iboss Zero Trust SASE gestito per le PMI

Nexsys è partner MSSP di iboss ed eroga iboss Zero Trust SASE come servizio gestito per piccole e medie imprese italiane: licenza, attivazione e gestione in un unico canone per utente.

iboss è una piattaforma cloud di sicurezza fondata nel 2003, con sede a Boston. Sostituisce la VPN con un accesso Zero Trust alle singole applicazioni e protegge la navigazione web e l'uso di servizi cloud e strumenti di intelligenza artificiale, in ufficio e fuori sede. Ogni utente raggiunge solo le applicazioni per cui è autorizzato, in base alla sua identità e allo stato del dispositivo, e non l'intera rete aziendale.

Nexsys progetta le regole di accesso, integra iboss con Microsoft Entra ID e Intune, migra gli utenti dalla VPN un gruppo alla volta senza fermare il lavoro e amministra la console nel tempo. L'azienda approva le regole e riceve i report.

Perché la VPN non basta più a una PMI

Una VPN tradizionale, dopo l'autenticazione, collega il dispositivo alla rete aziendale. Se una credenziale viene sottratta, chi la usa può muoversi tra server e cartelle condivise ben oltre ciò che serviva all'utente. Gli apparati VPN esposti su Internet sono inoltre un bersaglio frequente: ogni vulnerabilità non corretta apre un accesso diretto alla rete. Ne parliamo nella guida sui rischi della VPN nell'accesso remoto.

Il proxy o il firewall in sede proteggono chi lavora in ufficio, non chi lavora da casa, in trasferta o da un cliente. In quei casi il traffico web esce senza filtri oppure rientra in azienda tramite VPN, con rallentamenti per l'utente.

Infine, ogni nuova applicazione SaaS, compresi gli strumenti di IA generativa, è un canale da cui i dati aziendali possono uscire senza che l'IT lo sappia. In una PMI, dove l'IT è spesso una persona sola o un fornitore esterno, tenere allineati VPN, proxy e regole per ogni nuovo servizio è un lavoro che nessuno ha il tempo di fare.

Cosa include iboss Zero Trust SASE

iboss eroga dal cloud, secondo il modello SASE (Secure Access Service Edge), le funzioni di sicurezza che in una rete tradizionale stanno su apparati diversi, e le regole seguono l'utente ovunque si trovi. Le componenti indicate come moduli aggiuntivi entrano nella proposta solo se il progetto le richiede.

Accesso Zero Trust alle applicazioni (ZTNA)

Sostituisce la VPN. L'utente si autentica con il proprio account aziendale e raggiunge solo le applicazioni assegnate al suo gruppo, attraverso connessioni cifrate dedicate alla singola applicazione. Le applicazioni non sono visibili a chi non è autorizzato e la rete interna non viene esposta su Internet.

Protezione della navigazione web (Secure Web Gateway)

Filtra la navigazione per categoria, blocca malware, phishing e siti malevoli e ispeziona anche il traffico cifrato HTTPS. L'ispezione è selettiva: le categorie sensibili, come banche e sanità, si possono escludere.

Controllo delle applicazioni cloud e dell'IA generativa (CASB)

Mostra quali servizi cloud e strumenti di IA si usano in azienda e da chi, e permette di consentire quelli approvati, limitare le operazioni rischiose, come il caricamento di file su servizi personali, e bloccare quelli non autorizzati. Il monitoraggio delle conversazioni con gli strumenti di IA e la prevenzione della perdita di dati (DLP) sono moduli aggiuntivi.

Isolamento del browser (modulo aggiuntivo)

I siti non classificati o a rischio si aprono in un ambiente isolato nel cloud: l'utente li consulta normalmente, ma il codice del sito non raggiunge il suo dispositivo.

Protezione delle sedi

Uffici e reti locali, compresi i dispositivi su cui non si può installare un agente, si collegano alla piattaforma con un connettore di rete e ricevono le stesse regole degli utenti remoti.

