Securitatea rețelei Wi-Fi într-un birou mic

Rețeaua Wi-Fi este una dintre cele mai folosite componente ale unui birou și una dintre cele mai puțin documentate. Laptopuri, telefoane, imprimante, camere, echipamente de prezentare și dispozitive pentru oaspeți pot ajunge în aceeași rețea, administrată printr-un router instalat cu ani în urmă. Conexiunea poate funcționa aparent normal, dar configurația să permită acces mai larg decât este necesar.

Securitatea nu se rezumă la schimbarea parolei. Ea include alegerea echipamentului, actualizări, segmentare, identitatea utilizatorilor, accesul administrativ, vizibilitatea asupra dispozitivelor și un plan pentru incidente. Pentru un birou mic, obiectivul este o configurație simplă, documentată și proporțională cu riscul.

Răspunsul direct

Inventariază echipamentele și dispozitivele, actualizează firmware-ul, schimbă credențialele implicite, protejează administrarea, folosește criptare modernă, separă rețeaua internă de cea pentru oaspeți și de dispozitivele IoT, limitează accesul între segmente și păstrează o procedură pentru adăugare, revocare și incidente. Monitorizează dispozitivele necunoscute și verifică periodic configurația și backupul ei.

Nu aplica modificări fără să cunoști dependențele. Telefonia, imprimantele, sistemele de control sau VPN-ul pot folosi reguli vechi. Salvează configurația și planifică o fereastră de intervenție.

Creează inventarul rețelei

Începe cu echipamentele:

• modem sau terminalul furnizorului;
• router și firewall;
• puncte de acces;
• switchuri;
• controler Wi-Fi;
• servere și NAS;
• imprimante;
• camere și sisteme de acces;
• stații de lucru;
• telefoane și tablete;
• dispozitive pentru săli;
• echipamente personale autorizate.

Pentru fiecare, notează modelul, versiunea, adresa de administrare, proprietarul, locația, rolul, data achiziției, suportul și ultima actualizare. Nu pune parole în inventar; păstrează referința către managerul de secrete.

O diagramă simplă cu internetul, routerul, switchurile, punctele de acces și segmentele ajută la diagnostic. Ghidul despre harta sistemelor digitale poate fi extins pentru infrastructura de rețea.

Clarifică rolul echipamentului furnizorului

Dispozitivul primit de la furnizor poate funcționa ca modem, router, punct de acces sau combinație. Află cine îl administrează, ce setări pot fi schimbate și ce se întâmplă la resetare. Nu presupune că echipamentul este actualizat sau că parola implicită a fost schimbată.

Dacă folosești un router propriu în spatele celui al furnizorului, documentează modul de funcționare, redirecționările și eventualul dublu NAT. Complexitatea poate afecta VPN-ul, serviciile expuse și depanarea.

Nu expune interfața de administrare pe internet decât dacă există o nevoie reală și o metodă sigură. Administrarea prin VPN sau dintr-un segment autorizat este preferabilă.

Protejează accesul administrativ

Schimbă utilizatorii și parolele implicite. Folosește parole unice și lungi, păstrate într-un manager de parole. Activează MFA dacă echipamentul sau platforma o oferă.

Limitează administrarea la dispozitive și rețele autorizate. Dezactivează protocoalele vechi și administrarea necriptată. Dacă interfața folosește HTTPS cu certificat local, documentează avertismentul și verifică atent adresa, în loc să ignori orice alertă din browser.

Conturile trebuie să fie individuale unde este posibil. Un cont comun face dificilă atribuirea schimbărilor. Elimină accesul furnizorilor sau foștilor angajați când colaborarea se încheie.

Actualizează firmware-ul controlat

Actualizările pot remedia vulnerabilități și probleme de stabilitate. Verifică pagina oficială a producătorului, versiunea, compatibilitatea și instrucțiunile. Nu instala firmware din surse necunoscute.

Înainte de actualizare:

1. exportă configurația;
2. verifică dacă backupul poate fi restaurat pe versiunea vizată;
3. notează setările critice;
4. anunță utilizatorii;
5. stabilește o cale de acces local;
6. pregătește revenirea;
7. verifică alimentarea.

După actualizare, testează internetul, DNS-ul, segmentele, imprimarea, VPN-ul și serviciile importante. Nu considera operația reușită doar pentru că routerul a repornit.

Alege criptarea și autentificarea

Folosește standardele moderne suportate de echipamente și dispozitive. Evită protocoalele vechi. Pentru o rețea mică poate fi folosită o parolă puternică, iar pentru organizații cu mai mulți utilizatori autentificarea individuală oferă revocare și trasabilitate mai bune.

Dacă folosești o parolă comună:

• nu o afișa public;
• nu o reutiliza;
• schimb-o la plecarea persoanelor care o cunosc, în funcție de risc;
• păstrează o procedură de distribuire;
• nu o trimite în canale nesigure;
• separă oaspeții.

Ascunderea numelui rețelei nu este o măsură principală de securitate și poate îngreuna administrarea.

Separă rețeaua pentru oaspeți

Oaspeții au nevoie de internet, nu de acces la servere, imprimante și stații interne. Creează un SSID separat, izolat, cu reguli care blochează accesul către rețeaua internă. Activează izolarea între clienți când este potrivită.

Folosește o parolă diferită sau un portal controlat. Schimbă accesul periodic și stabilește durata. Nu publica o parolă permanentă într-un spațiu vizibil.

Testează izolarea: conectează un dispozitiv de test și încearcă să accesezi adrese interne, imprimante sau interfața routerului. Denumirea „guest” nu dovedește că separarea este configurată.

