Come proteggere cartelle condivise in rete locale? Strategie semplici per blindare dati importanti

Condividere cartelle in rete locale è comodo, ma basta un permesso sbagliato per esporre preventivi, codice e documenti sensibili. L’ho imparato sul campo: progetto interfacce per team che collaborano ogni giorno su file condivisi e ho visto quanto qualche clic affrettato possa aprire una falla. Qui metto in fila le azioni che applico davvero nelle aziende e negli studi professionali con cui lavoro, così puoi mettere al sicuro le tue cartelle subito.

Permessi: partire dai gruppi e dal minimo privilegio

Il primo strato è sempre la gestione dei permessi. Niente scorciatoie: niente “Tutti” con accesso completo, niente condivisione senza password. Si lavora per gruppi, non per singoli, e si concede solo ciò che serve (lettura o modifica), alla cartella giusta.

Su Windows creo gruppi locali o di dominio (se c’è un controller) e li lego alle ACL NTFS della cartella. Alla condivisione assegno “Lettura” o “Modifica” al gruppo, mai “Controllo completo” indiscriminato. La sicurezza effettiva è data dall’incrocio tra permessi di condivisione e NTFS: se uno dei due è restrittivo, vince quello.

Su macOS abilito Condivisione file via SMB, creo utenti specifici e rimuovo l’accesso a “Tutti”. Evito di usare l’account dell’amministratore per la condivisione.

Su Linux con Samba definisco “valid users” per share, disattivo guest ok, e separo condivide di sola lettura da quelle di lavoro. Il principio è chiaro: meno superfici di attacco, meno sorprese.

Mi è capitato di recente in una PMI: una cartella “Archivio” ereditava un vecchio “Everyone: Modify”. Risultato? Chiunque poteva cancellare preventivi. Ho risolto con due gruppi mirati (Vendite_R, Vendite_RW), audit veloce delle ACL e rimozione dell’eredità dove non serviva. In mezza giornata, rischio azzerato.

Blindare il protocollo e l’autenticazione

Se usi condivisioni Windows o NAS, il cuore è SMB. Prima mossa: disattiva SMB1, ormai insicuro; usa SMB3 con firma e, se supportato, crittografia. Imposta l’autenticazione su NTLMv2 minimo e blocca account guest. Password lunghe e uniche, gestite con un password manager.

Sui NAS abilito la firma SMB, limito le versioni del protocollo, e attivo blocchi automatici su tentativi falliti. Se c’è accesso remoto, niente porte esposte per la condivisione file: meglio una VPN site-to-site o per utenti, segmentando i permessi di conseguenza.

Se lavori in dominio, i criteri centrali aiutano a far rispettare standard coerenti. Se non hai un dominio, vale lo stesso approccio: utenti locali per ruolo, scadenza password dove possibile, e nessuna condivisione senza autenticazione.

Segmentare la rete e mettere regole chiare

Le cartelle condivise vivono meglio in una rete che non espone tutto a tutti. Segmento le VLAN: una per client, una per server/NAS, eventuali per ospiti o IoT. Il firewall tra VLAN consente solo le porte necessarie (445/TCP per SMB) verso gli host consentiti. I broadcast non devono viaggiare liberi.

Per il Wi‑Fi imposto WPA3 o almeno WPA2‑Enterprise nelle realtà strutturate; per gli ospiti, una rete separata con isolamento client. Disattivo UPnP sul router e i forward automatici: sono inviti aperti ai bot.

Un lettore mi ha chiesto perché non riusciva più a “vedere” il NAS dopo la segmentazione. Semplice: bloccava i servizi di scoperta. Ho risolto con un rule set mirato per mDNS/LLMNR dove serviva e una scorciatoia pratica: mappare i percorsi via IP o DNS, evitando il browsing casuale in rete.

NAS e server: impostazioni che fanno la differenza

Sui NAS (Synology, QNAP e simili) imposto sempre utenti e gruppi separati, disattivo l’utente “admin” di default, attivo 2FA per il pannello di gestione e imposto una allowlist IP per l’amministrazione. Le cartelle condivise sono poche e chiare, ognuna con il suo perimetro di permessi.

Abilito snapshot e versioning sui volumi: fermano molti incidenti prima che diventino catastrofi. Programmo report settimanali su accessi e modifiche anomale, e limito i protocolli disponibili solo a quelli effettivamente usati (SMB, niente AFP o NFS se non servono).

Su server Windows, controllo che “Condivisione protetta da password” sia attiva sui client, firmo SMB, e uso criteri locali per impedire l’uso di credenziali vuote. Centralizzo i log d’accesso per poter ricostruire gli eventi in caso di problemi.

Backup e piano anti‑ransomware

Qui non si deroga: regola 3‑2‑1. Tre copie, due supporti diversi, una off‑site o offline. Il backup deve essere indipendente dai permessi degli utenti: un ransomware non deve vedere il repository come un’altra unità mappata in scrittura.

Attivo versioning e snapshot sui file condivisi; pianifico prove di ripristino trimestrali. Ho visto troppe aziende scoprire, nel giorno peggiore, che il backup non ripristinava nulla. Se usi un NAS, separa l’account di backup con chiavi/ruoli dedicati, e abilita l’immunità da cancellazioni accidentali (WORM/immutability, se disponibile).

Se gestisci dati personali, ricorda che ripristini affidabili aiutano anche la conformità al Regolamento generale sulla protezione dei dati. Non è burocrazia: è resilienza.

Monitoraggio e procedure

Abilita l’auditing dove possibile: su Windows, Event Viewer per accessi a oggetti; su Samba, log per share; sui NAS, Log Center con alert via mail. Un alert su numerosi tentativi falliti o su cancellazioni massive vale più di mille policy scritte e mai lette.

Scrivi una breve procedura interna: chi può creare nuove condivisioni, come si richiedono permessi, in quanto tempo si revocano quelli di chi lascia l’azienda. Sono dieci righe, ma cambiano la vita quando serve agire in fretta.

Errori tipici da evitare

• Concedere “Controllo completo” a “Tutti” per sbrigarsi: espone e complica i ripristini.
• Lasciare SMB1 attivo “per compatibilità”: è un rischio noto e inutile.
• Usare un unico account admin per tutti: tracciabilità zero e rischio massimo.
• Esporre porte di condivisione su Internet: usa la VPN, sempre.
• Saltare gli snapshot perché “occupano spazio”: costano meno di una giornata di lavoro persa.

Checklist veloce (da fare oggi)

• Rivedi le condivisioni e rimuovi “Everyone”. Crea gruppi e assegna permessi minimi.
• Forza SMB3 con firma/crittografia, disattiva SMB1, blocca guest.
• Segmenta: VLAN per server/NAS, firewall con regole esplicite, Wi‑Fi ospiti isolato.
• Abilita snapshot/versioning e configura backup 3‑2‑1. Testa un ripristino.
• Attiva 2FA sull’amministrazione del NAS e centralizza i log con alert.

Non serve stravolgere l’infrastruttura: bastano pochi interventi mirati per blindare davvero le cartelle condivise. Io parto sempre da permessi, protocollo, segmentazione e backup. Ogni volta che ho seguito questa scaletta, gli incidenti si sono ridotti a zero o quasi. Il resto è disciplina: rivedere periodicamente accessi e log, e non cedere alla tentazione del “faccio prima così”. La rete locale è casa tua: chi entra e cosa può toccare lo decidi tu.