La maggior parte delle organizzazioni non inizia con una strategia di sicurezza wireless deliberata. Ne eredita una. Un SSID per il personale è stato configurato anni fa, qualcuno ha condiviso la password durante l'onboarding, la stessa chiave è finita su telefoni personali, tablet, stampanti, schermi delle sale riunioni e sul laptop di qualche collaboratore esterno, e ora nessuno vuole toccarla perché cambiarla interromperebbe tutto.
Questa configurazione sembra normale finché non ci si pone alcune domande schiette. Chi conosce attualmente la password? Quali dispositivi la stanno utilizzando? Cosa succede quando un dipendente se ne va in cattivi rapporti? È possibile revocare un singolo dispositivo senza dover reinserire la chiave in tutta la sede? In molti ambienti, la risposta a tutte e quattro le domande è una variante di "non in modo pulito".
Questo è il divario al centro della sicurezza WiFi aziendale. Il problema non è solo la crittografia. È l'identità, il controllo e la capacità di prendere decisioni di accesso per utente, per dispositivo e per sessione. Una rete wireless moderna dovrebbe comportarsi meno come una chiave della porta d'ingresso condivisa e più come un sistema di accesso con badge nominativi, policy, log e revoca istantanea.
Andare Oltre la Password Condivisa
La versione familiare si presenta così. L'ufficio ha una rete "Staff" protetta da una singola password. L'IT la fornisce ai nuovi assunti, i team delle strutture la usano per smart TV e stampanti, e i collaboratori a lungo termine la mantengono sui propri dispositivi perché è comodo. Quando qualcuno se ne va, la password spesso rimane la stessa perché ruotarla significa intervenire su ogni dispositivo e in ogni sede.
Quel modello è sempre stato debole. Ora è operativamente pericoloso.
Nel Regno Unito, il 50% delle aziende ha subito una violazione o un attacco alla sicurezza informatica nel 2024, percentuale che sale al 74% per le grandi aziende, secondo le linee guida citate nel riepilogo delle best practice per la sicurezza WiFi aziendale . Il controllo degli accessi wireless si colloca direttamente all'interno di questo scenario di rischio, perché una password condivisa non offre quasi alcuna precisione. Consente di far entrare tutti o di escludere tutti. Non c'è molto altro nel mezzo.
Perché i segreti condivisi falliscono nella pratica
Una password condivisa crea quattro problemi ricorrenti:
- Nessuna responsabilità individuale. Si sa che l'SSID è stato utilizzato, ma non quale persona o dispositivo gestito avrebbe dovuto avere accesso in quel momento.
- Offboarding doloroso. Se una persona o un dispositivo diventa a rischio, la soluzione pulita consiste nel cambiare la password per tutti.
- Diffusione delle password. Il personale la riutilizza, la salva su dispositivi non gestiti e talvolta la trasmette in modo informale.
- Fiducia piatta. Una volta connessi, troppi utenti e dispositivi finiscono sulla stessa rete generica.
Regola pratica: se la rimozione di un singolo utente richiede la modifica della password a livello di intero sito, il design wireless è già in ritardo rispetto al profilo di rischio dell'organizzazione.
Il passaggio da questo modello non serve solo a rendere la rete più difficile da violare. Si tratta di sostituire un segreto con un'identità. Ecco perché sempre più team stanno passando all'accesso passwordless WiFi sia per il personale che per gli ospiti. Il vantaggio principale non è la novità, ma il controllo. È possibile approvare un dispositivo, revocare un certificato, legare la policy allo stato della directory e smettere di trattare ogni utente come se condividesse la stessa chiave per la stessa porta.
Come si presenta un modello ottimale oggi
Un punto di partenza più solido inizia con l'autenticazione individuale per ogni utente o dispositivo. Da lì, è possibile assegnare diversi livelli di accesso a dipendenti, collaboratori esterni, ospiti e tecnologie operative. Potete anche smettere di fingere che una stampante e un laptop dell'ufficio finanziario appartengano allo stesso livello di affidabilità solo perché si connettono tramite lo stesso spazio aereo.
