La microsegmentazione è un'architettura di sicurezza che suddivide le reti in zone di fiducia granulari e isolate, fino a singoli carichi di lavoro, utenti o dispositivi, per impedire agli aggressori di muoversi lateralmente dopo una violazione iniziale. Nel Regno Unito, il 43% delle imprese, circa 612.000 organizzazioni, ha subito una violazione o un attacco informatico nei 12 mesi precedenti nel 2025/2026, rendendo il contenimento un requisito operativo piuttosto che una preferenza di progettazione teorica (UK cyber security data).
La distinzione fondamentale è che la micro-segmentazione non consiste nell'aggiungere "più VLAN". Essa applica policy di accesso con un ambito ristretto tra sistemi che potrebbero già condividere la stessa rete, lo stesso data center, l'infrastruttura wireless o l'ambiente cloud. Un laptop compromesso potrebbe comunque raggiungere i servizi di cui ha bisogno, ma non dovrebbe accedere automaticamente a un server finanziario, a un controller di gestione dell'edificio, a un domain controller o al dispositivo di un altro utente.
Questa differenza è fondamentale negli ambienti legacy e a fiducia mista del Regno Unito. Le organizzazioni spesso gestiscono moderni carichi di lavoro in cloud accanto ad applicazioni obsolete, dispositivi non gestiti, tecnologie operative (OT), accessi per i fornitori esterni e guest WiFi. Un firewall perimetrale può controllare ciò che entra nell'infrastruttura, ma non è in grado, da solo, di governare ogni connessione est - ovest una volta che un utente malintenzionato ha ottenuto credenziali valide o ha compromesso un endpoint interno.
Perché la microsegmentazione è diventata essenziale per le reti del Regno Unito
L'ultima indagine del governo del Regno Unito sulle violazioni ha stimato che il 43% delle imprese, circa 612.000 organizzazioni, ha subito una violazione o un attacco negli ultimi 12 mesi, mentre circa il 19%, circa 267.000 imprese, è stato vittima di almeno un crimine informatico (Dati sulle violazioni e sugli attacchi nel Regno Unito). La stessa fonte registra crimini informatici in tutte le dimensioni aziendali, dal 17% delle microimprese al 48% delle grandi imprese. Il contenimento è ormai un requisito operativo per le organizzazioni di ogni dimensione, non una preoccupazione limitata alle istituzioni finanziarie o ai dipartimenti governativi.
Un modello perimetrale concentra le decisioni di sicurezza sul confine della rete. I firewall, i sistemi di rilevamento delle intrusioni perimetrali, i gateway di accesso remoto e ampi confini VLAN svolgono ancora ruoli importanti, ma non possono ispezionare o governare ogni connessione da workload a workload all'interno di un'infrastruttura. Una volta che un attacco di phishing, credenziali rubate, un servizio esposto o un endpoint vulnerabile consentono l'accesso, una rete interna piatta offre all'attaccante lo spazio per sondare e muoversi lateralmente.
Il problema del raggio d'azione (blast-radius)
Gli ambienti legacy del Regno Unito sono spesso organizzati intorno a dipartimenti, edifici o funzioni tecniche. Queste ampie zone rimangono utili per l'amministrazione, ma i loro confini possono essere troppo generici per un moderno controllo degli accessi. Un dispositivo su una subnet del personale potrebbe raggiungere servizi di file, sistemi di stampa, interfacce di gestione, server applicativi e altri endpoint senza che ciascun percorso riceva una specifica giustificazione aziendale.
La microsegmentazione crea zone di fiducia più piccole e applica le policy alle relazioni al loro interno. Una regola potrebbe consentire a un terminale point-of-sale di contattare il proprio servizio di pagamento, a un dispositivo clinico di raggiungere una determinata piattaforma di gestione o a un livello applicativo di interrogare il proprio database. I percorsi non correlati possono essere bloccati anche quando i sistemi condividono l'infrastruttura di switching.
L'indagine nel Regno Unito ha stimato anche circa 8,58 milioni di crimini informatici che hanno colpito le imprese del Regno Unito nell'anno di indagine più recente, mentre la prevalenza di violazioni segnalate è rimasta al 43% sia nel 2024/2025 che nel 2025/2026, dopo essere stata al 50% nel 2023/2024 (UK cyber security statistics). L'esposizione persistente rende i controlli basati solo sul perimetro inadatti per infrastrutture a sicurezza mista.
