Questa risposta prende in prestito idee dal commento di Steffen . La risposta è dipende , con una spruzzata di persone di Internet casuali non ne sanno abbastanza sulla tua organizzazione per dare una risposta adeguata . Ma possiamo darti alcuni punti su cui riflettere.
Come ha detto Steffen: "I firewall sono usati per separare le cose", di solito per proteggere un gruppo di utenti e / o dispositivi di sicurezza più elevati da un gruppo di sicurezza inferiore.
In un diagramma come questo, hai server, desktop, laptop e dispositivi mobili. La solita ipotesi è che i server e i desktop siano:
- dove risiedono i dati sensibili,
- esegue tutti gli strumenti di protezione degli endpoint aziendali, antivirus e monitoraggio,
- collegava solo una rete pulita e ispezionata con altri dispositivi attendibili allo stesso modo.
Quando disegni laptop e altri cellulari su un diagramma come questo, il presupposto è che questi dispositivi possano o meno:
- eseguono strumenti adeguati di protezione degli endpoint, antivirus e monitoraggio (quasi sempre per i telefoni),
- connettersi a reti casuali di coffee shop o hotel Wifi (o anche a reti domestiche dei dipendenti) durante i quali A) entrare in contatto con macchine infette e B) può navigare a siti Web infetti senza gli strumenti di ispezione e monitoraggio dei pacchetti aziendali lì per proteggerti,
- rimuovi le chiavette USB infette,
- essere facilmente monitorabile / removibile per evitare che i dati vengano esfiltrati dall'edificio,
- ecc.
TL; DR: devi pensare a quali sono i modelli di sicurezza e di minaccia della tua organizzazione. Se decidi che i telefoni e i laptop hanno davvero esattamente le stesse esigenze di sicurezza e il livello di rischio dei server e dei desktop, allora non hai bisogno di un firewall. Tuttavia, nel 99% delle organizzazioni, i dispositivi che sono autorizzati a lasciare l'edificio sono considerati a maggior rischio di infezione, quindi ha senso avere quel firewall e consentire solo attraverso gli host e le porte che gli utenti laptop hanno effettivamente bisogno di accedere .
L'idea è di presumere che laptop e telefoni siano infetti e ridurre il numero di tentativi di rete che possono fare sulla rete interna.