In pratica, la sicurezza WiFi aziendale è diventata un progetto di identità tanto quanto un progetto radio. Gli access point sono ancora importanti. Il controller è ancora importante. Ma la differenza fondamentale deriva dallo spostamento della decisione di ammissione da un post-it a una policy.
Comprendere i rischi per la sicurezza WiFi di oggi
Il rischio wireless non è un singolo problema. È un insieme di punti di vulnerabilità che si accumulano quando le organizzazioni utilizzano un'autenticazione debole, accessi troppo ampi e una scarsa visibilità.
La superficie di attacco è inoltre più ampia di quanto molti team pensino. Il Cisco Annual Internet Report stimava che entro il 2023 ci sarebbero stati 3,6 dispositivi in rete per persona nel Regno Unito e 5,5 miliardi di dispositivi in rete totali nel Paese, una portata evidenziata in questa discussione sulle best practice per il controllo dell'accesso alla rete . Questo è importante perché ogni dispositivo connesso al WiFi rappresenta un potenziale punto di ingresso, un errore di configurazione o un percorso per uno spostamento laterale.
Le minacce più frequenti
Alcuni attacchi wireless sono diretti. Altri si affidano a un'unica scelta di connessione errata da parte degli utenti.
| Rischio | Come funziona | Perché è importante |
|---|---|---|
| Rogue access point | Qualcuno installa un AP non autorizzato o crea un SSID finto che sembra legittimo | Gli utenti si connettono alla rete sbagliata e trasmettono il traffico a un utente malintenzionato |
| Furto di credenziali | Gli utenti inseriscono le credenziali aziendali in portali deboli o pagine di phishing | Le credenziali rubate possono sbloccare molto più del semplice WiFi |
| Man-in-the-middle attacks | Un aggressore si posiziona tra il client e il servizio | Le sessioni possono essere intercettate, alterate o monitorate |
| Movimento laterale | Un endpoint compromesso raggiunge altri sistemi sullo stesso ampio segmento | Una piccola compromissione diventa un incidente più ampio |
| Debole postura IoT | Dispositivi con scarsa sicurezza si connettono insieme ai sistemi aziendali | Gli aggressori prendono di mira il dispositivo più semplice, non quello più importante |
Un attacco "evil twin" è un esempio semplice. Un aggressore configura una rete wireless con un nome familiare vicino alla tua sede. Gli utenti si connettono perché l'SSID sembra corretto o perché il loro dispositivo si connette automaticamente. Se il tuo ambiente dipende dal giudizio dell'utente e dalle password, quella rete falsa ha una possibilità di successo. Se l'ambiente utilizza una solida autenticazione reciproca basata su certificati, tale attacco è molto più difficile da mettere a segno perché il client verifica anche il lato rete della conversazione.
Le reti piatte rendono costosi i piccoli errori
I danni si verificano spesso dopo la connessione. Se i dispositivi del personale, i dispositivi non gestiti e gli endpoint operativi condividono un ampio accesso alla rete, un singolo punto di appoggio può raggiungere mete molto più lontane di quanto dovrebbe.
Ecco perché la sicurezza WiFi deve essere legata alla segmentazione e all'applicazione delle policy, non solo alla crittografia via etere. I team che lavorano su una più ampia gestione delle minacce informatiche per le aziende di solito scoprono che il WiFi non può rimanere escluso dal modello di rischio principale. Fa parte della stessa strategia di identità, monitoraggio e contenimento del resto della rete.
Un SSID sicuro che inserisce ogni dispositivo autenticato nello stesso segmento non limitato non offre una sicurezza WiFi aziendale significativa. Sposta solo il problema un passo più avanti.
Il cuore della moderna autenticazione WiFi
Il cambiamento tecnico è semplice una volta eliminati gli acronimi. WPA-Personal utilizza una chiave condivisa. WPA2-Enterprise e WPA3-Enterprise utilizzano 802.1X per autenticare ogni utente o dispositivo individualmente. Questo singolo cambiamento altera l'intero modello operativo.
