Vendita con agenti in mobilità
Gusto Distribuzione — commercio di prodotti alimentari, una sede con magazzino refrigerato e circa 25 venditori sul territorio che entrano nel gestionale per ordini e giacenze. Per chi si riconosce: rete vendita esterna, tecnici sul campo, consulenti che lavorano dai clienti.
- Settore
- Distribuzione alimentare
- Sede
- 1 (uffici + magazzino frigo)
- Personale interno
- ~40
- Remoti
- ~25 agenti — SSL-VPN + MFA
- Apparecchiature
- Firewall con VPN, core L3, sonde IoT
«Gli agenti si lamentano che il gestionale da fuori è lento o non entra. E vogliamo essere sicuri che, se rubano un portatile a un venditore, non entrino in tutta l'azienda.»
| VLAN | Sottorete | Ruolo |
|---|---|---|
| 10 | 10.4.10.0/24 | Uffici |
| 20 | 10.4.20.0/24 | Magazzino, terminali radio |
| 25 | 10.4.25.0/24 | Sonde temperatura celle frigo |
| 30 | 10.4.30.0/24 | Fonia IP |
| 40 | 10.4.40.0/24 | Server ed ERP |
| 50 | 10.4.50.0/24 | Wi-Fi ospiti |
| 99 | 10.4.99.0/24 | Gestione apparati |
| VPN | 10.4.200.0/24 | Pool agenti SSL-VPN → solo 10.4.40.10 e 10.4.40.12 |
| # | Gravità | Livello | Area | Evidenza | Cosa fare |
|---|---|---|---|---|---|
| 1 | Alto | L4 | Accesso remoto | La SSL-VPN assegna agli agenti un IP nella VLAN uffici e instrada l'intera 10.4.0.0/16: un notebook rubato vede tutta la rete. | Pool dedicato 10.4.200.0/24; policy verso i soli 10.4.40.10 (ERP) e 10.4.40.12 (giacenze); niente rotta verso l'interno. |
| 2 | Alto | L4 | Autenticazione | Accesso VPN con solo utente e password: su 25 persone il riuso di credenziali è quasi certo. | Secondo fattore obbligatorio, blocco dopo tentativi, requisiti minimi di postura (antivirus attivo, disco cifrato). |
| 3 | Medio | L3 | IoT / continuità | Sonde delle celle frigo e terminali radio sullo stesso switch senza priorità: un picco radio ritarda gli allarmi di temperatura. | VLAN 25 separata con priorità agli allarmi e monitoraggio dedicato con notifica. |
| 4 | Medio | L6 | Continuità | Due linee presenti ma in failover manuale: l'ERP pubblicato cade quando cade la primaria. | Bilanciamento con health-check; endpoint VPN e record DNS pubblicati su entrambe le WAN. |
| 5 | Basso | L5 | Client | Client VPN con versioni diverse tra gli agenti, aggiornati a mano. | Distribuzione e aggiornamento gestiti, versione minima imposta all'accesso. |
Cosa mostra questo esempio. L'accesso da fuori va dato per ruolo e verso l'applicazione, non verso la rete: pool dedicato, MFA, nessuno split-tunnel verso l'interno. È anche il punto di partenza per valutare, quando l'azienda cresce, un approccio ZTNA — si pubblica l'applicazione, non si apre un varco nella rete.