Firewall per piccole aziende: cosa protegge davvero

Il firewall controlla che cosa attraversa il confine fra la rete dell'ufficio e internet; l'antivirus controlla che cosa succede dentro un singolo computer. Sono protezioni complementari e nessuna delle due sostituisce l'altra: un ufficio con ottimi antivirus e nessun controllo sul traffico di rete è esposto a rischi che l'antivirus non vede, e un ufficio con un firewall costoso e postazioni senza protezione lo è altrettanto. La domanda corretta non è quale dei due serve, ma se il firewall già presente nel router basta o serve un apparato dedicato.

Sotto trovi che cosa fa un firewall che l'antivirus non fa, che cosa non può fare nemmeno il migliore, quali funzioni distinguono un apparato dedicato da quello integrato nel router e i segnali concreti che indicano quando il salto si giustifica.

Che cosa fa un firewall che l'antivirus non fa

L'antivirus lavora sul dispositivo: analizza file, programmi e comportamenti sospetti sul computer in cui è installato. Il firewall lavora sul traffico: esamina i pacchetti che passano fra la rete interna e internet e applica regole che stabiliscono che cosa è permesso e che cosa va bloccato.

In pratica un firewall fa tre cose che un antivirus non è progettato per fare:

• Blocca i tentativi di accesso dall'esterno verso i dispositivi della rete interna, compresi quelli diretti a servizi che nessuno aveva intenzione di esporre.
• Controlla il traffico in uscita, quindi può accorgersi che un dispositivo compromesso sta comunicando con un server esterno e interrompere quel collegamento anche se l'antivirus sul dispositivo non ha rilevato nulla.
• Vede tutta la rete, compresi gli apparati che un antivirus non può proteggere perché non ci gira sopra alcun software: stampanti di rete, telecamere IP, NAS, telefoni IP, apparati di domotica.

L'ultimo punto è il più sottovalutato in un piccolo ufficio. Una telecamera con firmware datato o una stampante con un'interfaccia web esposta sono dispositivi che nessun antivirus può difendere: il loro unico livello di protezione è la rete.

Che cosa un firewall non può fare

Essere onesti su questo evita acquisti inutili e falsa sicurezza.

Un firewall non impedisce a una persona di aprire un allegato o di cliccare su un link: può bloccare la comunicazione successiva verso un indirizzo noto come malevolo, ma l'azione iniziale avviene sul dispositivo. Per questo restano decisivi la formazione delle persone e un antivirus aggiornato, di cui parla licenze antivirus per PMI.

Un firewall non protegge i dati che escono legittimamente: un file caricato su un servizio cloud autorizzato è traffico permesso.

Un firewall non sostituisce il backup. Nella maggior parte degli incidenti che bloccano una piccola azienda, ciò che riporta operativi è una copia dei dati in un posto sicuro, non un apparato di sicurezza. Il backup centralizzato è trattato in NAS in ufficio: backup centralizzato.

Un firewall lasciato con il software di fabbrica per anni protegge molto meno di uno mantenuto aggiornato: le vulnerabilità scoperte dopo l'acquisto si correggono solo con gli aggiornamenti del produttore.

Firewall integrato nel router o apparato dedicato

Quasi tutti i router includono una funzione firewall di base, che filtra il traffico non richiesto in ingresso. È una protezione reale e sufficiente per molte piccole realtà. Un apparato dedicato aggiunge funzioni che un router non ha.

L'ultima riga merita attenzione perché incide sul costo nel tempo: la maggior parte dei firewall dedicati porta con sé un abbonamento ai servizi di sicurezza (firme aggiornate, filtro dei contenuti, assistenza) che va rinnovato. Un firewall con i servizi scaduti continua a filtrare secondo le regole impostate, ma non riconosce più le minacce nuove.

Filtro dei contenuti e VPN: le due funzioni che si usano davvero

Il filtro dei contenuti blocca l'accesso a categorie di siti considerate a rischio o non pertinenti all'attività. Ha un doppio effetto: riduce la probabilità che qualcuno finisca su un sito che distribuisce software malevolo, e limita l'uso improprio della connessione aziendale. Va però impostato con criterio, perché un filtro troppo aggressivo blocca strumenti di lavoro legittimi e genera richieste di eccezione continue.