Per le imprese del Regno Unito, la base pratica più solida è WPA2-Enterprise o WPA3-Enterprise con 802.1X, poiché autentica ogni utente o dispositivo individualmente e rende possibile la revoca istantanea, come descritto in questa panoramica sulla sicurezza delle reti WiFi aziendali .
Chiave condivisa contro badge nominativo
L'analogia più semplice è l'accesso all'edificio.
Una password WiFi condivisa è una chiave copiata per tutti i presenti nell'edificio. Se una copia va persa, è necessario sostituire ogni serratura o accettare il rischio.
L'802.1X è un sistema a badge. Ogni persona o dispositivo presenta la propria identità. La rete verifica tale identità con un motore di policy centrale, solitamente un servizio RADIUS, e poi decide cosa consentire. Un singolo badge può essere disabilitato senza cambiare l'esperienza per tutti gli altri.
Questo è il motivo pratico per cui i team aziendali lo adottano. Non perché l'acronimo sembri più avanzato, ma perché offre loro un controllo operativo che possono effettivamente utilizzare.
Cosa fa l'802.1X
Al momento della connessione, l'access point non accetta automaticamente il client sulla rete. Agisce come punto di applicazione e passa la conversazione di autenticazione a un backend di policy. Questo processo consente di decidere:
- Chi si sta connettendo. Membro del personale, fornitore esterno, dispositivo gestito, dispositivo BYOD, stampante.
- Come ha dimostrato l'identità. Nome utente e password, certificato o un altro metodo EAP approvato.
- Cosa succede dopo. Assegnazione della VLAN, applicazione di ACL, mappatura dei ruoli o rifiuto.
L'autenticazione smette di essere un controllo sì/no rispetto a una singola password. Diventa una decisione di policy legata all'identità e al contesto.
Perché WPA3 è importante
Il WPA3-Enterprise innalza lo standard minimo di sicurezza e migliora la postura crittografica della sessione wireless. Nelle decisioni quotidiane di architettura, tuttavia, è importante non trattare il WPA3 come una soluzione magica. Se si distribuisce il WPA3 ma si fa ancora affidamento su una gestione debole dell'identità, su credenziali condivise nei percorsi di fallback o su una scarsa segmentazione, non si è risolto il problema di fondo.
Un approccio sensato è semplice:
- Passare prima alla modalità enterprise. L'autenticazione individuale cambia immediatamente il modello di controllo.
- Utilizzare WPA3-Enterprise dove i client lo supportano. Tenere presente l'interoperabilità durante la migrazione.
- Trattare la progettazione delle policy alla pari della sicurezza radio. La crittografia più forte non risolverà una fiducia troppo estesa.
Perché EAP-TLS è lo standard di riferimento
Tra i metodi di autenticazione 802.1X, EAP-TLS è quello di cui la maggior parte degli architetti si fida per le distribuzioni ad alta sicurezza, perché sostituisce le password con i certificati.
Ciò comporta conseguenze reali:
- Resistenza al phishing. Non c'è alcuna password WiFi che l'utente debba digitare in una pagina falsa.
- Nessun problema di riutilizzo delle password. Il percorso di autenticazione non dipende da un segreto gestito da un essere umano.
- Revoca più semplice. È possibile revocare un singolo certificato o l'identità di un singolo dispositivo senza dover modificare l'intera infrastruttura.
- Autenticazione reciproca. Il client può verificare il server, offrendo protezione contro gli attacchi tramite finta infrastruttura.
Principio di progettazione: se un utente può essere indotto a digitare una credenziale WiFi, il percorso di accesso wireless fa ancora parte dell'esposizione al phishing.
L'implementazione dei certificati comporta del lavoro aggiuntivo. Richiede la gestione del ciclo di vita, flussi di registrazione, decisioni sulla PKI e il supporto per tipi di dispositivi misti. Tuttavia, una volta implementata, la sicurezza del WiFi aziendale diventa molto più prevedibile. Non si dipende più dalla speranza che gli utenti proteggano una password. Si applica invece l'identità tramite credenziali gestite che si integrano in un modello zero-trust.
