Esempio 6 · Enterprise · Su valutazione
Istituto di credito
Banca del Piave — data center primario, sito di continuità, filiali collegate in SD-WAN e promotori finanziari fuori sede. Per chi si riconosce: reti regolamentate, più sedi con requisiti di conformità, accessi esterni da controllare in modo stretto.
- Settore
- Servizi finanziari
- Sedi
- DC + DR + filiali
- Personale esterno
- Promotori con notebook gestito
- WAN
- MPLS / SD-WAN, DMZ con WAF
- Architettura
- NGFW in HA, segmentazione a zone, NAC
«Abbiamo un IT interno e un fornitore. Ci serve uno sguardo esterno su come sono separate le zone, su come entrano i promotori da fuori e su cosa succederebbe davvero in un disastro.»
| Zona | Sottorete | Ruolo |
|---|---|---|
| DC primario | 10.10.0.0/16 | Data center — servizi core |
| Sito DR | 10.11.0.0/16 | Continuità operativa, disgiunto dal DC |
| Blocco filiali | 10.130.0.0/16 | Un /24 per sede (es. 10.130.7.0/24) |
| DMZ | 172.16.10.0/24 | Front-end home banking dietro WAF |
| ATM / POS | 10.10.90.0/24 | Ambito carte — isolata, firewall dedicato |
| VDI | 10.10.70.0/23 | Desktop di collocamento + broker |
| VPN promotori | 10.10.72.0/24 | Solo verso il broker VDI 10.10.70.10 |
| OOB / gestione | 10.99.0.0/16 | Gestione apparati (core .0.2) e raccolta log |
| # | Gravità | Livello | Area | Evidenza | Cosa fare |
|---|---|---|---|---|---|
| 1 | Alto | L4 | Segmentazione | La zona ATM/POS (10.10.90.0/24) è raggiungibile dalle postazioni operatore di filiale "per comodità di manutenzione": rompe la separazione richiesta per l'ambito carte. | Accesso solo da jump host tracciato e autorizzato, regole per singolo flusso, revisione periodica. |
| 2 | Alto | L4 | Accesso esterno | Per i promotori la VPN always-on consente anche RDP diretto verso alcune postazioni interne, oltre al broker VDI. | Accesso unicamente al broker (10.10.70.10), nessuna rotta verso le altre reti, registrazione di sessione. |
| 3 | Medio | L6 | Continuità | Il sito DR è allineato nei dati ma non nelle regole firewall: un failover richiederebbe interventi manuali stimati in ore. | Configurazioni gestite e sincronizzate DC ↔ DR; prova di failover pianificata e verbalizzata. |
| 4 | Medio | L5 | Governance | Le modifiche alle regole del perimetro avvengono senza doppio controllo né tracciamento adeguato. | Flusso di change con approvazione a quattro occhi e log immutabile verso il SIEM. |
| 5 | Basso | L1 | Inventario | L'inventario degli apparati di filiale è incompleto: oltre 40 dispositivi non risultano a catalogo. | Discovery periodico e riconciliazione con l'anagrafica delle configurazioni. |
Cosa mostra questo esempio. A questo livello non sostituiamo l'IT interno: portiamo uno sguardo esterno e strutturato su segmentazione, accessi dall'esterno e continuità, e consegniamo un piano condiviso con chi la rete la gestisce ogni giorno. Per questo, sul sito, l'enterprise è "su valutazione".