Criteri BYOD sicuri per le reti WiFi del personale

SCRIPT PER PODCAST: Politiche BYOD sicure per reti WiFi dello staff Target di durata: ~10 minuti | Voce: Inglese britannico, tono da consulente senior Purple WiFi Intelligence Platform - Serie WiFi per lo Staff --- [INTRODUZIONE E CONTESTO - ~1 minuto] Benvenuti alla serie Purple WiFi per lo Staff. Sono il vostro ospite e oggi affronteremo una delle aree gestite in modo più costantemente errato nella gestione delle reti aziendali: il BYOD - Bring Your Own Device - nello specifico per il WiFi dello staff. Se siete direttori IT, network architect o CTO di un gruppo alberghiero, di una catena retail, di uno stadio o di un'organizzazione del settore pubblico, questo episodio è stato pensato per voi. Non parleremo delle nozioni di base sul WiFi. Parleremo delle decisioni architetturali, degli standard a cui fare riferimento e degli errori di deployment che costano alle aziende denaro reale e reale esposizione in termini di conformità. Il problema di fondo è semplice: il vostro staff vuole usare i telefoni e i tablet personali per lavorare. Questo è ragionevole. Ma collegare dispositivi personali non gestiti allo stesso segmento di rete dei vostri sistemi POS, dei database delle risorse umane o della vostra infrastruttura di pagamento rappresenta un rischio inaccettabile. La domanda non è se consentire il BYOD, ma come consentirlo senza compromettere la rete principale. Entriamo nei dettagli. --- [APPROFONDIMENTO TECNICO - ~5 minuti] Iniziamo con il principio fondamentale: la segmentazione della rete. Ogni deployment BYOD sicuro inizia con la stessa decisione architetturale: non inserire i dispositivi personali nella stessa VLAN dell'infrastruttura aziendale. Punto. L'approccio standard prevede una VLAN BYOD dedicata, posizionata tra la rete aziendale principale e la rete WiFi per gli ospiti. Pensatela come un livello intermedio. I dispositivi dello staff ottengono l'accesso a Internet e l'accesso a un set definito di risorse interne approvate - forse la intranet, la suite di produttività in cloud, la piattaforma di comunicazione interna - ma sono protetti da firewall rispetto ai vostri sistemi di pagamento, ai server di back-office e alla vostra infrastruttura di switching principale. Ora, come si autenticano i dispositivi su quella VLAN BYOD? La risposta è IEEE 802.1X. Questo è lo standard di controllo dell'accesso alla rete basato su porta ed è la spina dorsale dell'autenticazione wireless aziendale da oltre due decenni. Quando un dispositivo tenta di connettersi, lo standard 802.1X avvia uno scambio EAP - Extensible Authentication Protocol - tra il dispositivo, l'access point wireless che funge da autenticatore e il server RADIUS come backend di autenticazione. Per il BYOD nello specifico, EAP-TLS è lo standard di riferimento. Si tratta di un'autenticazione reciproca basata su certificati. Il dispositivo presenta un certificato, il server RADIUS lo convalida e solo a quel punto viene concesso l'accesso alla rete. Il certificato viene fornito al dispositivo tramite la piattaforma MDM - Microsoft Intune, Jamf, VMware Workspace ONE o qualsiasi altra soluzione stiate utilizzando - tramite SCEP, il Simple Certificate Enrollment Protocol.Perché preferire i certificati alle password? Perché le password vengono condivise, rubate tramite phishing e dimenticate. Un certificato associato a un dispositivo specifico e a un'identità utente specifica è notevolmente più difficile da compromettere. Cosa ancora più importante, quando un dipendente lascia l'azienda, è sufficiente revocare il certificato nella PKI per revocare immediatamente l'accesso a quel dispositivo - senza bisogno di reimpostare la password e senza credenziali residue. Ora, per quanto riguarda la crittografia: se state implementando una nuova infrastruttura nel 2024 e negli anni successivi, il vostro obiettivo deve essere WPA3-Enterprise. WPA3 elimina la vulnerabilità KRACK che affliggeva WPA2, impone la modalità di sicurezza a 192 bit per le implementazioni enterprise e fornisce la forward secrecy tramite SAE - Simultaneous Authentication of