Partiamo da una verità che spesso fa storcere il naso: non sono alternative. Sono livelli diversi di un'unica architettura di sicurezza, ognuno con un caso d'uso preciso. Capire la differenza tra "tunnel cifrato verso la rete aziendale" e "decisione contestuale su chi può accedere a cosa" è il primo passo per non spendere male i soldi.
VPN: il tunnel verso l'ufficio
La VPN tradizionale è il modello che quasi tutte le aziende italiane hanno conosciuto durante il lockdown. Funziona così: il dipendente, da casa, lancia un client (WatchGuard Mobile VPN, OpenVPN, ecc.), inserisce credenziali, e dal quel momento il suo portatile è "dentro" la rete aziendale come se fosse seduto in ufficio. Vede i server, vede le condivisioni di rete, può stampare sulla stampante della sede.
Quando ha senso, ancora oggi.
- Hai applicativi gestionali "on-premise" (server fisico in sede) che il dipendente deve usare via desktop remoto o client pesante.
- Hai cartelle di rete (file server) che devono essere accessibili come se fossero in LAN.
- Hai dispositivi industriali, NAS, telecamere o macchine di produzione che servono da remoto.
- Hai 5-30 dipendenti, qualche giorno di smart working a settimana, e nient'altro.
Limiti onesti della VPN.
- Una volta dentro, sei dentro. Se le credenziali del dipendente vengono rubate (phishing, password riusata altrove), l'attaccante si collega alla VPN e ha visibilità di tutta la rete. È il vettore d'attacco più comune nei breach delle PMI italiane.
- Non sa nulla del contesto: ti collega allo stesso modo se sei a casa dal tuo PC aziendale o da un internet point in aeroporto.
- Performance: il traffico passa dal firewall di sede, quindi la videochiamata da Roma verso un cliente di Milano fa il giro Roma → Rho → Milano. Latenza extra, banda spesso satura.
La VPN non è morta, come spesso si legge. È uno strumento giusto per uno scopo preciso: portare il client dentro la LAN. Smette di essere sufficiente se la sicurezza è una priorità reale.
Conditional Access: il buttafuori intelligente di Microsoft 365
Conditional Access è una funzionalità di Microsoft Entra ID (l'ex Azure AD, l'identity provider di Microsoft 365). È incluso in Entra ID P1, che a sua volta è incluso in Microsoft 365 Business Premium.
L'idea è semplice e cambia tutto: invece di permettere il login a Outlook, Teams, SharePoint con sola password (o password + MFA), si applicano regole condizionali. Esempi reali che configuriamo nelle PMI:
- "Da fuori Italia, MFA sempre richiesta. Da rete aziendale, MFA solo per applicazioni critiche."
- "Solo dispositivi gestiti da Intune possono accedere a SharePoint. Da PC personale, accesso in sola lettura via browser, niente download di allegati."
- "Login a rischio (IP sospetto, viaggio impossibile, comportamento anomalo): blocca o forza cambio password."
- "Dispositivi non aggiornati o senza antivirus attivo: niente accesso al cloud aziendale."
Quando è la risposta giusta.
- Vivete dentro Microsoft 365 (Outlook, Teams, OneDrive, SharePoint). Se la posta è M365, sei già pronto.
- Vuoi alzare la sicurezza degli account senza installare nulla in più — è già nelle tue licenze, se hai Business Premium.
- Hai dipendenti che si muovono, lavorano da casa, usano dispositivi misti (PC aziendale + smartphone personale).
Cosa NON fa. Non ti porta dentro la rete aziendale. Se hai un gestionale on-premise che parla solo via VPN, Conditional Access da solo non basta. Risolve il problema "chi accede al cloud" — non "chi accede al server in sede".
Nel pratico, è la funzione più sottoutilizzata del pacchetto Business Premium. Ne abbiamo parlato in dettaglio nell'articolo sulle 5 funzioni di Business Premium che paghi e non usi.
Zero Trust: il modello, non il prodotto
Zero Trust è la parola di moda da qualche anno. Per evitare confusione: non è un prodotto che si compra. È un modello architetturale, un approccio. Il principio fondante in tre parole: never trust, always verify. Cioè: nessun utente, nessun dispositivo, nessuna connessione sono fidati per default — neanche se sono "dentro" la rete aziendale.
Concretamente, in un'architettura Zero Trust:
- Ogni accesso a ogni risorsa viene verificato volta per volta. Non esiste il concetto di "una volta entrato sei dentro".
- L'identità è il nuovo perimetro: chi sei, da dove arrivi, con quale dispositivo, in che stato è quel dispositivo.
- Si applica il least privilege: ognuno ha solo gli accessi che gli servono per fare il suo lavoro, non un byte di più.
- Si segmenta la rete in zone piccole, così che se un attaccante penetra in una zona non può saltare nelle altre.
Come si traduce in pratica per una PMI di 30-150 persone? Non si "diventa Zero Trust" in un weekend. Si fanno passi:
- MFA obbligatoria ovunque (è il fondamento).
- Conditional Access ben configurato su Microsoft 365.
- Intune per certificare lo stato dei dispositivi.
- Segmentazione del firewall WatchGuard in VLAN per reparto.