Regola pratica: ipotizza che un utente malintenzionato riesca prima o poi a ottenere un punto d'appoggio interno. Definisci quanta parte dell'infrastruttura può raggiungere quel punto d'appoggio, quindi riduci tale portata tramite policy testate.
Il modello zero trust fornisce il principio strategico secondo cui l'accesso deve essere verificato e limitato anziché ereditato dalla posizione di rete. La micro-segmentazione è il livello di applicazione che converte tale principio in decisioni sul traffico. Le linee guida per le reti del settore pubblico del Regno Unito richiedono zone granulari e isolate in base alla funzione, alla sensibilità dei dati, ai gruppi di utenti e alla criticità del servizio, inclusa la separazione tra ambienti di produzione, sviluppo, test e formazione (UK zero-trust network guidance).
L'implementazione ha successo quando i team mappano le dipendenze prima dell'applicazione delle policy. Negli ambienti legacy, una chiamata di servizio non documentata o una connessione di gestione può supportare un processo critico, pertanto le policy dovrebbero iniziare in modalità di osservazione, procedere attraverso un progetto pilota limitato ed espandersi man mano che le eccezioni vengono verificate. Per il contesto architetturale, network segmentation for UK businesses spiega i confini più ampi prima che vengano introdotti controlli a livello di carico di lavoro.
L'accesso wireless rientra nello stesso schema di progettazione. Dipendenti, collaboratori esterni e ospiti possono utilizzare la stessa infrastruttura dell'edificio, ma le piattaforme WiFi basate sull'identità, come descritto in una enterprise WiFi security guide, possono inserire il contesto dell'utente e del dispositivo nelle decisioni di segmentazione, aiutando ad applicare policy di accesso differenti senza trattare il WiFi come un dominio di sicurezza separato.
Come funziona effettivamente la microsegmentazione
Un'analogia utile è quella di un edificio per uffici sicuro. Il firewall perimetrale è la porta d'ingresso. Controlla chi entra nell'edificio dall'esterno. Le VLAN sono i piani, che separano ampi gruppi come personale, ospiti, server o apparecchiature della struttura. I microsegmenti sono le singole stanze, ciascuna con la propria serratura e una policy che descrive chi o cosa può entrare.
Tale policy parte solitamente da una posizione di rifiuto per impostazione predefinita. La piattaforma osserva una connessione tra due carichi di lavoro, utenti o dispositivi, quindi la consente solo quando esiste un requisito aziendale definito. Il dettaglio importante è che il controllo opera tra entità interne, non semplicemente tra la rete aziendale e Internet.
Dove viene applicata la policy
Il punto di applicazione determina ciò che il sistema può vedere e la precisione con cui può agire.
- Un hypervisor o virtual switch può ispezionare il traffico tra macchine virtuali senza inviare ogni flusso a un firewall fisico. Questo si adatta perfettamente agli ambienti applicativi virtualizzati.
- Un firewall del sistema operativo host applica i controlli vicino al carico di lavoro e può proteggere i sistemi dislocati in diverse posizioni di rete.
- Un fabric di rete o software-defined network applica le policy a livello di switch, router o gateway. Questo evita modifiche agli endpoint ma generalmente funziona con attributi di rete più ampi.
- Una piattaforma di accesso basata sull'identità può associare una decisione a una persona, un dispositivo, un ruolo o un risultato di autenticazione, anziché basarsi solo su un indirizzo.
Quest'ultimo punto è importante perché gli indirizzi IP cambiano. Le macchine virtuali migrano, i lease DHCP scadono, i dispositivi si spostano tra gli access point e le risorse cloud vengono ricreate. Una regola legata solo a un indirizzo può diventare imprecisa. Una regola legata all'identità del carico di lavoro, al ruolo dell'applicazione, alla postura del dispositivo o al contesto dell'utente autenticato ha maggiori possibilità di seguire l'elemento che è destinata a proteggere.
Il traffico est-ovest è l'elemento differenziante
Il traffico nord - sud attraversa il perimetro, ad esempio un utente che naviga su Internet o un client esterno che raggiunge un'applicazione pubblicata. Il traffico est - ovest si muove all'interno dell'infrastruttura, come un'applicazione che chiama un database o un endpoint che contatta un file server. Gli utenti malintenzionati dipendono dai percorsi est - ovest dopo aver ottenuto l'accesso.
