettronica, software gestionali e backup.

Per una piccola o media impresa, le conseguenze non si misurano soltanto in termini informatici. Possono significare ordini fermi, documenti indisponibili, dati personali esposti, tempi di ripristino lunghi e clienti che non ricevono risposta. La configurazione deve quindi partire da una domanda concreta: chi deve accedere, a quali risorse, da quale dispositivo e per quanto tempo?

Come configurare accessi remoti sicuri partendo dalle regole

Prima di scegliere una tecnologia, è necessario definire le policy di accesso. Un amministrativo, per esempio, può avere bisogno del gestionale e delle cartelle di reparto; non deve necessariamente vedere i server di produzione o le configurazioni di rete. Allo stesso modo, un tecnico esterno deve poter intervenire solo sui sistemi concordati e per il periodo strettamente necessario.

Il principio da applicare è quello del privilegio minimo: ogni utente riceve solo i permessi indispensabili per svolgere il proprio lavoro. Ridurre i privilegi non rallenta l’operatività, la rende più controllabile. Se un account viene compromesso, il danno potenziale resta circoscritto.

È utile mappare ruoli, applicazioni e dati prima dell’attivazione. In molte aziende emergono così account condivisi, autorizzazioni ereditate negli anni e accessi concessi in urgenza ma mai revocati. Sono proprio queste eccezioni dimenticate a creare i rischi più difficili da individuare.

Separare utenti, amministratori e fornitori

Gli accessi amministrativi meritano una protezione superiore rispetto a quelli ordinari. L’account che può modificare un firewall, creare utenti o cancellare dati non dovrebbe essere impiegato anche per leggere la posta quotidiana. Separare le identità riduce l’esposizione e rende più chiaro chi ha eseguito una determinata attività.

Per fornitori, consulenti e manutentori, è preferibile usare account nominativi e temporanei. Evitare credenziali generiche come “assistenza” o “tecnico” è una scelta essenziale: quando più persone condividono la stessa password, non esiste una reale responsabilità né una tracciabilità affidabile.

Scegliere la tecnologia adatta senza aprire porte inutili

Non esiste un’unica soluzione valida per ogni impresa. La scelta dipende dall’infrastruttura, dalle applicazioni da raggiungere, dal numero di utenti e dal livello di controllo richiesto. Tuttavia, alcune regole restano valide in quasi tutti gli scenari.

Una VPN aziendale ben configurata crea un canale cifrato tra il dispositivo autorizzato e la rete interna. Può essere una soluzione efficace quando gli utenti devono usare più risorse locali, purché sia associata a autenticazione forte, segmentazione della rete e aggiornamenti costanti dell’apparato che la gestisce.

Per l’accesso a singole applicazioni cloud, spesso non è necessario entrare nell’intera rete aziendale. In questi casi, servizi di accesso condizionale, gestione delle identità e soluzioni basate sul principio Zero Trust possono offrire un controllo più mirato: l’utente viene verificato, il dispositivo viene valutato e l’autorizzazione viene concessa solo alla risorsa necessaria.

Il desktop remoto può essere utile per lavorare su un PC aziendale o su un server, ma non va mai pubblicato direttamente su Internet. Esporre servizi RDP, VNC o pannelli di amministrazione tramite semplici porte aperte è una delle configurazioni più attaccate. L’accesso deve passare attraverso una VPN, un gateway protetto o una piattaforma con autenticazione forte e controllo centralizzato.

L’autenticazione multifattore non è opzionale

Una password, anche se complessa, può essere sottratta con phishing, malware o violazioni di servizi terzi. Per questo ogni accesso remoto, soprattutto verso risorse aziendali, deve richiedere l’autenticazione multifattore, nota come MFA.

La MFA aggiunge una verifica oltre alla password: un’app di autenticazione, una chiave hardware o un altro fattore controllato dall’utente. Le notifiche push possono essere pratiche, ma vanno gestite con attenzione perché richieste ripetute possono indurre una persona ad approvare per errore un accesso fraudolento. Dove possibile, codici temporanei e chiavi di sicurezza offrono una protezione maggiore.

Anche la gestione delle password deve essere disciplinata. Servono password uniche, lunghe e conservate in un password manager aziendale, non in fogli Excel, browser condivisi o appunti lasciati sulla scrivania. Quando un dipendente cambia mansione o lascia l’azienda, la revoca dell’account e delle sessioni attive deve essere parte della procedura standard, non un’attività da rimandare.