Adottare l'Accesso Passwordless e Federato
Gli ambienti wireless più robusti sono solitamente i più facili da usare, non i più difficili. Questo sorprende i team che associano ancora la sicurezza a continue richieste di credenziali, all'uso di password e a processi di onboarding complessi.
In pratica, l'accesso passwordless e federato migliora sia il controllo che l'esperienza utente. Il personale smette di considerare il WiFi come un'isola di accesso separata. Gli ospiti non devono più confrontarsi con flussi di portali macchinosi che compromettono la fiducia prima ancora di accedere a Internet.
L'accesso del personale deve seguire l'identità aziendale
Per i dipendenti, il WiFi non dovrebbe richiedere un archivio di credenziali separato se l'azienda utilizza già un identity provider come Entra ID, Okta o Google Workspace. La rete wireless dovrebbe consumare la stessa fonte di identità che guida la registrazione dei dispositivi, l'accesso alle applicazioni e la disattivazione degli utenti.
Ciò offre un modello operativo più lineare:
- I nuovi assunti ottengono l'accesso attraverso i flussi di lavoro di identità esistenti.
- Chi cambia ruolo eredita nuovi permessi di accesso in base alle modifiche di mansione.
- Chi lascia l'azienda perde l'accesso quando cambia lo stato nella directory.
- I dispositivi BYOD possono essere gestiti con un onboarding controllato anziché con una fiducia incondizionata.
Il Single Sign-On è fondamentale in questo contesto perché riduce il numero di sistemi autonomi che rischiano di non essere sincronizzati. Il valore operativo di questo approccio è spiegato nel dettaglio in questa analisi sui vantaggi del single sign-on . Il punto chiave per il wireless è semplice. Meno spesso gli utenti gestiscono manualmente i segreti, minori sono le opportunità di perderli, riutilizzarli o digitarli in modo errato.
Il passwordless è un controllo di sicurezza, non solo una funzionalità di comodità
Quando si sente parlare di "WiFi passwordless", a volte si pensa innanzitutto alla comodità. Il motivo principale è invece la riduzione dell'esposizione. Rimuovere le password dal percorso wireless elimina un'ampia categoria di richieste di assistenza e una parte significativa di rischi evitabili.
Un approccio senza password include spesso:
- Onboarding basato su certificati per i dispositivi aziendali gestiti dal personale.
- Policy basate su directory in modo che l'accesso segua lo stato dell'identità.
- Riconnessione automatica e trasparente dopo la prima registrazione, garantendo un'esperienza utente senza interruzioni.
- Revoca immediata quando un dispositivo o un utente non deve più essere considerato attendibile.
Questo è anche il punto in cui la scelta della piattaforma diventa fondamentale. Alcune organizzazioni preferiscono basarsi sullo stack NAC esistente e sugli strumenti di identità cloud. Altre preferiscono utilizzare servizi di rete gestiti basati sull'identità. Ad esempio, Purple supporta il WiFi del personale con standard 802.1X, onboarding basato su certificati e integrazioni SSO con Entra ID, Google Workspace e Okta. La domanda fondamentale in fase di progettazione non riguarda la preferenza per un brand. Si tratta di capire se la piattaforma si adatta alla tua architettura di identità, al tuo modello di revoca e alla tua capacità di supporto.
L'accesso per ospiti e visitatori può essere sicuro senza risultare complesso
Il WiFi per gli ospiti è spesso meno sicuro di quello aziendale perché i team pensano che sia necessario scendere a compromessi tra semplicità e protezione. Ma non deve essere così.
I moderni sistemi di accesso per gli ospiti possono utilizzare tecnologie come Passpoint e OpenRoaming per creare connessioni crittografate e automatiche senza dipendere da una password condivisa o dalla continua compilazione di una splash page. L'esperienza utente migliora perché il dispositivo riconosce un framework di accesso attendibile. La sicurezza aumenta perché la connessione si avvia con un'identità e un comportamento di crittografia più forti rispetto a un SSID aperto o a un Captive Portal di base.
