Firewall di nuova generazione per le PMI di Torino

Un firewall di nuova generazione — in inglese Next-Generation Firewall, abbreviato in NGFW — è un dispositivo di sicurezza che controlla tutto il traffico che entra ed esce dalla rete aziendale e decide, pacchetto per pacchetto, cosa lasciar passare e cosa bloccare. A differenza di un firewall tradizionale, che si limita a filtrare porte e indirizzi, un NGFW ispeziona in profondità il contenuto delle comunicazioni (Deep Packet Inspection), riconosce le singole applicazioni, integra un sistema di prevenzione delle intrusioni (IPS) e analizza anche il traffico cifrato: è la differenza tra un portone che guarda solo chi bussa e uno che capisce davvero chi sta entrando e con quali intenzioni.

Nel 2026 questo non è più un tema riservato alle grandi aziende. Secondo il Rapporto Clusit, in Italia gli incidenti informatici gravi continuano a crescere a doppia cifra su base annua, e le PMI restano il bersaglio preferito proprio perché protette da difese di base ormai superate. Il dato più concreto riguarda proprio il perimetro della rete: buona parte delle violazioni ai danni delle piccole e medie imprese passa dal confine tra rete interna e internet, e una quota rilevante degli attacchi ransomware sfrutta un firewall obsoleto o mal configurato come porta d'ingresso.

Per una PMI di Torino la conseguenza è diretta: il router fornito dal provider, spesso l'unica barriera tra l'ufficio e la rete, non è pensato per fermare le minacce di oggi. In questo articolo spieghiamo cosa fa davvero un firewall di nuova generazione, perché il firewall del router non basta più e come AscenSys, società IT di Torino, progetta, installa e gestisce l'NGFW nelle piccole e medie imprese del territorio.

Il perimetro della rete è oggi la porta d'ingresso più usata negli attacchi alle PMI, e il motivo è semplice: è il punto in cui l'azienda si affaccia su internet e, se quel confine è debole, tutto il resto diventa raggiungibile. Molti imprenditori descrivono la situazione con parole disarmanti: "abbiamo il router che ci ha lasciato il provider", oppure "il firewall c'è, ma non lo tocca nessuno da anni". Sono proprio questi i due scenari che gli attaccanti cercano.

Cosa succede quando la rete ha solo il firewall del router

Il router del provider integra un firewall minimale, progettato per far navigare l'ufficio, non per difenderlo. Non ispeziona il traffico cifrato — che oggi è la quasi totalità delle comunicazioni web —, non riconosce le applicazioni, non blocca i siti che distribuiscono malware e non ha un sistema di prevenzione delle intrusioni. In pratica lascia passare quasi tutto ciò che non sia palesemente anomalo. Un dipendente che clicca su un link malevolo, un allegato che scarica un payload, un dispositivo compromesso che "telefona a casa" verso un server di comando e controllo: nessuno di questi eventi viene fermato al confine.

Il firewall dimenticato: obsoleto e mal configurato

Il secondo scenario è ancora più insidioso perché dà una falsa sensazione di sicurezza. Un firewall installato anni fa e mai più aggiornato accumula tre problemi gravi:

• Firmware non aggiornato: le vulnerabilità note del dispositivo restano aperte e vengono sfruttate attivamente dagli attaccanti, che scansionano internet proprio in cerca di firewall non patchati.
• Regole stratificate nel tempo: porte aperte per un fornitore che non lavora più con l'azienda, eccezioni temporanee diventate permanenti, regole duplicate che nessuno osa toccare.
• Licenze di sicurezza scadute: le funzioni di antivirus perimetrale, filtro web e IPS smettono di ricevere aggiornamenti e diventano gusci vuoti.

Il risultato è che l'azienda crede di essere protetta, ma il suo perimetro è di fatto scoperto. Ed è esattamente il tipo di bersaglio che il ransomware moderno predilige: nel 2026 gli attacchi non partono più da hacker che scelgono la vittima uno a uno, ma da scansioni automatiche che colpiscono chiunque abbia un varco aperto — una piccola azienda torinese vale quanto una grande multinazionale.

Mettere in sicurezza il perimetro non significa comprare la scatola più costosa e sperare che faccia tutto da sola. AscenSys, società IT di Torino, affronta il problema progettando il firewall di nuova generazione attorno alla realtà specifica dell'azienda e — soprattutto — gestendolo nel tempo, perché un NGFW vale quanto la sua configurazione e i suoi aggiornamenti. Il principio guida è uno: il perimetro deve capire cosa passa, non solo lasciarlo passare.

