Il firewall è uno di quegli elementi dell’infrastruttura aziendale che tutti danno per scontato e in pochi controllano davvero. Sotto questa comoda assunzione, molte aziende continuano a operare con firewall di cinque o sette anni fa, configurati una volta e mai più aggiornati. Nel 2026 questo non è avere un firewall: è avere un cartello con scritto «firewall» sopra un apparato obsoleto.
Il perimetro di una rete moderna non si difende più con regole statiche e buone intenzioni. Esiste un livello tecnico minimo che qualunque firewall perimetrale dovrebbe rispettare per essere utile contro le minacce reali di quest’anno.
Cosa fa un firewall perimetrale (e cosa no)
Un firewall perimetrale controlla il traffico che entra ed esce dalla tua rete aziendale. È il primo livello: filtra per origine, destinazione, porta, protocollo e — sugli apparati moderni — per contenuto, applicazione e reputazione. Non sostituisce gli antivirus endpoint, né la segmentazione interna, né le buone pratiche di password. Ma senza di esso, tutto il resto difende dall’interno contro avversari che sono già dentro.
Tre capacità di base distinguono un firewall attuale da un apparato di dieci anni fa:
- Ispezione approfondita dei pacchetti (DPI): non basta guardare le porte. Il firewall deve capire i protocolli applicativi e rilevare quando un «normale traffico web» nasconde una connessione di comando e controllo malevola.
- Filtraggio per applicazione e per utente: le regole non sono più «porta 443 aperta». Sono «questo gruppo di utenti può accedere a queste applicazioni cloud in questa fascia oraria».
- Reputazione dinamica e minacce note: feed costantemente aggiornati di IP malevoli, domini sospetti e schemi di attacco recenti.
Panorama delle minacce nel 2026
Capire cosa deve fare un firewall obbliga a guardare prima contro cosa difende. Il panorama attuale combina minacce vecchie con accelerazioni recenti:
- Ransomware mirato alle PMI che continuano a percepirsi come «troppo piccole per essere obiettivi» — esattamente il motivo per cui lo sono.
- Attacchi alla supply chain in cui il vettore è un fornitore SaaS compromesso che entra nella tua rete con credenziali legittime.
- Phishing assistito da IA che genera messaggi personalizzati in pochi minuti con una qualità impensabile fino a un paio di anni fa.
- Esfiltrazione lenta di dati camuffata in traffico cifrato e distribuita in piccoli pacchetti per settimane.
Nessuna di queste minacce viene fermata da un firewall del 2020. Tutte vengono mitigate in modo significativo da uno ben configurato nel 2026.
I sette requisiti minimi nel 2026
Se stai valutando un firewall perimetrale quest’anno, questa è la checklist che dovrebbe ricevere risposta affermativa su ogni voce.
1. VPN moderna (WireGuard, almeno IKEv2)
I lavoratori da remoto restano il principale vettore di rischio. Un firewall perimetrale deve offrire VPN robusta, con cifratura attuale e autenticazione forte. WireGuard è oggi lo standard di fatto per prestazioni e semplicità; IKEv2 è il minimo accettabile.
2. Segmentazione per zone (DMZ, reti ospiti, server)
Non tutto il traffico interno deve essere uguale. Il firewall deve consentire la creazione di zone logiche con politiche distinte: server che non iniziano mai connessioni in uscita, rete ospiti totalmente isolata da quella aziendale, ecc.
3. Doppio livello con ridondanza
Un solo dispositivo è un singolo punto di fallimento. Le architetture moderne combinano due firewall in alta disponibilità: se uno cade, l’altro prende il posto senza interrompere l’operatività.
4. Aggiornamenti automatici di firme e regole
Le minacce evolvono ogni giorno. Se il tuo firewall non riceve aggiornamenti automatici di firme IPS, liste di reputazione e regole di rilevamento, ti sta difendendo dal 2022.
5. Visibilità e logging esportabile
Vedere non è opzionale. Il firewall deve produrre log dettagliati esportabili verso un SIEM o un sistema centralizzato di analisi. Senza tracciabilità, un incidente non si distingue da una giornata storta.
6. Controllo delle applicazioni SaaS
I tuoi dipendenti usano 30, 40, 50 strumenti cloud. Il firewall deve distinguere fra loro e applicare politiche specifiche: consentire Dropbox aziendale ma non quello personale, consentire ChatGPT al team tecnico ma bloccare l’upload di file, ecc.
7. Codice verificabile
Se il firewall protegge il tuo perimetro, dovresti poter verificare come lo fa. Soluzioni open-source come OPNsense o OpenWRT permettono di vedere il codice, capire il comportamento e non dipendere dalla buona volontà di un produttore opaco.
Perché il firewall open-source è la scelta pragmatica
Per anni, firewall aziendale ha significato marchi proprietari costosi con contratti annuali che crescevano ogni anno. Quell’epoca non regge più: soluzioni aperte come OPNsense offrono funzionalità equivalenti o superiori, senza licenze per utente, senza rinnovi forzati e con codice verificabile.
In NEXFIRWL, la nostra soluzione di firewall aziendale a doppio livello, combiniamo OPNsense sul perimetro con OpenWRT al secondo livello per applicare difesa in profondità senza dipendere da un unico produttore né da licenze rinnovabili.