La VPN crea un collegamento cifrato fra due punti che attraversano internet pubblica: due sedi della stessa azienda, oppure un collaboratore da casa e la rete dell'ufficio. È la funzione che più spesso giustifica il passaggio a un apparato dedicato, perché un router di base offre una VPN semplificata che regge poche connessioni, mentre un firewall ne gestisce molte con configurazioni più solide e con un controllo su che cosa ciascun utente remoto può raggiungere.

Il dimensionamento conta

Un firewall sottodimensionato rispetto al traffico da gestire diventa un collo di bottiglia, soprattutto quando sono attive le funzioni di ispezione approfondita, che richiedono di analizzare ogni pacchetto. I produttori dichiarano prestazioni diverse a seconda delle funzioni attive: il numero da guardare non è quello massimo dichiarato, ma quello con le funzioni che si intende usare davvero, confrontato con la velocità della propria linea e con il numero di utenti.

Quando il salto a un apparato dedicato si giustifica

Ci sono quattro segnali concreti, e almeno uno deve essere presente.

Si trattano dati che non possono uscire: informazioni di clienti, dati sanitari, contabilità di terzi, progetti coperti da riservatezza. Qui il livello di protezione va oltre il filtro di base di un router, e la valutazione riguarda anche gli obblighi in materia di protezione dei dati personali, che vanno verificati con un consulente e non dedotti da una guida.

Servono collegamenti sicuri stabili fra più sedi o per collaboratori che lavorano da remoto in modo continuativo, non occasionale.

La rete è cresciuta in complessità: più reparti, dispositivi eterogenei, rete per gli ospiti, telecamere, apparati di domotica. Qui la segmentazione diventa il vero valore, perché isola ciò che non si può proteggere singolarmente.

Serve sapere che cosa è successo: un registro del traffico consultabile è ciò che permette di capire come è entrato un problema e di dimostrare quando e come si è intervenuti.

Per un ufficio senza nessuno di questi elementi, la funzione firewall di un buon router più un antivirus aggiornato su ogni postazione coprono un livello di protezione ragionevole rispetto al rischio reale. Il quadro d'insieme degli apparati di rete è nel glossario del networking; per la separazione del traffico via VLAN serve anche uno switch gestito, e per capire che cosa il router in uso già offre, router Wi-Fi 6 o Wi-Fi 7.

Che cosa serve in base al contesto

Quanto costa un firewall

I prezzi qui sotto vengono dal catalogo initpc, contando solo i prodotti disponibili al momento della rilevazione: sono fasce, non il prezzo di un modello specifico.

Prezzi del catalogo initpc rilevati a settembre 2026, solo prodotti disponibili; i listini cambiano nel tempo.

Il prezzo di un firewall dedicato dipende dal traffico che l'apparato regge con le funzioni di sicurezza attive, dal numero di utenti per cui è dimensionato e dal pacchetto di servizi incluso. Il confronto con la riga dei router mostra perché la decisione va ponderata: si parla di un ordine di grandezza diverso, a cui va aggiunto il rinnovo periodico dei servizi e, quasi sempre, il tempo di un tecnico per la configurazione iniziale. La conseguenza pratica è che il firewall dedicato non è un acquisto da fare «per sicurezza» in astratto, ma quando uno dei quattro segnali descritti sopra è presente: prima, gli stessi soldi rendono di più investiti in backup e in aggiornamento delle postazioni. Il catalogo è nella categoria Firewall dello shop.

Errori da evitare

• Considerare il firewall un sostituto del backup. Nella maggior parte degli incidenti è la copia dei dati a riportare operativa un'azienda.
• Comprare un apparato e non rinnovare i servizi. Un firewall con le firme scadute non riconosce le minacce nuove.
• Dimensionarlo sulle prestazioni massime dichiarate. Con le funzioni di ispezione attive il valore reale è molto più basso.
• Lasciare telecamere e stampanti sulla stessa rete dei computer. Sono i dispositivi meno aggiornabili e vanno isolati.
• Impostare un filtro dei contenuti troppo aggressivo. Blocca strumenti di lavoro e genera un flusso continuo di richieste di eccezione.