La microsegmentazione governa direttamente queste comunicazioni interne. Può consentire il flusso da applicazione a database bloccando al contempo l'accesso da endpoint a database, anche quando entrambi i sistemi si trovano all'interno di un'ampia zona server o campus. Nelle infrastrutture WiFi, la progettazione basata sull'identità aiuta anche a tradurre l'autenticazione in posizionamento di rete. Strumenti come un iPSK subnet designer possono supportare la separazione deliberata per i dispositivi che non possono utilizzare la moderna autenticazione utente.
La sfida operativa consiste nello scegliere la giusta granularità delle policy. Una regola troppo ampia ripristina la fiducia implicita. Una regola troppo restrittiva può interrompere dipendenze legittime. Le implementazioni efficaci iniziano con l'osservazione delle comunicazioni per poi perfezionare i percorsi consentiti.
Confronto tra approcci basati su agenti, basati sulla rete e basati sull'host
I modelli di implementazione variano a seconda dell'infrastruttura. La scelta corretta dipende dai sistemi operativi, dai confini di proprietà, dai requisiti di visibilità e dalla tolleranza alle modifiche degli endpoint. In un ambiente misto nel Regno Unito, questi vincoli spesso contano più dell'architettura preferita sulla carta.
I controlli basati su agenti installano un componente leggero su ogni carico di lavoro protetto. L'agente è in grado di identificare le comunicazioni a livello di processo e di applicare le policy a ridosso del sistema operativo. Questo approccio è ideale per i carichi di lavoro in cloud e virtualizzati, dove l'identità del carico di lavoro può cambiare più spesso rispetto alla sua posizione fisica nella rete. Offre inoltre ai team di sicurezza prove più chiare su quale processo abbia avviato una connessione.
Il compromesso è lo sforzo di implementazione. I sistemi operativi legacy, le appliance non supportate, i server di produzione strettamente controllati e i dispositivi non gestiti potrebbero non accettare un agente. I team hanno bisogno di processi per la gestione delle versioni, il monitoraggio dello stato di salute, la gestione delle eccezioni e l'approvazione formale laddove l'installazione del software influisca sulla produzione.
I controlli basati sulla rete applicano le policy a livello di switch, router, gateway o fabric software-defined. Evitano modifiche su ogni endpoint, rendendoli pratici per reti campus, IoT, infrastrutture guest e apparecchiature che non possono eseguire un agent. Il loro limite è il contesto. Possono classificare il traffico per indirizzo, porta, segmento o categoria di dispositivo senza identificare il processo alla base di un flusso est-ovest crittografato.
I controlli basati sull'host utilizzano i firewall nativi del sistema operativo e la gestione centralizzata delle configurazioni. Per un ambiente a fiducia mista, questo può fornire un punto di partenza pratico senza aggiungere un'ulteriore piattaforma di enforcement. Il controllo dipende comunque da un'implementazione, un audit e una rimozione disciplinati quando i sistemi cambiano. Una configurazione incoerente crea derive nelle policy e rende più difficile la successiva risoluzione dei problemi.
| Criterio | Basato su agent | Basato sulla rete | Basato su host |
|---|---|---|---|
| Punto di applicazione | Carico di lavoro o endpoint | Switch, router, gateway o fabric | Firewall nativo del sistema operativo |
| Visibilità | Spesso consapevole di processi e carichi di lavoro | Di solito consapevole di rete e flussi | Forte sull'host protetto |
| Compatibilità legacy | Può essere limitata dal sistema operativo o dall'appliance | Adatto per dispositivi che non possono eseguire agent | Dipendente dalle funzionalità del sistema operativo |
| Onere operativo | Implementazione, aggiornamenti e controlli dello stato degli agent | Progettazione del fabric, integrazione e gestione delle regole | Controllo della configurazione e coerenza delle policy |
| Idoneità ideale | Carichi di lavoro in data-centre e cloud | Ambienti campus, IoT, guest e non gestiti | Ambienti misti e programmi incrementali |
| Punto debole principale | Lacune di copertura dove non è possibile installare gli agent | Contesto di identità e di processo più approssimativo | Complessità di gestione su larga scala |
Le implementazioni ibride riflettono il modo in cui sono costruite le strutture reali. Un'azienda potrebbe applicare le policy tramite agent per i carichi di lavoro applicativi, controlli di rete per le telecamere e i sistemi dell'edificio, e firewall host per i server posizionati tra i due gruppi. Il progetto dovrebbe seguire la mappatura delle dipendenze e un'applicazione graduale, piuttosto che forzare ogni dispositivo in un unico modello.