Una console, le stesse regole ovunque

Accessi, filtri e report si gestiscono da un'unica console. Una regola definita una volta vale in ufficio, a casa o in viaggio, su Windows, macOS, iOS, Android e Chromebook.

Per i modelli architetturali e le alternative, vedi le soluzioni SASE per aziende di Nexsys.

iboss o Cato Networks: quale proponiamo

Nexsys lavora con due piattaforme SASE e le propone a realtà di dimensioni diverse. Per le realtà più piccole proponiamo iboss: si attiva senza ridisegnare la rete, sostituisce la VPN e mette sotto controllo navigazione, cloud e IA con un canone per utente. Per aziende più strutturate, con molte sedi da collegare e una rete geografica da consolidare con l'SD-WAN, proponiamo Cato Networks. La scelta si fa durante l'assessment, sui numeri reali di utenti, sedi e applicazioni.

IP dedicati: il traffico della tua azienda esce da indirizzi solo suoi

In molti servizi cloud di sicurezza il traffico di migliaia di aziende esce dagli stessi indirizzi IP. iboss assegna invece a ogni cliente indirizzi IP dedicati, su un'architettura che non condivide il piano dati tra un cliente e l'altro. Ha tre conseguenze pratiche.

Microsoft 365 raggiungibile solo attraverso iboss

Poiché gli indirizzi di uscita appartengono solo alla tua azienda, possono essere usati nell'Accesso condizionale di Microsoft Entra ID: posta, SharePoint e Teams diventano accessibili solo dal traffico che passa da iboss o da dispositivi aziendali conformi. Una password sottratta, usata da un computer esterno, viene respinta anche se l'attaccante conosce le credenziali. Con indirizzi condivisi questo controllo non è possibile, perché gli stessi IP sono usati da altre organizzazioni.

Le autorizzazioni basate su IP continuano a funzionare

Home banking aziendale, portali dei fornitori, gestionali in cloud, servizi della pubblica amministrazione e scambi di file con i partner spesso consentono l'accesso solo da indirizzi IP autorizzati. Con un indirizzo dedicato basta comunicare il nuovo IP una volta: il passaggio dalla VPN non interrompe questi servizi.

Nessun effetto dal comportamento di altri clienti

Un indirizzo condiviso può finire in una lista di blocco o generare verifiche CAPTCHA continue a causa dell'attività di un'altra azienda che lo usa. Un indirizzo dedicato ha la reputazione della sola organizzazione a cui è assegnato.

Per le aziende con server e applicazioni in Microsoft Azure, iboss può inoltre installare i propri gateway direttamente nell'ambiente Azure del cliente, gestiti dal cloud iboss, con l'indirizzo IP associato al tenant Azure dell'azienda.

iboss al posto della VPN: vantaggi e aspetti da valutare

Sostituire la VPN con un accesso Zero Trust porta vantaggi concreti, ma richiede alcune verifiche preliminari. Le riportiamo entrambe, perché sono le stesse che affrontiamo in fase di assessment.

I vantaggi rispetto alla VPN

• Accesso alla singola applicazione, non alla rete: un account compromesso raggiunge solo le applicazioni assegnate a quell'utente, e non può muoversi verso altri server.
• Nessun apparato VPN esposto su Internet: le applicazioni interne non sono pubblicate e non c'è un concentratore VPN da aggiornare con urgenza a ogni nuova vulnerabilità.
• Verifica a ogni accesso: identità, MFA e stato del dispositivo vengono controllati a ogni connessione, non solo all'apertura del tunnel.
• Nessuna connessione da attivare: l'agente lavora in background e l'utente raggiunge le applicazioni come se fosse in ufficio.
• Navigazione più diretta: il traffico verso Internet e Microsoft 365 non deve rientrare in azienda per essere filtrato, ma passa dal punto di presenza iboss più vicino.
• Un solo agente invece di due: accesso remoto e protezione della navigazione sono gestiti dallo stesso software e dalle stesse regole.
• Accesso controllato per fornitori e consulenti: ogni esterno vede solo le applicazioni di cui ha bisogno, con registrazione di ogni accesso.
• Nessun limite hardware: il numero di utenti collegati non dipende dalla capacità del firewall o del concentratore in sede.