Izolează dispozitivele IoT

Camerele, televizoarele, sistemele de acces și alte dispozitive pot avea cicluri de actualizare slabe. Pune-le într-un segment separat și permite doar conexiunile necesare. De exemplu, o imprimantă poate primi joburi dintr-o anumită rețea fără să inițieze acces către toate stațiile.

Schimbă parolele implicite, dezactivează serviciile nefolosite și verifică suportul producătorului. Dacă un dispozitiv nu mai primește actualizări, evaluează înlocuirea sau izolarea suplimentară.

Nu conecta automat orice echipament adus în birou. Stabilește o procedură de aprobare.

Folosește segmente și reguli simple

Separarea poate include rețeaua utilizatorilor, serverele, administrarea, oaspeții și IoT. Nu crea zeci de VLAN-uri dacă nimeni nu le poate administra. Fiecare segment trebuie să aibă un scop și reguli documentate.

Aplică principiul accesului minim. Permite doar fluxurile necesare și notează motivul. O regulă temporară trebuie să aibă proprietar și dată de revizuire.

Testează din fiecare segment. O eroare de firewall poate bloca activitatea sau poate permite acces neașteptat.

Controlează DNS-ul și serviciile expuse

DNS-ul influențează accesul la site-uri și servicii. Folosește rezolvatoare de încredere, protejează configurarea și monitorizează schimbările. Nu modifica setările doar pentru a ocoli o problemă fără diagnostic.

Inventariază redirecționările de port și serviciile accesibile din internet. Elimină ce nu mai este folosit. Pentru acces la distanță, preferă soluții VPN actualizate și autentificare puternică în locul expunerii interfețelor de administrare.

Verifică extern porturile numai cu autorizare și în limitele infrastructurii firmei.

Administrează accesul angajaților

Onboardingul trebuie să includă acordarea accesului la rețeaua potrivită. Offboardingul trebuie să elimine conturile, certificatele și dispozitivele administrate. Pentru parole comune, evaluează schimbarea.

Dispozitivele firmei ar trebui să aibă actualizări, protecție locală, criptare și blocare a ecranului. Rețeaua sigură nu poate compensa un laptop compromis.

Pentru riscurile de identitate, vezi materialul despre conturile fără MFA.

Monitorizează fără supraveghere excesivă

Urmărește starea echipamentelor, versiunile, dispozitivele conectate, erorile de autentificare și schimbările de configurație. Păstrează logurile proporțional cu nevoia și informează personalul conform politicilor aplicabile.

Alarme utile sunt:

• dispozitiv administrativ nou;
• punct de acces offline;
• actualizare disponibilă critică;
• schimbare de configurație;
• creștere neobișnuită a erorilor;
• eșecul backupului;
• conectări repetate nereușite.

Nu colecta trafic detaliat fără scop, autoritate și protecții. Monitorizarea trebuie să susțină funcționarea și securitatea.

Pregătește continuitatea

Păstrează backupul configurației într-un loc securizat, separat de dispozitiv. Notează modelul, furnizorul, datele contractului și pașii pentru înlocuire. Pentru echipamente critice, evaluează disponibilitatea unui dispozitiv de rezervă.

Documentează un scenariu pentru:

1. căderea conexiunii;
2. defectarea routerului;
3. compromiterea parolei;
4. dispozitiv necunoscut;
5. modificare neautorizată;
6. vulnerabilitate publicată;
7. pierderea accesului administrativ.

Planul trebuie să includă contactele și ordinea verificărilor, nu doar „sunăm furnizorul”.

Răspunde la un dispozitiv suspect

Nu șterge imediat logurile și nu reseta toate echipamentele înainte de a păstra dovezi. Identifică dispozitivul, segmentul, adresa, timpul și activitatea observată. Izolează proporțional, schimbă credențialele afectate și verifică alte sisteme.

Dacă există indicii de compromitere sau date afectate, urmează planul de incident și implică specialiștii necesari. Nu atribui cauza doar pe baza numelui dispozitivului din router; aceste etichete pot fi schimbate.

Verifică periodic

O revizuire trimestrială sau adaptată riscului poate include:

• inventar;
• firmware;
• conturi administrative;
• SSID-uri;
• parole și certificate;
• segmente și reguli;
• porturi expuse;
• backup;
• loguri și alerte;
• dispozitive necunoscute;
• documentație;
• contactele furnizorilor.

După mutări, schimbări de personal sau instalări noi, revizuirea trebuie făcută mai devreme.

Greșeli frecvente

Problemele apar frecvent din:

• credențiale implicite;
• firmware vechi;
• aceeași rețea pentru toți;
• administrare expusă;
• parole trimise public;
• echipamente fără suport;
• lipsa inventarului;
• reguli temporare uitate;
• backup neverificat;
• dependență de o singură persoană;
• presupunerea că numele „guest” înseamnă izolare.

Securitatea rețelei trebuie să rămână suficient de simplă pentru a fi înțeleasă și menținută.

Concluzie

O rețea Wi-Fi de birou sigură are echipamente cunoscute, administrare protejată, actualizări controlate, separare pentru oaspeți și IoT, reguli minime și un plan de intervenție. Documentația și responsabilitatea sunt la fel de importante ca parola. Începe cu inventarul și separarea, apoi adaugă monitorizare și continuitate proporțional cu riscul.

Pentru o evaluare mai largă a suprafețelor tehnice și a priorităților, vezi pagina de audit tehnic. InternetRomania.ro și Brandwave sunt operate de aceeași entitate, iar relația este prezentată transparent.