I servizi di identità aggiungono un input di controllo separato. Un cloud RADIUS provider può associare gli eventi di autenticazione all'accesso di rete basato sui ruoli, aiutando ad assegnare policy agli utenti o alle identità dei dispositivi a livello di accesso. Ciò supporta la segmentazione per il WiFi e altre infrastrutture condivise, ma non sostituisce i controlli a livello di carico di lavoro o i firewall dell'host.
Il design più solido di solito accetta i vincoli dell'infrastruttura esistente invece di trattare ogni dispositivo come un moderno carico di lavoro cloud.
Casi d'uso reali - Dal WiFi agli ambienti multi-tenant
La micro-segmentazione diventa più facile da giustificare quando risolve un problema di accesso visibile. Il WiFi per gli ospiti è l'esempio più semplice. Un visitatore ha bisogno di accedere a Internet, ma non dovrebbe ereditare un percorso verso le applicazioni del personale solo perché entrambe le reti utilizzano gli stessi punti di accesso e la stessa infrastruttura di switching.
Una piattaforma basata sull'identità può assegnare gli utenti a diverse VLAN o zone di attendibilità dopo l'autenticazione. Le credenziali del personale possono generare un profilo di accesso, quelle dei collaboratori esterni un altro e gli ospiti un profilo limitato. Questo è più sicuro rispetto all'affidarsi a una password ospite condivisa, perché una password trapelata non diventa automaticamente una chiave per la rete interna.
Ambienti IoT e sanitari
I dispositivi IoT richiedono un modello di policy separato perché spesso dispongono di funzionalità di sicurezza limitate e cicli di sostituzione lunghi. Una telecamera a circuito chiuso potrebbe aver bisogno di raggiungere una piattaforma di registrazione e un servizio di gestione, ma non dovrebbe avviare connessioni verso i laptop degli utenti. Un controller HVAC potrebbe necessitare di un percorso per la gestione dell'edificio, mentre un terminale di pagamento dovrebbe comunicare esclusivamente con i suoi servizi approvati per i pagamenti e la gestione.
Le strutture sanitarie presentano un'ulteriore sensibilità operativa. Le apparecchiature cliniche, gli endpoint amministrativi, i servizi rivolti ai pazienti e i sistemi strutturali possono avere requisiti di proprietà e disponibilità diversi. L'approccio più sensato consiste nel definire i flussi richiesti, isolare i gruppi di dispositivi e monitorare le eccezioni, anziché inserire ogni dispositivo in un'unica rete "fidata" e permissiva.
Immobili commerciali multi-tenant
Gli edifici multi-tenant introducono un problema di confine diverso. Un locatore può fornire una connettività fisica condivisa, mentre ogni tenant si aspetta un isolamento logico da ogni altro tenant. Ogni tenant necessita di una propria policy di accesso, di un confine amministrativo e di un percorso verso i servizi condivisi approvati, come l'accesso a internet o i servizi dell'edificio.
La policy-as-code può rendere ripetibile l'onboarding. Invece di modificare manualmente le configurazioni degli switch per ogni nuovo occupante, l'operatore definisce un profilo tenant e lo applica attraverso i sistemi di rete e di identità. Il risultato è una separazione che può estendersi all'accesso cablato, all'accesso wireless e ai nodi SD-WAN.
I team che valutano questo modello dovrebbero comprendere la differenza tra tenant isolati e account semplicemente separati. Una spiegazione pratica su come comprendere i tenant SaaS è utile perché lo stesso principio si applica ai servizi di rete, ovvero che un'infrastruttura condivisa non deve necessariamente significare una fiducia condivisa.