Gli aspetti da valutare prima della migrazione

• Serve l'agente sui dispositivi: i computer aziendali gestiti con Intune sono il caso più semplice. Dispositivi personali, non gestiti o di terzi richiedono una valutazione specifica.
• Applicazioni con porte dinamiche o client datati: alcuni gestionali, applicazioni client-server e protocolli che usano intervalli di porte ampi richiedono una mappatura accurata prima di essere pubblicati.
• Computer nel dominio Active Directory locale: alcune operazioni, come l'applicazione delle group policy all'avvio o il cambio della password scaduta, avvengono prima che l'utente acceda. Le verifichiamo in assessment per i portatili che lavorano spesso fuori sede.
• Traffico avviato dal server verso il client: strumenti di assistenza remota, alcuni centralini software e sistemi di gestione che contattano direttamente il PC dell'utente vanno analizzati caso per caso.
• Collegamenti tra sedi e con i partner: i tunnel sito-sito con fornitori, banche o altre sedi non sono sostituiti dall'accesso degli utenti e vanno gestiti a parte.
• Dipendenza dal servizio cloud: se il cloud non è raggiungibile, l'accesso alle applicazioni private non è disponibile. Si stabilisce in anticipo come deve comportarsi la navigazione in quel caso.
• Ispezione del traffico cifrato: alcune applicazioni non accettano l'ispezione HTTPS e vanno escluse. Le individuiamo durante il pilota.
• Costo: la VPN è spesso inclusa nel firewall già acquistato, mentre iboss è in abbonamento. Il confronto corretto considera anche i costi che vengono meno: proxy, aggiornamento e sostituzione dell'apparato VPN, tempo di gestione.

Per questo la VPN resta attiva in parallelo durante tutto il pilota e viene spenta solo quando ogni applicazione e ogni gruppo di utenti sono stati verificati.

Il servizio gestito: cosa fa Nexsys

Come partner MSSP di iboss, Nexsys non rivende soltanto la licenza: progetta, attiva e gestisce la piattaforma per conto dell'azienda.

1. Assessment gratuito e progettazione

Analizziamo la VPN in uso, le applicazioni che gli utenti remoti raggiungono, le sedi e le regole di navigazione attuali. Ne ricaviamo la matrice degli accessi, cioè quali gruppi di utenti devono raggiungere quali applicazioni, e la proposta economica per utente. L'assessment è gratuito.

2. Integrazione con Microsoft 365

Colleghiamo iboss a Microsoft Entra ID, così utenti e gruppi restano quelli già gestiti in azienda, e distribuiamo l'agente sui dispositivi tramite Intune. Se i dispositivi non sono ancora gestiti, il primo passo è la gestione degli endpoint con Intune. L'accesso alle applicazioni può tenere conto della conformità del dispositivo.

3. Migrazione per fasi

Partiamo da un gruppo pilota, poi estendiamo il servizio un gruppo alla volta. La VPN resta attiva in parallelo finché l'ultimo gruppo non è migrato e tutte le applicazioni non sono raggiungibili in Zero Trust: nessun utente resta senza accesso durante il passaggio.

4. Gestione continuativa

Aggiorniamo le regole, aggiungiamo applicazioni e utenti, gestiamo le eccezioni e analizziamo periodicamente i report su navigazione, uso del cloud e degli strumenti di IA. L'azienda riceve un report periodico, ha un referente tecnico e, se lo desidera, un accesso in sola lettura alla console.