Questo non significa «gratis e basta». Significa che l’investimento va in configurazione, monitoraggio e manutenzione — le tre cose che davvero proteggono — invece di rinnovare una licenza i cui prezzi cambiano quando conviene al fornitore. È la stessa logica spiegata nell’articolo sulla sovranità digitale: decidere dove va il tuo denaro, non delegarlo a una roadmap altrui.
Errori di configurazione che rendono inutile anche il miglior firewall
Un firewall di ultima generazione mal configurato è peggio di uno modesto ben configurato. Gli errori tipici che troviamo negli audit:
- Regole «any-any» in produzione: qualcuno ha aperto un permesso temporaneo ed è rimasto. Rivedere mensilmente le regole è obbligatorio, non consigliato.
- VPN senza MFA: una password rubata trasforma qualunque attaccante in dipendente autenticato. L’autenticazione multifattore non è opzionale per l’accesso remoto.
- Log che nessuno guarda: il firewall registra gli incidenti, ma se nessuno li revisiona, non serve. Serve revisione pianificata (o automatizzata da SIEM).
- Aggiornamenti rinviati «per non interrompere»: ogni giorno di rinvio di una patch critica è un giorno di esposizione. Le finestre di manutenzione sono obbligatorie, non aspirazionali.
- Documentazione assente: se la persona che ha configurato il firewall se ne va, l’azienda resta con un apparato che non si può toccare. La documentazione fa parte della sicurezza, non è un extra.
Integrazione col resto dell’ecosistema di sicurezza
Un firewall non lavora da solo. La difesa efficace combina perimetro con sorveglianza interna e infrastruttura dedicata. NEXFIRWL si integra in modo nativo con NEXSECU per la videosorveglianza IP aziendale e con NEXCORE come nucleo dell’infrastruttura, chiudendo il ciclo dal livello di rete fino alle applicazioni critiche.
Quell’integrazione evita il classico problema del SOC improvvisato: cinque prodotti di produttori diversi che «si integrano» tramite documentazione scarsa e richiedono un ingegnere per mantenere i collanti. In un ecosistema coerente, gli eventi fluiscono e le correlazioni emergono senza lavoro extra. Fa parte della stessa logica di consolidamento dei fornitori IT che questo blog tratta da angolazioni diverse.
Se inoltre la tua azienda usa l’IA per analisi o automazione, l’integrazione con un’infrastruttura di IA privata garantisce che i modelli operino su dati che non escono dal perimetro protetto.
Domande frequenti
Un firewall perimetrale serve se i servizi sono nel cloud?
Sì, anche se il ruolo cambia. Con servizi cloud, il firewall perimetrale protegge il traffico dai tuoi uffici verso quei servizi, gestisce la VPN aziendale e controlla quali applicazioni cloud sono accessibili da dove. Non sostituisce i controlli del fornitore cloud, li integra.
OPNsense è davvero paragonabile a un firewall commerciale tipo Fortinet o Palo Alto?
Sulle funzionalità core (DPI, IPS, VPN, segmentazione, logging) sì. Ciò che cambia è il modello di supporto e consumo: con i commerciali paghi licenza per utente/throughput e assistenza inclusa; con OPNsense paghi configurazione e manutenzione specializzata. Oltre una certa dimensione, la seconda opzione risulta molto più conveniente.
Ogni quanto va aggiornato un firewall aziendale?
Firme di minaccia e regole IPS: giornaliera o automatica. Firmware del dispositivo: almeno trimestrale e immediata in caso di vulnerabilità critiche (CVE di severità alta). Revisione completa delle regole: mensile.
Che budget realistico ha una soluzione di firewall perimetrale per una PMI?
Dipende dalle dimensioni e dalla ridondanza necessaria, ma per una PMI di 30-80 dipendenti con doppio livello e supporto incluso parliamo di un range competitivo rispetto alle alternative commerciali tradizionali, e con vantaggio chiaro a 3 anni per l’assenza di rinnovi per utente. Un audit iniziale di solito calibra la cifra sul tuo caso concreto.
Come capisco se il mio firewall attuale è obsoleto?
Tre indicatori: (1) non riceve aggiornamenti firmware da più di 12 mesi, (2) non supporta WireGuard e (3) non consente il controllo per applicazione, solo per porta. Se ne fallisce due su tre, il tuo firewall sta operando con il manuale di regole di cinque anni fa.
Mi serve uno specialista di sicurezza interno o si può gestire esternamente?
Per PMI fino a 100 dipendenti, la gestione esterna da parte di un partner specializzato è di solito più efficiente. Il costo di mantenere un profilo qualificato a tempo pieno raramente si ammortizza se non c’è un’operatività di sicurezza intensiva. Con un partner serio si ottiene copertura 24/7 e accesso al talento senza doverlo reclutare.
Conclusione
Un firewall perimetrale moderno non è un prodotto da comprare e dimenticare: è un componente vivo dell’infrastruttura che richiede configurazione attenta, revisione periodica e aggiornamenti costanti. Nel 2026, la differenza tra essere protetti e crederlo si decide nei dettagli.
Scegliere bene la tecnologia (open-source, verificabile, senza vendor lock-in) è il primo passo. Mantenerla ben gestita è il secondo — ed è quello che incide di più sul risultato reale. Un firewall di fascia alta con configurazione mediocre protegge meno di uno di fascia media con configurazione eccellente.
Vuole che esaminiamo lo stato attuale del Suo perimetro senza impegno? Ci scriva e uno specialista di NEXUMIA La contatterà.