Purple può integrarsi con gli identity provider e RADIUS per assegnare l'accesso alla rete in base all'identità dell'utente o del dispositivo, incluso il posizionamento dinamico basato sui ruoli e l'isolamento per WiFi multi-tenant. In pratica, questo lo rende un componente di una più ampia architettura di segmentazione. La piattaforma di accesso decide a quale segmento appartiene una connessione, mentre firewall, switch, host e controlli sui workload determinano cosa quella connessione può effettivamente raggiungere.
Dove la microsegmentazione riduce maggiormente il rischio
La microsegmentazione non è principalmente un esercizio di conformità del data center. Offre il massimo valore laddove una compromissione in un gruppo di attendibilità potrebbe esporre sistemi con un ruolo operativo completamente diverso.
Le linee guida della NCSC sulla tecnologia operativa descrivono la micro-segmentazione come la suddivisione delle zone in unità più piccole in base a carichi di lavoro, applicazioni o funzioni dei dispositivi, potenzialmente fino a singoli dispositivi, servizi o protocolli (Linee guida sulla micro-segmentazione OT della NCSC). Questa impostazione è più utile rispetto al trattare ogni ambiente come una generica rete IP. Un controller industriale, un sistema di gestione degli edifici e un laptop aziendale richiedono protezioni e regole di comunicazione diverse.
Dai la priorità ai percorsi di guasto più costosi
Una rete campus piatta crea percorsi non necessari tra endpoint, servizi di file, sistemi di stampa, piattaforme vocali e interfacce amministrative. La risposta non è sempre una riprogettazione completa. Una policy mirata incentrata sull'amministrazione privilegiata, sui server sensibili, sull'accesso di terze parti e sulle classi di dispositivi può eliminare innanzitutto i percorsi più pericolosi.
| Punto critico di rischio | Strategia di segmentazione | Riduzione del raggio d'impatto |
|---|---|---|
| Accesso guest | Separare l'identità e il traffico guest dai servizi aziendali, con policy di solo internet ove appropriato | Una compromissione a livello guest rimane confinata all'interno della trust zone dei guest |
| Dispositivi IoT | Consentire solo i flussi di gestione e di servizio richiesti | Un dispositivo vulnerabile non può scansionare liberamente le reti degli utenti o dei server |
| Accesso per collaboratori esterni | Assegnare una zona limitata nel tempo o specifica per il ruolo con percorsi limitati | Le credenziali di terze parti non forniscono una portata interna generale |
| Server applicativi legacy | Utilizzare controlli host o di rete laddove gli agent non sono praticabili, consentendo poi le dipendenze documentate | Un carico di lavoro legacy compromesso ha meno percorsi verso i sistemi adiacenti |
| Sistemi OT e impianti | Separare le zone operative dall'IT aziendale ed esaminare le comunicazioni interzona | Un ransomware nell'IT ha un percorso più difficile verso i sistemi sensibili alla sicurezza o alla disponibilità |
L'NCSC consiglia di basare le decisioni di segmentazione sulla protezione richiesta dagli asset, sulla loro necessità di interagire con altri asset e sulla misura in cui la loro integrità è considerata affidabile. Questo rende la definizione delle priorità guidata dal rischio molto più difendibile rispetto a una segmentazione basata sulle tendenze organizzative del momento.
I dubbi sulle prestazioni meritano comunque di essere testati. Il posizionamento delle policy, la crittografia, il metodo di ispezione e la capacità del dispositivo influiscono sul risultato, quindi la dichiarazione generica sulle prestazioni di un fornitore non sostituisce un progetto pilota nell'infrastruttura di destinazione. Il sovraccarico operativo è reale, ma lo è anche il costo di lasciare impliciti i percorsi ad alto valore.
Implementare la microsegmentazione senza compromettere i sistemi legacy
Il programma più sicuro inizia con l'osservazione, non con il blocco. In modalità di solo monitoraggio, raccogliete i record di flusso e le informazioni sugli endpoint senza modificare il traffico di produzione. Network TAP, collettori NetFlow, telemetria degli switch e discovery basata su agent possono rivelare quali sistemi comunicano, quali connessioni sono persistenti e quali eccezioni "temporanee" sono diventate dipendenze aziendali.
Analizza l'infrastruttura prima di scrivere le regole
L'inventario da solo non è sufficiente. Mappa ogni applicazione con i relativi servizi di supporto, proprietari, sensibilità dei dati e criticità operativa. Registra le chiamate di servizio non documentate, i percorsi amministrativi, il traffico di backup, le connessioni di monitoraggio e l'accesso dei fornitori. Una policy basata su un diagramma architetturale di anni fa fallirà non appena entrerà in contatto con l'infrastruttura reale.