Proteggere il dispositivo da cui si accede

La rete può essere protetta, ma un notebook non aggiornato o infetto resta un rischio. L’accesso remoto sicuro richiede quindi regole anche sugli endpoint: computer aziendali gestiti, sistemi operativi aggiornati, cifratura del disco, antivirus o soluzioni EDR e blocco automatico dello schermo.

L’uso di dispositivi personali non è sempre da escludere, ma deve essere valutato. Un modello BYOD può funzionare per attività limitate, ad esempio l’accesso alla posta o a un’applicazione cloud, se l’azienda applica criteri di sicurezza e separa i dati professionali da quelli privati. Per l’accesso a gestionali, server o archivi sensibili, un dispositivo aziendale amministrato offre normalmente più garanzie.

È altrettanto utile applicare controlli sullo stato del dispositivo. Se manca un aggiornamento critico, il disco non è cifrato o la protezione antimalware è disattivata, l’accesso può essere negato o limitato fino alla correzione del problema. Questa misura evita che la fretta di lavorare da remoto introduca debolezze permanenti.

Segmentare la rete e limitare il raggio d’azione

Collegarsi alla rete aziendale non deve significare poter raggiungere qualsiasi sistema. Server, postazioni utenti, dispositivi di videosorveglianza, centralini VoIP e apparati di rete hanno esigenze diverse e dovrebbero essere separati in segmenti controllati.

La segmentazione limita gli spostamenti laterali di un attaccante. Se viene compromesso l’account di un utente con accesso alla cartella commerciale, quell’account non dovrebbe poter raggiungere automaticamente il server dei backup o la console del firewall. È una scelta tecnica che protegge la continuità operativa e rende più gestibile un eventuale incidente.

Occorre poi decidere se il traffico Internet dell’utente remoto debba passare dalla rete aziendale. Il cosiddetto full tunnel aumenta il controllo perché filtra tutto il traffico attraverso i sistemi aziendali, ma può richiedere più banda e influire sulle prestazioni. Lo split tunnel può essere più leggero, ma richiede policy e protezioni endpoint più rigorose. La scelta dipende dal tipo di lavoro, dalla qualità delle connessioni e dalla sensibilità delle risorse coinvolte.

Registrare, controllare e testare gli accessi

Una configurazione sicura non si esaurisce al momento dell’attivazione. Bisogna registrare gli accessi, conservare i log utili e impostare avvisi per eventi anomali: tentativi ripetuti falliti, connessioni da Paesi inattesi, accessi fuori orario o utilizzo insolito di privilegi amministrativi.

I log sono indispensabili quando serve ricostruire un evento. Senza evidenze, un sospetto accesso non autorizzato diventa difficile da verificare e ancora più difficile da contenere. Anche un controllo periodico degli utenti abilitati permette di eliminare autorizzazioni non più necessarie prima che diventino un problema.

Il test deve coinvolgere sia la tecnologia sia le persone. È opportuno verificare che un utente possa lavorare realmente con i permessi assegnati, ma anche che non possa raggiungere sistemi estranei al proprio ruolo. Simulare la perdita di un telefono con app MFA, il furto di un notebook o l’uscita improvvisa di un collaboratore aiuta a capire se le procedure sono applicabili nei momenti di pressione.

Una configurazione efficace è anche gestibile nel tempo

La soluzione migliore non è quella con il maggior numero di funzioni, ma quella che l’impresa riesce a governare con continuità. Una PMI con pochi utenti e applicazioni cloud può ottenere ottimi risultati con identità centralizzate, MFA e criteri di accesso condizionale. Un’azienda con server locali, sedi collegate e personale tecnico può richiedere VPN, segmentazione avanzata, monitoraggio e una gestione più strutturata.

In entrambi i casi, documentazione aggiornata, procedure di ingresso e uscita del personale, backup verificati e un referente tecnico responsabile fanno la differenza. La sicurezza dell’accesso remoto non deve dipendere dalla memoria di una sola persona o da impostazioni create anni prima.

Quando l’accesso remoto viene progettato come parte dell’intero ecosistema IT, il lavoro fuori sede smette di essere un’eccezione da tollerare. Diventa una capacità aziendale controllata: utile alle persone, protetta per i dati e sostenibile anche quando l’operatività richiede decisioni rapide.