Segmentazione di rete: cos’è, approcci e vantaggi per la sicurezza

La maggior parte degli attacchi informatici non causa danni nel punto in cui entra, ma in quello in cui riesce ad arrivare. Un attaccante che compromette un singolo computer ha bisogno di muoversi — verso i server, i database, i sistemi che contano. La segmentazione di rete è ciò che gli sbarra la strada: divide la rete in compartimenti separati, così che violarne uno non significhi avere accesso a tutto il resto. È il principio delle paratie stagne di una nave applicato all’infrastruttura digitale.

In questa guida vediamo cos’è la segmentazione di rete, come si distingue dalla segregazione, quali approcci esistono — dalle VLAN alla micro-segmentazione — il suo legame con il modello zero trust, e perché è una delle difese più efficaci contro il movimento laterale degli attaccanti.

1. Cos’è la segmentazione di rete
2. Segmentazione e segregazione delle reti: la differenza
3. Gli approcci: per reparto, per zone e VLAN
4. Micro-segmentazione e zero trust
5. I vantaggi per la sicurezza aziendale
6. Come si progetta una segmentazione efficace

Cos’è la segmentazione di rete

La segmentazione di rete (in inglese network segmentation) è la tecnica che divide una rete in più parti più piccole — le sottoreti — ognuna delle quali funziona come un’unità semi-autonoma con i propri confini e le proprie regole. Invece di una grande rete unica in cui tutto comunica con tutto, si ottengono compartimenti distinti, tra i quali il traffico può essere controllato, ispezionato o bloccato.

Il vantaggio è duplice. Da un lato la gestione: delimitando il monitoraggio ai singoli segmenti, è più facile raccogliere dati, individuare anomalie e isolare i problemi tecnici. Dall’altro, ed è ciò che conta di più, la sicurezza: in una rete segmentata un attaccante che compromette un dispositivo non si trova davanti una pianura aperta, ma una serie di porte chiuse. Ogni confine tra sottoreti è un punto in cui il suo avanzamento può essere fermato.

Segmentazione e segregazione delle reti: la differenza

I due termini vengono spesso usati come sinonimi, ma indicano due fasi distinte. La segmentazione è l’atto di dividere la rete in sottoreti: definisce i compartimenti. La segregazione è ciò che viene dopo: stabilisce e impone le regole di traffico tra quei compartimenti, decidendo chi può comunicare con chi e bloccando tutto il resto.

In altre parole, la segmentazione crea le stanze, la segregazione decide quali porte restano aperte e quali chiuse. Una segmentazione senza segregazione — sottoreti che però comunicano liberamente tra loro — offre gran parte dei vantaggi di gestione ma pochi di quelli di sicurezza: è la regola di traffico, non la semplice divisione, a fermare un attaccante.

Gli approcci: per reparto, per zone e VLAN

Non esiste un solo modo di segmentare: la scelta dipende da come è fatta l’organizzazione e da cosa deve proteggere. L’approccio per reparto è il più diffuso: la rete viene divisa seguendo la struttura aziendale — amministrazione, risorse umane, produzione — così che il database del personale, per esempio, sia raggiungibile solo dai dispositivi della sottorete HR e non dall’intera azienda.

L’approccio per zone di sicurezza raggruppa invece le risorse in base al loro livello di esposizione e criticità. È il principio della zona demilitarizzata (DMZ), dove i sistemi esposti a internet — come i server web — vengono collocati in un segmento separato e sorvegliato, isolato dalla rete interna che custodisce i dati sensibili. Sul piano tecnico, questa divisione si realizza spesso con le VLAN (Virtual Local Area Network), che separano logicamente il traffico anche su una stessa infrastruttura fisica, e con i firewall che ne governano i confini. Con la diffusione di ambienti ibridi e multi-cloud, queste tecniche si sono estese oltre la rete locale, applicandosi anche alle risorse distribuite nel cloud.

Micro-segmentazione e zero trust

L’evoluzione più recente porta il principio all’estremo: la micro-segmentazione (o microsegmentazione) non si ferma ai grandi blocchi, ma isola i singoli carichi di lavoro o le singole applicazioni, creando perimetri di sicurezza minuti attorno a ogni risorsa critica. Richiede più impegno in fase di progettazione, ma riduce drasticamente lo spazio di manovra di un attaccante: anche penetrando un segmento, si trova confinato a quella singola risorsa.

È il fondamento tecnico del modello zero trust, l’approccio secondo cui nessun utente o dispositivo è affidabile per default, nemmeno se già all’interno della rete. Se la sicurezza tradizionale fidava di chi era “dentro il perimetro”, lo zero trust parte dal presupposto opposto — la rete è già compromessa — e impone una verifica a ogni confine. La micro-segmentazione è ciò che rende quei confini concreti: senza di essa, lo zero trust resterebbe un principio senza applicazione.

I vantaggi per la sicurezza aziendale

Il beneficio principale della segmentazione è il contenimento del movimento laterale — la fase in cui un attaccante, ottenuto un primo accesso, si sposta nella rete alla ricerca dei bersagli di valore. In una rete piatta quel movimento è libero; in una rete segmentata ogni spostamento incontra un confine da superare, che rallenta l’attacco e moltiplica le occasioni di rilevarlo. È la differenza tra un ladro che entra in un open space e uno che si trova davanti una sequenza di porte blindate.

Ai vantaggi di sicurezza si aggiungono quelli operativi: prestazioni migliori (il traffico resta confinato dove serve, riducendo la congestione), monitoraggio più preciso, e una conformità più semplice da dimostrare, perché isolare i dati sensibili in segmenti dedicati è spesso un requisito esplicito di normative e standard. Una rete piatta, al contrario, è economica da configurare ma trasforma qualsiasi singola compromissione in un rischio per l’intera organizzazione.

Come si progetta una segmentazione efficace

Una segmentazione efficace parte sempre dalla stessa operazione: mappare la rete. Prima di dividere, bisogna sapere quali risorse esistono, quali utenti e processi le usano, e chi ha realmente bisogno di accedere a cosa. È questa analisi a determinare dove tracciare i confini — raggruppando il traffico in base ai servizi e al principio del privilegio minimo, per cui ogni utente e sistema accede solo a ciò che gli è strettamente necessario.

Il rischio opposto è la segmentazione mal progettata: troppo permissiva, e non protegge; troppo rigida, e blocca il lavoro legittimo. Per questo va verificata sul campo — controllando che i confini reggano davvero e che un attaccante in un segmento non riesca a raggiungerne altri. È esattamente ciò che mette alla prova un test di sicurezza condotto da professionisti, che simula il movimento di un attaccante reale attraverso la rete.

Una rete ben segmentata è una delle difese più efficaci contro la diffusione di un attacco — ma solo se i suoi confini reggono davvero alla prova. Cyberment affianca le imprese italiane con il Penetration Test e il Vulnerability Assessment certificati ISO 27001, che verificano sul campo la tenuta della segmentazione e individuano i percorsi che un attaccante potrebbe sfruttare per muoversi tra i segmenti, prima che lo faccia davvero.