Equals. Ciò significa che anche se una chiave di sessione viene compromessa, il traffico storico non può essere decrittografato. Per gli ambienti che gestiscono dati di carte di pagamento o cartelle cliniche, questa non è un'opzione - è un requisito di conformità ai sensi dello standard PCI-DSS 4.0 ed è sempre più spesso citato nei framework di sicurezza del NHS Digital. Parliamo dell'integrazione MDM, perché è qui che molte implementazioni falliscono. Il vostro MDM non è solo un meccanismo di distribuzione dei certificati - è il vostro motore di applicazione della conformità. Prima che a un dispositivo venga concesso l'accesso alla VLAN BYOD, la vostra soluzione NAC dovrebbe verificare lo stato del dispositivo tramite l'MDM: il sistema operativo è aggiornato alla versione minima richiesta? La crittografia del dispositivo è abilitata? Il dispositivo è sottoposto a jailbreak o root? È configurato un blocco schermo conforme? Questo processo è chiamato valutazione dello stato di sicurezza (posture assessment) ed è ciò che distingue una semplice politica di BYOD da un vero programma di sicurezza BYOD. Un dispositivo che non supera la valutazione deve essere isolato - inserito in una VLAN di remediation con accesso esclusivo alle risorse necessarie per renderlo conforme, e a nient'altro. Per quanto riguarda la registrazione e l'audit: ogni dispositivo che si connette alla VLAN BYOD dovrebbe generare un record di sessione - identità del dispositivo, identità dell'utente, timestamp, durata, byte trasferiti e VLAN assegnata. Questa non è solo una buona pratica; ai sensi dell'Articolo 32 del GDPR, avete l'obbligo di implementare misure tecniche adeguate per garantire la sicurezza della rete. Un registro di controllo (audit trail) delle connessioni dei dispositivi del personale è un elemento fondamentale per dimostrare l'adempimento di tale obbligo. Se desiderate approfondire i requisiti dei registri di controllo, Purple ha pubblicato una guida dedicata a cosa significhi un audit trail per la sicurezza IT nel 2026 - inserirò il link nelle note dell'episodio. Un ultimo punto architetturale che vale la pena segnalare: la randomizzazione degli indirizzi MAC. I moderni dispositivi iOS e Android randomizzano i propri indirizzi MAC per impostazione predefinita quando cercano le reti. Questo interrompe l'autenticazione basata su MAC e può causare problemi con il tracciamento RADIUS. La soluzione consiste nell'abbandonare completamente l'autenticazione basata su MAC - cosa che dovreste comunque fare - e affidarsi a un'identità basata su certificati o credenziali. Il vostro server RADIUS dovrebbe associare i record di sessione all'identità dell'utente, non all'indirizzo hardware del dispositivo. - - - [RACCOMANDAZIONI DI IMPLEMENTAZIONE ED ERRORI DA EVITARE — ~2 minuti] Bene, parliamo di implementazione. Ecco la sequenza che raccomando a qualsiasi organizzazione che stia lanciando un programma BYOD da zero. Fase uno: definite la vostra policy prima di toccare l'infrastruttura. Chi è autorizzato a registrare un dispositivo personale? Quali tipi di dispositivi sono supportati? A quali dati si può accedere da un dispositivo personale? Fate approvare questo documento dalle risorse umane, dall'ufficio legale e dal CISO prima di configurare anche una sola VLAN. Fase due: implementate il vostro MDM, se non l'avete già fatto, e configurate i modelli di certificato SCEP per i dispositivi BYOD. Testate la registrazione dei certificati su iOS, Android e Windows - si comportano tutti in modo leggermente diverso. Fase tre: configurate il vostro server RADIUS con policy separate per i dispositivi BYOD rispetto a quelli gestiti dall'azienda. I dispositivi BYOD dovrebbero ricevere un attributo di assegnazione VLAN - Tunnel-Private-Group-ID in termini RADIUS - che li collochi sulla VLAN BYOD. Fase quattro: configurate la vostra infrastruttura wireless. Create un SSID dedicato per il BYOD o utilizzate l'assegnazione dinamica della VLAN sul vostro SSID aziendale esistente - quest'ultima opzione è più pulita dal punto di vista dell'esperienza utente. Il personale vede un solo SSID, ma