Telefonia in cloud, Google Workspace e sicurezza della superficie esposta per ISET

ISET è un'azienda di Limana, in provincia di Belluno, che da oltre trent'anni progetta e costruisce sistemi di telecontrollo: le unità periferiche che stanno sugli impianti, il software di supervisione che li governa e i quadri elettrici che li collegano. Lavora soprattutto per il ciclo integrato dell'acqua — acquedotti, fognature, depurazione — e per chi gestisce reti di gas ed energia, consorzi di bonifica ed enti di ricerca. Progetta in casa l'hardware, il firmware e il software, produce gli apparati, li installa e li segue con un servizio di reperibilità. È certificata ISO 9001 e ISO 14001 e dal 2025 ha un sistema di gestione della sicurezza delle informazioni conforme alla ISO 27001. È, in altre parole, un'azienda tecnica, abituata a pretendere dai propri strumenti la stessa affidabilità che garantisce ai clienti.

Le esigenze erano tre, e riguardavano tutte il modo in cui l'azienda lavora e comunica. La prima era la telefonia: uffici tecnici e reparto di produzione nella stessa sede, con persone che stanno alla scrivania e altre che si muovono per tutta l'azienda e devono poter rispondere ovunque. La seconda era la collaborazione: progetti, documentazione tecnica, offerte e corrispondenza che passano di mano fra più persone ogni giorno, e che non possono vivere in caselle e cartelle personali. La terza era la sicurezza: un'azienda che fornisce sistemi di controllo a chi gestisce infrastrutture e che ha scelto di certificarsi sulla sicurezza delle informazioni ha bisogno di sapere cosa di sé è visibile da internet, prima che lo scopra qualcun altro.

Il punto di partenza è stato la connessione: con una fibra dedicata punto-punto la banda è garantita e non condivisa, e questo permetteva di portare in rete sia la telefonia sia il lavoro d'ufficio senza compromessi. Sulla telefonia, un centralino in cloud toglieva di mezzo l'apparato da mantenere in sede e lasciava liberi di combinare postazioni fisse e cordless secondo il lavoro di ciascuno. Sulla collaborazione, la scelta di Google Workspace rispondeva a un'idea precisa: non dare a ognuno una casella di posta, ma dare all'azienda uno spazio di lavoro comune, in cui i documenti appartengono all'azienda e si lavora sugli stessi file invece che sulle loro copie. Sulla sicurezza, il ragionamento è stato il più interessante. Firewall e antivirus proteggono quello che l'azienda sa di avere; il rischio vero, spesso, sta in quello che non sa più di avere: un servizio rimasto esposto, un vecchio portale mai spento, un sottodominio dimenticato. Serviva qualcosa che sorvegliasse il perimetro, cioè gli indirizzi IP pubblici e i servizi esposti, guardandoli da fuori e con regolarità.

La soluzione lavora su tre piani, sopra la stessa fibra dedicata, attivata tramite me presso il fornitore dell'infrastruttura. La telefonia: un centralino in cloud con postazioni fisse sulle scrivanie e cordless per chi si sposta fra gli uffici e la produzione. La collaborazione: le licenze Google Workspace, con la posta sul dominio aziendale, i documenti e i fogli condivisi, i Drive condivisi dei reparti, il calendario e le riunioni in Meet. La sicurezza: un servizio di Attack Surface Management, attivo, che fa da sicurezza perimetrale sugli indirizzi IP pubblici esposti: mappa e sorveglia con continuità quello che dell'azienda è raggiungibile da internet e segnala ciò che espone a un rischio.

Dando a ognuno il telefono adatto al suo lavoro, sullo stesso centralino. Chi lavora in ufficio ha la sua postazione fissa; chi si muove fra il reparto tecnico e la produzione ha un cordless, e riceve e trasferisce le chiamate come dalla scrivania. Il centralino non è più un apparato in un armadio da mantenere e sostituire: è un servizio in rete, che si configura da un pannello — interni, gruppi, orari, trasferimenti — senza un tecnico sul posto per ogni modifica. E viaggia su una fibra dedicata, con la banda riservata all'azienda: la qualità delle telefonate non dipende da quanto traffico c'è sulla linea in quel momento.