Gli utenti non si oppongono al WiFi sicuro. Si oppongono al WiFi che è sia insicuro che scomodo.
Questo è l'obiettivo pratico. Un modello di identità per il personale, un percorso controllato per i dispositivi personali (BYOD) e un accesso ospiti che non abitui le persone a fare clic su pagine di portali generici fidandosi della prima rete che capita.
Progettare un'Architettura Wireless Zero Trust
Il principio Zero Trust applicato al WiFi si traduce principalmente in questo concetto. La connessione non equivale alla fiducia. Il fatto che un dispositivo si trovi nel raggio d'azione radio, conosca un SSID o abbia superato una fase di autenticazione di base non deve garantire un accesso ampio alle risorse interne.
Un design wireless zero-trust praticabile inizia con l'identità e finisce con il contenimento. Non si tratta tanto di acquistare un prodotto etichettato come "zero-trust", quanto piuttosto di garantire che ogni decisione di accesso sia limitata, esplicita e revocabile. La definizione più ampia del zero trust network access si allinea bene con il wireless perché il WiFi è uno dei punti più facili per le organizzazioni in cui concedere un eccesso di fiducia per impostazione predefinita.
Iniziare con la policy, non con gli SSID
Un errore comune è la creazione di un gran numero di SSID per rappresentare gruppi diversi. Questo sembra organizzato ma spesso diventa presto disordinato. Un modello migliore prevede meno SSID, un'autenticazione più forte e un'assegnazione basata su policy dietro le quinte.
Ad esempio, lo stesso SSID aziendale può posizionare gli utenti in modo diverso in base all'identità e allo stato del dispositivo:
| Identità o tipo di dispositivo | Trattamento tipico |
|---|---|
| Laptop aziendale gestito | Segmento aziendale con accesso basato sui ruoli |
| Dispositivo di un collaboratore esterno | Segmento limitato solo per strumenti specifici |
| Dispositivo mobile executive | Accesso gestito con controlli di policy più stringenti |
| Stampante o scanner | Segmento operativo isolato con accesso limitato est - ovest |
| Telefono ospite | Accesso solo Internet, separato dai sistemi interni |
L'assegnazione dinamica della VLAN e le policy basate sui ruoli diventano particolarmente utili. Alla rete non importa in quale ufficio sia entrata una persona. Valuta chi è, quale dispositivo sta utilizzando e quale accesso deve ottenere.
Applicare il principio del privilegio minimo dal primo pacchetto
Il privilegio minimo sul wireless non è un principio astratto. È una sequenza di decisioni concrete:
- Autenticare l'identità con 802.1X o un'alternativa approvata.
- Classificare l'endpoint come gestito, non gestito, ospite o operativo.
- Assegnare il ruolo di rete in base agli attributi della directory e alla policy.
- Limitare il movimento est - ovest in modo che un endpoint non possa navigare liberamente nel resto dell'infrastruttura.
- Monitorare il comportamento della sessione alla ricerca di anomalie e revocare rapidamente se necessario.
Questo design limita il raggio d'azione di un eventuale attacco. Se un dispositivo viene compromesso, l'attaccante non eredita automaticamente un'ampia visibilità interna.
Evitare il falso comfort dell'"interno"
Molte violazioni diventano più gravi perché la rete considera attendibile tutto ciò che è riuscito a entrare nella WLAN interna. Questa ipotesi oggi è difficile da giustificare. I laptop aziendali subiscono attacchi di phishing. I dispositivi mobili vengono smarriti. L'hardware IoT viene fornito con impostazioni predefinite deboli. I collaboratori esterni si connettono da ambienti misti.
“Internal WiFi” is not a security boundary. It's only a transport medium until policy decides otherwise.
Strong enterprise WiFi security treats every wireless session as untrusted until proven and constrained. That's what turns zero trust from a slide-deck phrase into an operational design.
Handling Legacy and IoT Devices Securely
Every clean wireless design eventually runs into the same objection. “That sounds good for laptops and phones, but what about the devices that don't support 802.1X?” It's a fair question. Printers, scanners, medical devices, building systems, cameras, and older specialist hardware often can't run modern supplicants properly.
