Come scegliere un firewall hardware per la PMI

Il firewall hardware è la prima linea di difesa perimetrale di una rete aziendale: filtra il traffico in entrata e in uscita, protegge dagli attacchi, collega sedi e lavoratori da remoto in modo sicuro. A differenza del semplice firewall software su ogni PC, un apparato dedicato protegge l’intera rete da un unico punto e aggiunge funzioni che il router della linea internet non offre. Vediamo come scegliere quello giusto per una piccola o media impresa.

Partire dal throughput, non dai megapixel del marketing

Il throughput è la quantità di traffico che il firewall riesce a gestire. Attenzione: i produttori dichiarano spesso un throughput “firewall” molto alto, ma quello che conta in pratica è il throughput con le funzioni di sicurezza attive (ispezione dei contenuti, antivirus, IPS), che è sensibilmente più basso.

La regola: scegliete un apparato con throughput UTM/NGFW almeno pari alla velocità della vostra linea internet, con un buon margine per la crescita. Se avete una fibra da 1 Gbps e attivate tutte le ispezioni, un firewall che fa 200 Mbps in quella modalità diventa il collo di bottiglia. Dimensionate sul traffico reale e sul numero di utenti, non sul numero di porte.

UTM e NGFW: cosa significano davvero

Dietro le sigle ci sono pacchetti di funzioni di sicurezza integrate:

• UTM (Unified Threat Management): un unico apparato che riunisce firewall, antivirus perimetrale, filtro web, antispam e controllo delle applicazioni. Pensato proprio per le PMI che vogliono semplicità di gestione.
• NGFW (Next-Generation Firewall): firewall evoluto con ispezione approfondita dei pacchetti, riconoscimento delle applicazioni indipendentemente dalla porta, IPS (prevenzione delle intrusioni) e spesso ispezione del traffico cifrato.

In pratica i confini si sono sfumati e molti apparati per PMI offrono entrambi i set di funzioni. La domanda giusta non è “UTM o NGFW” ma “quali di queste protezioni mi servono e il dispositivo le gestisce alla velocità della mia linea?”.

VPN: collegare sedi e lavoro da remoto

Quasi tutte le PMI hanno bisogno di VPN, in due modalità:

• VPN site-to-site: collega due o più sedi come se fossero un’unica rete, in modo permanente e cifrato. Utile per filiali, magazzini o la casa del titolare che accede ai gestionali in sede.
• VPN client (remote access): permette ai singoli dipendenti di collegarsi alla rete aziendale da fuori, tipicamente con protocolli come IPsec, SSL-VPN o WireGuard.

Verificate quanti tunnel VPN simultanei supporta l’apparato e quanti client contemporanei, perché su modelli entry-level sono numeri limitati. Se gran parte del personale lavora da remoto, questo è un criterio decisivo.

Licenze e sottoscrizioni: il costo che continua nel tempo

Questo è l’aspetto più sottovalutato. Il firewall ha un costo d’acquisto, ma le funzioni di sicurezza avanzate (aggiornamento firme antivirus e IPS, filtro web, antispam, supporto) funzionano tramite sottoscrizioni annuali. Senza licenza attiva, l’apparato continua a fare da firewall di base ma perde le protezioni aggiornate.

Prima di scegliere, calcolate il costo totale su tre anni comprensivo di licenze, non solo il prezzo del box. A volte un modello leggermente più caro ha pacchetti di licenza più convenienti o include più anni. Chiedete sempre cosa è incluso e per quanto tempo.

Tabella: criteri a confronto

Criterio	Cosa verificare	Perché conta
Throughput UTM/NGFW	Valore con sicurezza attiva, non “firewall”	Evita che il firewall rallenti la linea
VPN	N. tunnel site-to-site e client simultanei	Abilita sedi remote e smart working
Licenze	Costo e durata delle sottoscrizioni	Determina il costo reale su 3 anni
Porte e VLAN	Supporto segmentazione e porte LAN/WAN	Permette di isolare le reti interne
Ridondanza WAN	Seconda linea / failover 4G-5G	Continuità se cade la linea principale

Segmentazione: isolare per contenere i danni

Un buon firewall consente di dividere la rete in segmenti (VLAN) con regole diverse: uffici, produzione, rete ospiti Wi-Fi, telecamere, dispositivi IoT. La segmentazione fa sì che, se un dispositivo viene compromesso, l’attacco non si propaghi liberamente a tutta l’azienda. È una delle misure di sicurezza con il miglior rapporto tra sforzo e beneficio, e un firewall con buona gestione delle VLAN la rende praticabile.

Un cenno alla NIS2

La direttiva europea NIS2 ha ampliato la platea delle aziende tenute ad adottare misure di gestione del rischio informatico. Senza entrare nel merito degli obblighi specifici, che dipendono dal settore e dalle dimensioni, un firewall gestito correttamente, con segmentazione, log del traffico e protezioni aggiornate, è uno dei mattoni concreti su cui si costruisce un’impostazione di sicurezza più solida. Vale la pena verificare la propria posizione con chi segue questi temi e non affidarsi a claim semplicistici di “conformità garantita”.

Continuità: cosa succede se il firewall si ferma

Il firewall è un punto di passaggio obbligato: se si guasta, la rete resta senza connessione internet e senza VPN. Per le aziende che non possono permettersi fermi, valgono alcune accortezze. La ridondanza WAN permette di usare una seconda linea (anche 4G/5G) come backup automatico se cade quella principale. La configurazione in alta affidabilità (HA), con due apparati in cui il secondo subentra se il primo si guasta, è riservata agli scenari più critici. Anche solo tenere a disposizione una configurazione salvata ed esportata riduce drasticamente i tempi di ripristino in caso di sostituzione. Abbinare il firewall a un gruppo di continuità (UPS) evita infine che un calo di corrente lo spenga o lo danneggi.

Come interveniamo noi

Partiamo dalla fotografia della rete: velocità della linea, numero di utenti, sedi da collegare, esigenze di lavoro da remoto e dispositivi da isolare. Su questa base dimensioniamo l’apparato e le licenze, lo installiamo e configuriamo regole, VPN e segmentazione on-site o da remoto, e lo manteniamo aggiornato nel tempo. Lavoriamo con diversi brand di firewall per PMI e scegliamo il modello in funzione delle vostre esigenze, non il contrario.

Trovate i modelli disponibili nella categoria firewall hardware del nostro store.