Come AscenSys dimensiona il firewall per una PMI

Non tutte le aziende hanno lo stesso profilo di rischio né lo stesso traffico. Scegliamo l'apparato in base al numero di postazioni, alla banda internet, alla presenza di sedi remote e di personale in smart working, evitando sia il sottodimensionamento (che manda in saturazione il firewall e rallenta la rete) sia l'eccesso di potenza che nessuno userà. Un firewall di nuova generazione ben scelto ispeziona il traffico cifrato senza introdurre latenza percepibile e cresce insieme all'azienda.

Le funzioni di sicurezza che attiviamo sul perimetro

Configuriamo l'NGFW come un sistema di difesa a più livelli, non come un semplice filtro:

• Controllo delle applicazioni e filtro web: si bloccano le categorie di siti pericolosi e le applicazioni non autorizzate, riducendo la superficie di attacco.
• Prevenzione delle intrusioni (IPS): il firewall riconosce e blocca in tempo reale i tentativi di sfruttare vulnerabilità note.
• Ispezione del traffico cifrato: si analizza anche ciò che viaggia in HTTPS, dove oggi si nasconde la maggior parte del malware.
• Integrazione con la sicurezza degli endpoint: colleghiamo il perimetro alla protezione dei dispositivi con soluzioni come quelle di ESET, di cui AscenSys è Partner, così che firewall e antivirus si scambino informazioni sulle minacce.
• Accesso remoto sicuro: attiviamo VPN cifrate per chi lavora da casa o dalle sedi distaccate, integrandole con i criteri di accesso di Microsoft 365, di cui AscenSys è Cloud Solution Provider.

A tutto questo affianchiamo la segmentazione della rete, così che un dispositivo compromesso non possa raggiungere liberamente server, gestionale e backup: è una delle misure più efficaci e meno diffuse tra le PMI, e il firewall di nuova generazione è lo strumento che la rende praticabile.

Portare una PMI da un perimetro scoperto a un firewall di nuova generazione davvero protettivo è un percorso ordinato, non un cambio di scatola improvvisato. La posta in gioco è alta: secondo l'Agenzia per la Cybersicurezza Nazionale, un incidente ransomware può bloccare l'operatività di un'azienda per giorni o settimane, con costi che spesso superano di gran lunga quello della prevenzione. Ecco i sei passaggi che AscenSys segue per una PMI di Torino.

1. Assessment del perimetro esistente: si analizza come l'azienda si connette a internet, quali servizi sono esposti, quali regole sono attive sul firewall attuale e dove si annidano porte aperte e configurazioni obsolete.
2. Dimensionamento dell'apparato: si sceglie il firewall di nuova generazione adeguato per postazioni, banda, sedi remote e traffico cifrato da ispezionare, con margine di crescita.
3. Progettazione delle regole e della segmentazione: si definiscono le politiche di traffico secondo il principio del privilegio minimo e si separano le reti (uffici, server, ospiti, dispositivi produttivi) in segmenti isolati.
4. Attivazione delle funzioni di sicurezza: si abilitano IPS, filtro web, controllo applicazioni, antimalware perimetrale e ispezione del traffico cifrato, con VPN per l'accesso remoto.
5. Migrazione controllata: si sostituisce il vecchio firewall in una finestra pianificata, verificando che tutti i servizi aziendali continuino a funzionare senza interruzioni.
6. Gestione e monitoraggio continui: si mantengono firmware e licenze sempre aggiornati, si monitorano gli eventi di sicurezza e si affinano le regole nel tempo.

Perché un firewall va gestito, non solo installato

Il vero valore di un firewall di nuova generazione non è nel giorno dell'installazione, ma nei mesi successivi. Le minacce cambiano ogni settimana, escono nuove vulnerabilità e le esigenze dell'azienda evolvono: senza aggiornamenti del firmware, rinnovo delle licenze e revisione periodica delle regole, anche l'apparato migliore invecchia in fretta e torna a essere quel firewall dimenticato che è la porta d'ingresso preferita dagli attaccanti. È qui che un partner IT locale come AscenSys fa la differenza: il perimetro resta protetto perché qualcuno lo cura in modo continuativo.