The wrong response is to create a fallback SSID with one shared WPA2-Personal password and call it the “IoT network”. That undoes much of the security model you've just built. The password spreads. Nobody knows which device is using it. Revoking one endpoint becomes painful again.
Why a shared fallback SSID is a bad compromise
A single password for legacy devices creates the same problems discussed earlier, but with even less visibility. Many of these endpoints are unmanaged or lightly managed. Some are hard to patch. Some are installed and forgotten.
That makes a shared-key network dangerous for three reasons:
- Attribution is poor. You know a device joined, but not whether it's the approved one you intended.
- Rotation is disruptive. Changing the key can mean visiting devices one by one.
- Segmentation gets sloppy. Teams often place legacy devices together and hope firewall rules are enough.
Use per-device credentials where full 802.1X isn't possible
A better compromise is iPSK or PPSK. Different vendors label it differently, but the principle is the same. Each device gets its own unique pre-shared key, even if the SSID is shared.
That gives you practical control without requiring a full 802.1X supplicant:
- One device, one key. If a printer is replaced or a camera is compromised, you revoke that key only.
- Better policy mapping. You can tie a specific key to a VLAN, role, or narrow network policy.
- Improved visibility. Support teams can tell which endpoint should be on the network.
This isn't equal to certificate-based EAP-TLS. It's a pragmatic containment strategy for hardware that can't do better.
Treat IoT as a risk class, not a convenience class
The design mindset matters. Legacy and IoT devices should not be “the stuff that goes on the easy network”. They should be treated as a distinct risk category with tightly defined communication paths.
Un pattern sensato consiste nell'isolarli dalle reti degli utenti, consentire solo i protocolli e le destinazioni di cui hanno bisogno e documentare chiaramente la proprietà. Se nessun team gestisce il ciclo di vita dei dispositivi, la sola policy wireless non sarà sufficiente. Ma se si combinano le credenziali per singolo dispositivo con una segmentazione rigorosa, è possibile evitare che le eccezioni dei sistemi legacy compromettano il resto dell'architettura wireless.
Monitoraggio della Compliance e Risposta agli Incidenti
Un'installazione sicura non si esaurisce quando gli utenti si connettono con successo. Le operazioni del "giorno due" contano più del giorno del rollout. Se non si è in grado di vedere chi si è autenticato, quale metodo ha utilizzato, quale ruolo ha ricevuto e cosa è cambiato prima di un incidente, l'ambiente wireless sarà difficile da difendere e ancora più difficile da analizzare.
Cosa monitorare ogni giorno
Come minimo, i team di sicurezza e di rete dovrebbero tenere d'occhio questi punti dati nei loro log wireless e RADIUS:
- Errori di autenticazione che possono indicare tentativi di brute force, problemi con i certificati o client configurati in modo errato
- Problemi ripetuti di onboarding che spesso rivelano policy non funzionanti o tipi di dispositivi non supportati
- Cambiamenti di ruolo imprevisti come un dispositivo che finisce nel segmento errato
- Nuovi pattern di endpoint che suggeriscono dispositivi non autorizzati o una crescita non gestita
- Avvisi di AP non autorizzati e SSID contraffatti dagli strumenti di monitoraggio wireless
Questi log supportano anche le attività di compliance. Il UK GDPR e il Data Protection Act 2018 richiedono misure tecniche e organizzative adeguate per proteggere i dati personali. Su una rete wireless, tale aspettativa si traduce in un controllo degli accessi efficace, una segmentazione sensata e punti di decisione verificabili. Il WiFi basato sull'identità è d'aiuto perché fornisce eventi di accesso nominativi anziché l'uso anonimo di un segreto condiviso.
Gli ambienti ad alta affidabilità richiedono scelte più rigorose
Per gli ambienti che richiedono una maggiore garanzia di sicurezza, come la pubblica amministrazione o la difesa, la modalità WPA3-Enterprise a 192 bit rappresenta l'opzione più solida tra quelle descritte e si basa comunque su 802.1X ed EAP-TLS per i controlli di identità per singola sessione, come riassunto in questa guida alla sicurezza WiFi . Ciò non elimina la necessità di monitoraggio. Aumenta, invece, l'aspettativa che la policy, la gestione dei certificati e la gestione degli incidenti siano altrettanto disciplinate.
