Rete Ospedaliera: Segmentazione Minima NIS2

La sicurezza informatica nelle strutture sanitarie non è più un’opzione, ma un requisito legale e morale stringente. La Direttiva NIS2, in particolare l’Art. 21, impone agli operatori di servizi essenziali e importanti, tra cui le strutture sanitarie, di adottare misure tecniche e organizzative adeguate per gestire i rischi di sicurezza. Tra queste, la segmentazione di rete emerge come una delle fondamenta imprescindibili per proteggere dati sensibili e garantire la continuità operativa. Non si tratta di un lusso, ma del minimo indispensabile per reggere un controllo e, soprattutto, per proteggere i pazienti.

Quando si parla di reti ospedaliere, la complessità è enorme: dai sistemi di gestione clinica (HIS), ai sistemi di archiviazione e comunicazione delle immagini (PACS), fino ai dispositivi medici connessi (IoT medicale) e alle infrastrutture IT tradizionali. Una rete piatta, dove un singolo punto di compromissione può dare accesso indiscriminato a tutto l’ambiente, è un rischio inaccettabile. Ho visto personalmente scenari dove un malware su una singola workstation amministrativa ha rischiato di propagarsi a sistemi critici, solo per la mancanza di segmentazione adeguata. Questo articolo esplora le misure minime di segmentazione di rete che una struttura ospedaliera dovrebbe implementare per essere conforme alle direttive attuali e, soprattutto, per essere resiliente agli attacchi cyber.

Testato su: Cisco Catalyst 9300 · FortiGate 200F · VMware NSX-T · Maggio 2026

Prerequisiti / Ambiente di test

Prima di implementare qualsiasi strategia di segmentazione, è fondamentale avere una chiara comprensione dell’ambiente di rete esistente. Questo include un inventario dettagliato di tutti i dispositivi connessi, dei sistemi applicativi critici e dei flussi di traffico. È necessario disporre di infrastrutture di rete capaci di supportare le VLAN (Virtual Local Area Network) e le ACL (Access Control List) a livello di switch e router. Un firewall di nuova generazione (NGFW) è essenziale per la gestione delle policy e per l’ispezione del traffico. Nel nostro ambiente di test abbiamo utilizzato switch Cisco Catalyst 9300, un firewall FortiGate 200F e, per alcune implementazioni avanzate, VMware NSX-T per la micro-segmentazione. Leggi anche: FortiGate SSL VPN: Configurazione Completa per Accesso Remoto Sicuro (2026)

1. Identificazione e Classificazione dei Sistemi Critici

Il primo passo è identificare e classificare tutti i sistemi che gestiscono dati sensibili o che sono essenziali per le operazioni ospedaliere. Questo include:

Sistemi di Informazione Ospedaliera (HIS/EMR): Cartelle cliniche elettroniche, sistemi di gestione pazienti.
Sistemi di Imaging (PACS/RIS): Immagini diagnostiche e referti radiologici.
Sistemi di Laboratorio (LIS): Analisi e risultati di laboratorio.
Sistemi di Farmacia: Gestione e distribuzione dei farmaci.
Dispositivi IoT Medicali: Pompa infusionali, monitoraggio pazienti, apparecchiature diagnostiche connesse.
Infrastruttura Critica: Domain Controllers, server DNS, sistemi di backup.

Ogni sistema deve essere valutato in base al suo impatto sulla continuità operativa e sulla riservatezza dei dati. Questa classificazione guiderà la creazione delle VLAN e l’applicazione delle policy di sicurezza. Per un esempio di schema di rete anonimizzato che mostra la segmentazione, si può fare riferimento a schemi di architettura di riferimento per la sanità digitale.

2. Implementazione delle VLAN per la Segmentazione Logica

Le VLAN sono il fondamento della segmentazione logica. Permettono di isolare gruppi di dispositivi e sistemi anche se fisicamente connessi allo stesso switch. Questo riduce il dominio di broadcast e, crucialmente, limita la propagazione laterale di un attacco. Di seguito un esempio di configurazione VLAN su uno switch Cisco:

configure terminal
vlan 10
 name HIS_VLAN
vlan 20
 name PACS_VLAN
vlan 30
 name IoT_Medicale
vlan 40
 name Workstations_Amministrative
vlan 50
 name Server_Infrastructure
exit
interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
exit

È fondamentale creare VLAN separate per:

VLAN di Gestione Clinica: HIS, PACS, LIS.
VLAN IoT Medicale: Tutti i dispositivi medici connessi. Questi dispositivi sono spesso difficili da patchare e rappresentano un rischio elevato.
VLAN Workstation: Workstation amministrative, workstation cliniche, postazioni internet.
VLAN Server Core: Domain Controllers, DNS, DHCP, server di backup, SIEM.
VLAN Ospiti: Per l’accesso a internet dei visitatori, completamente isolata.