Il NCSC raccomanda di documentare come la segmentazione sarà pianificata, progettata, applicata e monitorata in modo che una compromissione rimanga limitata al segmento violato (NCSC segmentation planning guidance). Tale documentazione dovrebbe essere un registro operativo, non un documento di progettazione una tantum.
Procedi attraverso un'applicazione controllata
Utilizza un percorso a fasi:
- Rilevamento (Discover): Acquisisci i flussi est-ovest e identifica i proprietari degli asset, le applicazioni, i protocolli e i dispositivi sconosciuti.
- Pianificazione (Plan): Raggruppa gli asset in base alla funzione aziendale, alla sensibilità, alla fiducia e alla dipendenza. Redigi policy di autorizzazione a partire dai requisiti osservati.
- Pilota (Pilot): Testa le policy su un gruppo di carichi di lavoro rappresentativo, preferibilmente in modalità shadow o di staging. Conferma che i percorsi di monitoraggio, backup, amministrazione e supporto continuino a funzionare.
- Applicazione (Enforce): Inizia con restrizioni ad alta affidabilità, come l'accesso guest-to-corporate o i percorsi IoT-to-domain-controller. Amplia l'applicazione solo dopo che i proprietari del servizio avranno convalidato il risultato.
Mantenete pratiche le procedure di rollback. Definite chi può disabilitare una policy, quale finestra di modifica applicare, quali evidenze attivano il rollback e come viene registrata la decisione. Mantenete un registro delle eccezioni per i sistemi legacy che non supportano gli agent o i controlli moderni, includendo un responsabile, un controllo compensativo, una data di revisione e una condizione di rimozione.
Disciplina di implementazione: Se nessuno è proprietario di un'eccezione, non si tratta di un'eccezione. È un accesso permanente non documentato.
La ricerca sul modello zero-trust nel Regno Unito citata dai report di settore indica che il 92% delle organizzazioni attualmente segmenta le proprie reti, ma distingue questa segmentazione generica dalla micro-segmentazione a livello di workload (UK zero-trust adoption data). Questa distinzione dovrebbe guidare la reportistica dei programmi. Una rete segmentata non è necessariamente una rete basata sul principio del minor privilegio.
Collegare la microsegmentazione alla strategia Zero Trust
Il modello zero trust diventa applicabile quando la microsegmentazione applica l'identità, il contesto del dispositivo, la proprietà dell'applicazione e le decisioni basate sul principio del privilegio minimo al traffico interno. Senza tale punto di applicazione, la verifica spesso si esaurisce al momento del login.
Collega i servizi di directory, RADIUS, i segnali degli endpoint, l'identità del carico di lavoro e i motori di policy in modo che le decisioni di accesso influiscano sugli ambienti wireless, cablati, cloud e SD-WAN. Nelle infrastrutture del settore pubblico del Regno Unito, questo supporta la separazione tra produzione, sviluppo, test e formazione, accogliendo al contempo reti a attendibilità mista.
Considera i controlli come una disciplina operativa. Esamina le dipendenze, rimuovi le eccezioni obsolete, testa le modifiche alle policy e rivaluta le zone al variare delle applicazioni o della proprietà. Inizia con un percorso ad alto valore che abbia una chiara proprietà aziendale, per poi espanderti dopo averne compreso le dipendenze.
Controlla innanzitutto l'accesso degli ospiti, l'amministrazione privilegiata, i dispositivi IoT e delle strutture, e le dipendenze delle applicazioni legacy. Seleziona un metodo di applicazione che ciascuna area possa supportare, documenta i flussi richiesti e scagliona i controlli in base al rischio operativo. Questo rende la domanda su che cos'è la microsegmentazione utile come quesito di progettazione e governance.
Purple connette l'accesso WiFi basato sull'identità con l'isolamento dei ruoli e dei tenant attraverso il posizionamento in rete basato su RADIUS e policy per utenti o dispositivi. Visita Purple per valutare come la sua piattaforma di rete possa integrarsi in un programma più ampio di microsegmentazione e zero-trust in ambienti per ospiti, personale e multi-tenant.