Vuol dire che si lavora insieme sulle stesse cose, invece che su copie che girano in allegato. La posta è sul dominio aziendale, e le caselle condivise permettono a più persone di seguire lo stesso flusso di richieste. I documenti, i fogli di calcolo e le presentazioni si aprono nel browser e si modificano in più persone nello stesso momento, con i commenti, le attività assegnate e la cronologia delle versioni: un'offerta o una relazione tecnica ha una versione sola, sempre quella aggiornata. I Drive condivisi dei reparti appartengono all'azienda e non al singolo: se una persona cambia ruolo o lascia l'azienda, i file restano dove sono. Il calendario mostra la disponibilità dei colleghi e delle sale, e le riunioni con clienti e fornitori partono in Meet da un link. Gli account si gestiscono da una console unica, con le protezioni sull'accesso come la verifica in due passaggi: un tema che, per un'azienda certificata sulla sicurezza delle informazioni, non è un dettaglio.

Guardandola da fuori, come farebbe lui, e continuando a farlo. È una sicurezza perimetrale: si occupa del confine fra l'azienda e internet, cioè degli indirizzi IP pubblici e di quello che risponde su di essi. La superficie d'attacco è tutto ciò che di un'azienda si raggiunge da internet: servizi esposti, porte aperte, sistemi in cloud, portali web. Una parte è nota a chi gestisce la rete; un'altra non lo è più — un servizio aperto per una prova e mai richiuso, un vecchio sito mai ritirato, un sottodominio dimenticato — ed è proprio lì che di solito si entra. Il servizio parte dai domini e dagli indirizzi dell'azienda, ricostruisce in automatico l'infrastruttura collegata, compresi i sottodomini che una semplice lista di indirizzi non mostrerebbe, e la scansiona con regolarità, da due volte a settimana fino a più volte al giorno, cercando servizi nuovi e vulnerabilità appena scoperte. Quando trova qualcosa di grave, un team di analisti lo verifica e lo segnala; ogni mese arriva un report su come cambia la superficie esposta nel tempo. È un controllo che non sostituisce le difese che l'azienda ha già, ma le verifica: dice se l'inventario è completo e se quello che si pensava chiuso lo è davvero.

Perché tutto il resto ci passa sopra. Il centralino in cloud, le riunioni in Meet, i documenti che si salvano in tempo reale: sono tutti servizi in rete, e funzionano bene solo se la rete non è il collo di bottiglia. La fibra dedicata punto-punto, attivata tramite me appoggiandomi al fornitore dell'infrastruttura, collega la sede con una fibra riservata all'azienda, con banda garantita e simmetrica, cioè uguale in uscita e in entrata: la seconda è quella che conta quando si caricano file, si parla al telefono e si sta in videochiamata nello stesso momento.

In un rapporto che dura dal 2018, e nel tenere insieme ambiti che di solito hanno interlocutori diversi: la linea, la telefonia, gli strumenti di lavoro e la sicurezza. Per ISET seguo tutta la parte delle telecomunicazioni: capire come lavorano le persone, scegliere gli strumenti adatti, attivarli appoggiandomi ai fornitori giusti e seguirli nel tempo, restando l'unico riferimento per l'azienda. Il valore sta nel quadro intero: sapere che il centralino, Workspace e il servizio di sicurezza poggiano sulla stessa linea, e che una scelta su uno si riflette sugli altri.

ISET ha una telefonia che segue le persone, con postazioni fisse e cordless su un centralino in cloud che si configura da un pannello; uno spazio di lavoro comune in Google Workspace, in cui posta, documenti e riunioni appartengono all'azienda e si condividono invece di essere ricopiati; e una sicurezza perimetrale che sorveglia con continuità gli indirizzi IP pubblici esposti, con gli avvisi quando qualcosa espone a un rischio. Tutto viaggia su una fibra dedicata con la banda riservata all'azienda, e tutto fa capo a un solo interlocutore, dal 2018. Per un'azienda che costruisce sistemi di controllo per le infrastrutture dell'acqua e dell'energia, è lo stesso principio che applica ai propri clienti: sapere sempre cosa succede, e accorgersene prima che diventi un problema.