- Privileged Access Management per gli account admin.
- Soluzioni di tipo ZTNA (Zero Trust Network Access) che sostituiscono o affiancano la VPN — esempio: WatchGuard Cloud / Access Portal, Microsoft Entra Private Access.
Quando Zero Trust è il discorso giusto.
- Sei in NIS2, o devi giustificare a un assicuratore cyber la maturità della tua sicurezza.
- Hai dati sensibili (clienti studio professionale, dati sanitari, IP industriale) e un breach significherebbe un problema serio.
- Hai una forza lavoro ibrida o distribuita, e gestire ancora "chi è in VPN e chi no" è diventato un incubo.
- Hai più sedi, fornitori che entrano in rete, dispositivi BYOD: il vecchio modello "perimetro = firewall in sede" non descrive più la realtà.
Per chi è ancora a 5-15 dipendenti, una sede, applicativi cloud → "diventare Zero Trust" è una destinazione, non un cantiere immediato. Il giusto primo passo è MFA + Conditional Access fatto bene.
Confronto rapido (e onesto)
Tre dimensioni che contano davvero:
- Cosa proteggono. VPN protegge il tunnel di rete. Conditional Access protegge gli account e l'accesso al cloud. Zero Trust è il modello sotto cui far convivere tutto.
- Quanto costano. Una VPN base è praticamente gratuita se hai già un firewall WatchGuard (è incluso). Conditional Access è incluso in M365 Business Premium (se ce l'hai). Zero Trust completo è un programma pluriennale che mette in moto licenze, configurazioni e cambio di mentalità.
- Quanto sono complessi da gestire. VPN: facile da accendere, ma la manutenzione (chi può, chi non più, certificati che scadono) viene spesso trascurata. Conditional Access: medio — le policy vanno disegnate con cura, e va testato che non blocchino chi non doveva. Zero Trust: progetto.
La domanda che ti devi fare davvero
Non "VPN o Zero Trust?". La domanda corretta è:
Se a un mio dipendente rubano la password domani, l'attaccante può fare danni reali?
Se la risposta è "sì" (e in 9 PMI italiane su 10 è sì), il prossimo passo non è scegliere tra VPN e Zero Trust. È mettere a posto le tre cose che riducono il 90% del rischio:
- MFA su tutto, in modo gestito.
- Conditional Access sui servizi M365, almeno con due o tre policy di base (geografia, dispositivi gestiti, login a rischio).
- EDR moderno con isolamento remoto (Defender for Business o equivalente).
Quando questi tre sono attivi, la VPN diventa un ingranaggio più piccolo e meno critico. E quando arriverà il momento di sostituirla con qualcosa di più moderno (ZTNA), avrete già fatto metà del lavoro.
La combinazione che vediamo funzionare nelle PMI
Per dare un'idea concreta: un'azienda da 50 dipendenti, con una sede e M365 Business Premium, oggi tiene in piedi un setup come questo:
- VPN WatchGuard per i (pochi) accessi al gestionale on-premise e ai NAS. Limitata a chi serve, MFA obbligatoria, log monitorati.
- Conditional Access su Microsoft 365 con 4-5 policy: MFA fuori Italia, blocco Paesi a rischio, accesso a SharePoint solo da PC gestiti Intune, riautenticazione su login sospetti.
- Microsoft Defender for Business sui PC. Microsoft Intune per la gestione e cifratura BitLocker.
- Per gli account amministrativi: account separati, MFA con passkey, accesso solo da workstation amministrative.
Non è "Zero Trust pieno". È un'evoluzione coerente con quel modello, ragionevole per la dimensione, e già coperta dalle licenze che molti hanno e non sfruttano. Il salto vero verso Zero Trust si fa quando si rimuove la VPN classica sostituendola con una soluzione ZTNA — ed è la direzione in cui sta andando il mercato.
Cosa fare lunedì mattina
- Chiediti onestamente: oggi se un dipendente cade nel phishing, cosa può fare l'attaccante con il suo account? Se la risposta è "praticamente tutto", parti dal basics.
- Apri il portale Microsoft 365, vai in Entra ID → Security → Conditional Access. Se la lista è vuota, lì c'è il maggior guadagno marginale di sicurezza a costo zero (la licenza la paghi già).
- Se hai una VPN attiva: chi ha le credenziali ancora valide? Verifica la lista. Spesso vediamo ex dipendenti che possono ancora collegarsi anni dopo.
- Se sei in NIS2 o stai per esserlo, mettiamo un puntino sulla roadmap Zero Trust. Non serve farla tutta — serve sapere dove sei e dove vuoi essere fra 18 mesi.
Scrivici per un assessment di mezza giornata: prendiamo le tue licenze attuali, le tue policy, la tua VPN, e ti diciamo in concreto cosa accendere subito, cosa nei prossimi 6 mesi e cosa è prematuro. Niente fumo Zero Trust, conti veri.
Articoli collegati: M365 Business Premium: 5 funzioni che paghi e non usi · Phishing: 7 segnali per riconoscerlo · Data breach: i primi 30 minuti che fanno la differenza · NIS2: cosa cambia per la tua azienda