Rete ospiti in ufficio aperta, nessuna password — i clienti possono vedere tutto? Quanto è rischioso il traffico di rete?

wifi aperto = rischioso ovviamente. tutti vedono la rete e possono fare arp spoofing. metti almeno una password, WPA2 è un miliardo di volte meglio. e dividere la rete è un po' complesso da configurare ma si può fare sui router tp-link è variabile...

Se si fa network segmentation: 1) Configurazione VLAN sull'Access Point (VLAN 1 = Guest, VLAN 2 = Corporate), 2) Regole di inter-VLAN routing su Router/Switch, 3) Regole Access Control List (ACL): blocca porte Guest → Corporate. 4) AP gestito (meraki, ubiquiti ecc.), sugli AP non gestiti non è supportato il VLAN. 5) Autenticazione RADIUS con guest portal (Captive Portal). Anche il traffico DNS, NTP deve essere separato o bloccato. Per il rilevamento dello sniffing si può usare un IDS (Suricata, Snort) ma per un piccolo ufficio è overkill.

non fare wifi aperto dai metti almeno una password. la divisione è tecnica e all'inizio può essere un casino — assumi un network admin, non si risolve in 2 settimane. però se finora non è successo niente, mettere subito una password è già ottimo. poi quando l'admin inizia, fai la configurazione della rete...

Best practice per la segmentazione della rete guest: 1) SSID separato (ssid-guest), 2) Pre-shared Key WPA2 robusta 3) Isolamento VLAN (nessun accesso alle risorse aziendali dalla guest), 4) Filtro contenuti web + DNS over HTTPS, 5) Rate limiting per client 6) Pagina di portale per i termini e condizioni, 7) Timeout di sessione (8 ore), 8) Log delle connessioni. Serve un AP gestito (UniFi, Meraki Arista Instant On). L'installazione iniziale è complicata ma a lungo termine è sicura.

I clienti trasmettono dati aziendali sul wifi aperto? Allora sono cavoli loro. Però puoi comunque proteggerti: cripta la rete guest attiva la VPN, e almeno fai passare il traffico HTTP su HTTPS. Avete controllato se i clienti hanno l'antivirus installato sui loro pc? Anche quello è un rischio...

Sono nel settore IT da anni, il wifi aperto non ha alcuna sicurezza. Un attaccante nella stessa rete (MITM, ARP spoofing ecc.) può vedere tutto il traffico non criptato. Standard di settore: WPA2 enterprise + autenticazione 802.1X. Ma per una PMI bastano WPA2 personal + segmentazione di rete. Rete guest e corporate devono essere assolutamente separate.

Sono d'accordo anzi vorrei sottolinearlo. Se è la prima volta inizia in piccolo il ridimensionamento viene dopo.

Spero che le sia utile.

Ha ragione. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Se cerchi di cambiare tutto insieme niente si stabilizza.

Io seguirei questa strada.

Lascio un avvertimento. cioè il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Mi chiedo anch'io.

Ottimo lavoro. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Buon lavoro.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Un backup non testato non è un backup.

Scrivo questo per evitare che facciate lo stesso errore. Se cerchi di cambiare tutto insieme niente si stabilizza.

Esattamente così. La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Io seguirei questa strada.

Ha ragione.

Ho lavorato a lungo su questo. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Le persone difendono le abitudini, non i processi. La resistenza nasce da lì. Naturalmente cambia se la vostra situazione è diversa.