Creare un playbook per gli incidenti wireless
Quando si sospetta un incidente wireless, la velocità conta più della perfezione. La prima risposta dovrebbe essere strutturata:
- Identificare l'ambito. Quali SSID, siti, identità e dispositivi sono coinvolti?
- Contenere l'accesso. Revocare i certificati, disabilitare gli account o mettere in quarantena il ruolo interessato.
- Conservare i log. Conservare i registri di autenticazione, gli eventi del controller e le relative modifiche di identità.
- Verifica i movimenti laterali. Conferma se il dispositivo ha raggiunto sistemi oltre il segmento previsto.
- Rimedia e rafforza. Correggi la lacuna nelle policy, la configurazione errata o la debolezza di registrazione che ha reso possibile l'incidente.
I migliori piani di risposta agli incidenti wireless non iniziano con l'acquisizione di pacchetti. Iniziano sapendo esattamente quale identità si è connessa, quale policy è stata applicata e come revocarla immediatamente.
La tua checklist per la sicurezza WiFi aziendale
Un buon programma di sicurezza wireless non inizia con la sostituzione di ogni access point. Inizia con la sostituzione delle ipotesi di attendibilità deboli. Usa questa checklist per verificare la situazione del tuo ambiente e decidere cosa cambiare per primo.
Verifica lo stato attuale
- Trova i segreti condivisi. Elenca ogni SSID che utilizza ancora una password comune e individua chi la conosce.
- Mappa le classi di dispositivi. Separa il personale, gli ospiti, i BYOD, i fornitori esterni, l'IoT e i dispositivi operativi.
- Rivedi i confini di attendibilità. Controlla se viene concesso un ampio accesso interno solo perché un dispositivo si è connesso al WiFi.
Assegna le priorità alle modifiche dei controlli
- Sposta il personale su 802.1X. Inizia con i dispositivi gestiti e rendi l'autenticazione individuale l'opzione predefinita.
- Prediligi l'accesso basato su certificati. Usa EAP-TLS dove il ciclo di vita dei dispositivi e i processi PKI possono supportarlo.
- Collega il WiFi ai sistemi di identità. L'offboarding e i cambi di ruolo dovrebbero influire sull'accesso alla rete in modo automatico.
- Usa la segmentazione in modo aggressivo. Inserisci utenti e dispositivi in ruoli, non solo in SSID.
- Gestisci correttamente le eccezioni. Usa chiavi per singolo dispositivo per l'hardware legacy invece di una password di fallback condivisa.
Ottimizza le operazioni
- Monitora gli eventi di autenticazione. Gli accessi falliti, i pattern di dispositivi insoliti e le assegnazioni di ruoli errate dovrebbero essere visibili.
- Caccia l'infrastruttura non autorizzata. Monitora la presenza di AP non autorizzati e nomi di rete contraffatti.
- Testa la revoca. Dimostra di poter rimuovere un utente o un dispositivo all'istante senza interrompere tutti gli altri.
- Documenta la proprietà. Ogni classe di dispositivi dovrebbe avere un proprietario aziendale e un proprietario della policy.
La sicurezza del WiFi aziendale migliora rapidamente quando l'identità, la segmentazione e il monitoraggio si muovono insieme. Se ne correggi solo uno, gli altri due di solito diventano il tuo prossimo punto debole.
Se stai modernizzando l'accesso wireless e desideri un approccio a piattaforma piuttosto che unire più strumenti diversi, Purple è un'opzione da valutare. Si concentra sul WiFi basato sull'identità per ospiti, personale e ambienti multi-tenant, incluso l'accesso ospiti senza password, le integrazioni SSO e i controlli per l'onboarding dei dispositivi legacy, il che lo rende rilevante per i team che stanno abbandonando le password condivise a favore di un modello wireless zero-trust.