5. Monitoraggio con il SOC

L'integrazione tra iboss e il SOC as a Service di Nexsys è già attiva: gli eventi di sicurezza rilevati dalla piattaforma possono essere monitorati dal SOC insieme a quelli degli altri sistemi dell'azienda.

Cosa resta all'azienda

Approvare le regole di accesso e di navigazione, segnalare nuove applicazioni o nuovi utenti, comunicare ai dipendenti le modalità d'uso. Amministrazione della console, aggiornamenti ed eccezioni sono a carico di Nexsys.

iboss e Microsoft 365

Nexsys è Microsoft Solutions Partner e lavora ogni giorno su Entra ID, Intune ed Exchange Online. In un progetto iboss questo significa:

• accesso degli utenti con l'account Microsoft 365 già in uso, con MFA;
• regole di accesso costruite sui gruppi di Entra ID, senza duplicare gli utenti;
• accesso a Microsoft 365 limitato agli IP dedicati iboss tramite Accesso condizionale;
• distribuzione dell'agente e del certificato di ispezione tramite Intune;
• gestione del traffico di Teams ed Exchange Online secondo le indicazioni di Microsoft, per non degradare chiamate e posta.

iboss si integra anche con Microsoft Defender for Cloud Apps, Microsoft Sentinel e Microsoft Purview, nei progetti che usano queste piattaforme. Per progettarle e configurarle Nexsys offre la consulenza Microsoft Sentinel e la consulenza Microsoft Purview.

iboss e NIS2

Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, chiede ai soggetti obbligati misure tecniche e organizzative proporzionate al rischio. iboss Zero Trust SASE contribuisce in modo documentabile ad alcune di queste misure:

• controllo degli accessi: accesso alle applicazioni per singolo utente e gruppo, al posto dell'accesso all'intera rete;
• autenticazione forte: accesso subordinato all'identità Entra ID con MFA;
• igiene informatica: filtro della navigazione e blocco di malware e phishing su tutti i dispositivi, anche fuori sede;
• gestione degli incidenti: registrazione degli accessi e degli eventi, con inoltro al SOC;
• sicurezza della catena di fornitura: accessi di fornitori e consulenti limitati alle sole applicazioni necessarie.

La piattaforma è uno degli strumenti dell'adeguamento, non lo sostituisce: le misure vanno inserite nel piano complessivo di gestione del rischio. Per il percorso completo c'è la consulenza NIS2 di Nexsys.

Cosa iboss non copre

iboss decide chi raggiunge quali applicazioni e cosa esce verso Internet. Due rischi restano fuori dal suo perimetro e si affrontano con strumenti dedicati: il movimento laterale tra server e postazioni della rete interna, che si limita con la microsegmentazione della rete interna, e gli accessi ai sistemi che non supportano l'MFA moderna, come Active Directory e le applicazioni legacy, per cui serve l'MFA su Active Directory e sistemi legacy.

Per chi è indicato

Il servizio è pensato per piccole e medie imprese:

• con dipendenti che lavorano anche fuori sede o con più uffici;
• con una VPN da rinnovare o con vulnerabilità da correggere;
• soggette alla NIS2, che devono dimostrare il controllo degli accessi;
• che vogliono sapere quali servizi cloud e strumenti di IA usa il personale, e governarli.

Per aziende con molte sedi e una rete geografica da ripensare vale il confronto con Cato Networks descritto più sopra.

Come si parte

1. Call conoscitiva di 30 minuti, gratuita e senza impegno, per capire contesto, numero di utenti e applicazioni.
2. Assessment gratuito della VPN e delle applicazioni, con matrice degli accessi e proposta economica per utente.
3. Pilota su un gruppo ristretto di utenti, con la VPN ancora attiva.
4. Estensione a tutti gli utenti e dismissione della VPN.

Il servizio è in abbonamento per utente e comprende licenza iboss e gestione da parte di Nexsys.