3. Firewalling tra le VLAN (Controlli Est-Ovest)

La mera creazione di VLAN non è sufficiente. È essenziale che il traffico tra queste VLAN sia filtrato e controllato da un firewall. Questo è noto come controllo del traffico Est-Ovest. Un firewall di nuova generazione (NGFW) permette di implementare policy granulari basate non solo su IP e porte, ma anche su applicazioni, utenti e contesti di sicurezza.

Esempio di policy FortiGate per consentire traffico solo da HIS_VLAN a Server_Infrastructure (es. Domain Controller) sulla porta LDAP:

config firewall policy
    edit 0
        set name "HIS_to_DC_LDAP"
        set srcintf "HIS_VLAN_Interface"
        set dstintf "Server_Infrastructure_Interface"
        set srcaddr "HIS_VLAN_Address_Object"
        set dstaddr "DC_IP_Address_Object"
        set service "LDAP"
        set action accept
    next
end

Queste policy devono essere rigorose e seguire il principio del minimo privilegio: consentire solo il traffico strettamente necessario. Tutto il resto deve essere negato esplicitamente. Leggi anche: UFW Firewall Ubuntu: Configurazione Completa dalla A alla Z (2026)

4. Segmentazione del Traffico IoT Medicale

I dispositivi IoT medicali presentano sfide uniche: spesso sono basati su sistemi operativi obsoleti, non supportano l’autenticazione robusta e sono vulnerabili a exploit noti. Isolarli in una VLAN dedicata è un imperativo. Inoltre, il traffico da e verso questi dispositivi dovrebbe essere monitorato attentamente e limitato al minimo indispensabile per il loro funzionamento. Si dovrebbero considerare soluzioni di Network Access Control (NAC) per autenticare e autorizzare solo i dispositivi IoT riconosciuti a connettersi alla loro VLAN dedicata.

Errori comuni e troubleshooting

Policy troppo permissive: Uno degli errori più comuni è creare policy di firewalling “any-any” tra VLAN per risolvere problemi di connettività. Questo annulla completamente il beneficio della segmentazione. È fondamentale investire tempo nella mappatura dei flussi di traffico e definire policy precise.
Mancanza di logging e monitoraggio: Senza un SIEM o un sistema di log centralizzato, è impossibile rilevare tentativi di accesso non autorizzati o anomalie nel traffico inter-VLAN. Assicurarsi che i log dei firewall e degli switch siano inviati a un sistema di analisi.
Ignorare i dispositivi legacy: Vecchi dispositivi medici o sistemi IT che non possono essere patchati o aggiornati rappresentano un rischio significativo. Devono essere isolati in modo aggressivo e, se possibile, sostituiti.
Documentazione carente: La mancanza di una documentazione aggiornata delle VLAN, delle policy e dei flussi di traffico rende la gestione e il troubleshooting un incubo, oltre a rendere impossibile dimostrare la conformità.

FAQ — Domande Frequenti

La segmentazione di rete è sufficiente per la conformità NIS2?

No, la segmentazione è una componente fondamentale, ma la NIS2 richiede un approccio olistico che include gestione degli incidenti, valutazione dei rischi, sicurezza della supply chain, e molto altro. È un pilastro, non l’unica misura.

Qual è la differenza tra segmentazione di rete e micro-segmentazione?

La segmentazione di rete divide la rete in segmenti più ampi (VLAN). La micro-segmentazione porta questo concetto a un livello più granulare, isolando singoli workload o applicazioni all’interno della stessa VLAN, spesso tramite firewall software o soluzioni SDN come VMware NSX-T. Offre un controllo ancora più preciso, ma è più complessa da implementare.

Come posso testare l’efficacia della mia segmentazione?

Attraverso penetration test regolari, vulnerability assessment e simulazioni di attacco (red teaming). È cruciale che questi test includano scenari di movimento laterale tra i segmenti di rete, per verificare l’efficacia delle policy di firewalling interne.

Devo segmentare anche la rete OT (Operational Technology) e IT?

Assolutamente sì. Le reti OT, che gestiscono apparecchiature mediche e infrastrutture critiche, devono essere rigorosamente separate dalle reti IT tradizionali. I protocolli e le vulnerabilità sono diversi, e un attacco alla rete OT può avere conseguenze dirette sulla vita dei pazienti.

Conclusioni con takeaway operativi

La segmentazione di rete in una struttura ospedaliera non è un esercizio teorico, ma una misura di sicurezza pragmatica e obbligatoria per la conformità NIS2. Implementare VLAN dedicate per i sistemi critici, i dispositivi IoT medicali e le workstation, e applicare policy di firewalling rigorose tra questi segmenti, rappresenta il minimo indispensabile. Non solo protegge da attacchi esterni, ma limita anche la propagazione di minacce interne. Investire in una solida architettura di rete segmentata significa investire nella sicurezza dei pazienti e nella resilienza operativa, riducendo il rischio di interruzioni che potrebbero avere conseguenze devastanti.

Fonti

Aggiornato: Agosto 2026