il server RADIUS determina su quale VLAN indirizzarlo in base al suo certificato. Fase cinque: implementate le ACL del firewall tra la VLAN BYOD e il core aziendale. Negazione predefinita, con permessi espliciti solo per i servizi approvati. Documentate ogni regola di autorizzazione e rivedetela trimestralmente. Fase sei: abilitate la registrazione delle sessioni e integratela con il vostro SIEM. Ogni evento di connessione BYOD deve essere un record idoneo alla generazione di avvisi. Ora, le insidie. L'errore più comune che vedo è l'estensione incontrollata delle regole del firewall sulla VLAN BYOD. Qualcuno ha bisogno di un accesso temporaneo a una risorsa, viene aggiunta una regola e sei mesi dopo la VLAN BYOD ha praticamente lo stesso accesso della rete aziendale. Implementate un processo di gestione dei cambiamenti per le regole del firewall BYOD e trattatele con lo stesso rigore delle modifiche all'infrastruttura di produzione. La seconda insidia è la gestione del ciclo di vita dei certificati. I certificati scadono. Se non avete configurato il rinnovo automatico nel vostro MDM, vi ritroverete con un'ondata di dipendenti impossibilitati a connettersi il giorno della scadenza dei certificati. Impostate l'attivazione del rinnovo ad almeno 30 giorni prima della scadenza. La terza insidia è dimenticarsi della rete ospiti. La vostra VLAN BYOD e la vostra rete WiFi ospiti dovrebbero essere completamente isolate l'una dall'altra. Un visitatore sulla vostra rete ospiti non dovrebbe avere alcun percorso verso il vostro segmento BYOD. Se utilizzate la piattaforma WiFi ospiti di Purple, tale isolamento viene gestito a livello di infrastruttura - ma verificatelo comunque nella vostra policy del firewall. --- [DOMANDE E RISPOSTE RAPIDE - ~1 minuto] Passo in rassegna alcune domande che mi vengono poste regolarmente. "Possiamo usare WPA2-Personal con una passphrase condivisa per il BYOD?" No. Una passphrase condivisa non offre alcuna responsabilità per singolo dispositivo, non può essere revocata per singolo utente ed è facilmente compromettibile. Utilizzate 802.1X. "Abbiamo bisogno di un SSID separato per il BYOD?" Non necessariamente. L'assegnazione dinamica della VLAN tramite RADIUS è più pulita. Un solo SSID, posizionamento VLAN basato su policy in base all'identità del certificato. "E per i collaboratori esterni e il personale temporaneo?" Trattateli come una classe di identità separata nella vostra policy RADIUS. Rilasciate certificati a breve termine - 30 o 90 giorni - legati alla durata del loro contratto. Al termine del contratto, il certificato scade. "WPA3 è retrocompatibile?" Sì, in modalità di transizione. I vostri access point possono supportare contemporaneamente client WPA2 e WPA3. Imponete l'uso esclusivo di WPA3 per la registrazione di nuovi dispositivi e disattivate gradualmente il WPA2 secondo una tempistica definita. - [RIASSUNTO E PROSSIMI PASSI - ~1 minuto] Per concludere: un programma BYOD sicuro per il WiFi del personale non è una singola attività di configurazione - è una decisione architetturale, un framework di policy e una disciplina operativa continua. I requisiti non negoziabili sono: VLAN BYOD dedicata, autenticazione con certificato EAP-TLS tramite IEEE 802.1X, postura del dispositivo imposta tramite MDM, crittografia WPA3-Enterprise e registrazione completa dei log di audit. Le discipline operative sono: gestione del ciclo di vita dei certificati, revisioni trimestrali delle regole del firewall e un processo di offboarding definito che revochi i certificati del dispositivo il giorno stesso in cui un dipendente lascia l'azienda. Se state partendo da zero, la piattaforma Purple vi offre il livello di analisi e gestione degli accessi al di sopra della vostra infrastruttura wireless esistente - sia che gestiate una singola struttura alberghiera o un patrimonio retail di 200 siti. I link alla guida sull'architettura, al riferimento per la tracciabilità dell'audit e alla checklist di onboarding BYOD sono tutti disponibili nelle note della puntata. Grazie per l'ascolto - ci vediamo nel prossimo episodio. - FINE DELLA SCENEGGIATURA