Riservatezza in sala riunioni: proteggere le informazioni che ci passano dentro

Le informazioni più delicate di un’azienda quasi mai stanno in un documento: si dicono a voce, in sala riunioni. Trattative, marginalità, contenziosi, riorganizzazioni, acquisizioni. Sono le cose che nessuno scriverebbe in una email, ed è esattamente per questo che vengono dette in una stanza.

Poi si va a guardare come è protetta quella stanza, e si trova un sistema di condivisione wireless installato quattro anni fa e mai aggiornato, un processore di controllo che risponde ancora con le credenziali del collaudo, e tutto quanto appeso alla stessa rete su cui gira la contabilità. Questa guida mette in fila da dove esce l’informazione e come si chiude ogni via. Le contromisure valgono per qualsiasi sala, dalla huddle room all’auditorium, e sono le stesse che progettiamo nelle sale riunioni e videoconferenza.

Da dove esce l’informazione

Prima di parlare di contromisure conviene elencare le vie, perché quasi nessuna è quella che ci si aspetta.

Via di fuga	Come succede	Quanto è comune
Il flusso di presentazione	Lo schermo condiviso viaggia via radio o attraverso la rete aziendale prima di arrivare al display	Sempre presente, quasi mai valutata
Gli apparati AV sulla rete	Processori, DSP, codec e display raggiungibili da qualunque postazione aziendale, spesso con interfacce di amministrazione esposte	Molto comune
Il firmware fermo al collaudo	Vulnerabilità pubbliche corrette dal produttore e mai installate perché nessuno se ne occupa	La regola, non l’eccezione
Gli ospiti in sala	Visitatori collegati a una rete che vede più di quanto dovrebbe	Comune
Le registrazioni	Riunioni registrate e trascritte che finiscono in archivi senza criterio di conservazione	In forte crescita
La parete e la porta	Il divisorio sottile e la porta socchiusa restano il canale più sfruttato di tutti	Sempre

L’ultima riga non è una battuta. Prima di investire sulla cifratura di un flusso video conviene verificare l’isolamento acustico della sala, che è un tema di progettazione e non di sicurezza informatica, ma protegge dalla minaccia più concreta. Attenzione a non confonderlo con l’acustica interna: il trattamento descritto nella guida all’acustica della sala riunioni riguarda l’assorbimento, cioè quanto si capisce dentro la stanza, mentre qui conta l’isolamento, cioè quanto suono ne esce. Sono grandezze diverse, e un pannello fonoassorbente non riduce quasi nulla di ciò che attraversa una parete.

La condivisione wireless: dove finisce davvero il vostro schermo

I sistemi di presentazione senza fili hanno risolto un problema reale, cioè il cavo che non entra mai nel portatile giusto. Nel farlo hanno però trasformato lo schermo del relatore in un flusso che attraversa qualcosa prima di arrivare al display. Capire cosa attraversa è tutta la questione.

Due famiglie, un compromesso onesto

Aspetto	Sistemi su frequenze Wi-Fi	Presenter wireless a 60 GHz
Cosa permettono	Presentazione e BYOD: chiunque condivide dal proprio dispositivo	Solo presentazione da trasmettitore dedicato
Dove arriva il segnale	Dove arriva il wifi, quindi anche fuori dalla stanza	Praticamente solo dentro la stanza
Protezione principale	Cifratura del flusso e configurazione della rete	Cifratura più il confinamento fisico del segnale
Dove ha senso	Sale operative, riunioni di reparto, ospiti frequenti	Consiglio di amministrazione, direzione, ufficio legale

Diciamolo chiaramente perché in giro si legge il contrario: nessun collegamento radio è impossibile da catturare, e ricevitori a 60 GHz esistono. Quello che cambia è la fisica della propagazione. A quella frequenza i materiali da costruzione sono sostanzialmente opachi: una singola parete in cartongesso attenua il segnale di dieci-venti decibel, il calcestruzzo lo ferma del tutto ai fini pratici, il vetro basso-emissivo lo blocca. Il segnale non gira gli angoli, vuole linea di vista e ha una portata utile nell’ordine dei dieci metri.

La nota tecnica di Keysight sullo standard a 60 GHz mette questo punto nero su bianco: la portata ridotta e l’alta attenuazione non sono soltanto limiti, sono anche fattori che migliorano la sicurezza perché riducono la dispersione del segnale. Tradotto: chi vuole ascoltare deve stare dentro la sala, con linea di vista. E se è dentro la sala, sta già guardando lo schermo.

Il prezzo di questa proprietà è il vincolo funzionale: i sistemi a 60 GHz oggi fanno il presenter, non il BYOD. È una scelta, non un difetto, e va fatta sala per sala invece che per tutto l’edificio.

Le domande da fare a chi ve lo installa

• Il flusso è cifrato, e con quale meccanismo
• L’apparato crea una propria rete radio oppure si appoggia al wifi aziendale, e in quale VLAN finisce
• Il codice di accesso alla presentazione cambia a ogni sessione o è fisso
• L’interfaccia di amministrazione è raggiungibile da tutta la rete aziendale
• Chi installa gli aggiornamenti firmware, con quale frequenza, e se è incluso nel contratto

Gli apparati AV sono dispositivi di rete, e non sono di nessuno

Un processore di controllo, un DSP audio, un mixer, un codec di videoconferenza e un sistema di condivisione sono, dal punto di vista della rete, dei computer. Hanno un indirizzo IP, un’interfaccia web di amministrazione, un sistema operativo e un firmware. Vengono collaudati una volta, funzionano, e nessuno li tocca più per anni.

Il motivo è organizzativo prima che tecnico, ed è il vero problema: l’IT considera la sala riunioni una faccenda dei servizi generali, i servizi generali la considerano una faccenda dell’IT, e nel mezzo c’è un apparato che non compare in nessun inventario. Con la NIS2 quell’inventario è un obbligo, e una sala riunioni piena di dispositivi non censiti è un buco documentale prima ancora che tecnico: il quadro degli obblighi è nella guida alla NIS2 per le PMI manifatturiere.

Un caso che spiega tutto

Nel 2019 la ricerca di Tenable ha pubblicato quindici vulnerabilità su questa famiglia di prodotti. La più grave (CVE-2019-3929) permetteva a un attaccante remoto e non autenticato di eseguire comandi di sistema con i massimi privilegi su una famiglia di sistemi di presentazione wireless. Il punto interessante non è la falla in sé, ma la sua estensione: riguardava contemporaneamente prodotti di almeno otto marchi diversi, perché condividevano la stessa base software di origine comune. Un’altra debolezza della stessa serie (CVE-2019-3928) consentiva a un attaccante non autenticato di vedere e modificare i dettagli della presentazione, quindi di subentrare come relatore.

I produttori hanno rilasciato il firmware correttivo, e la CVE principale è finita nel catalogo delle vulnerabilità sfruttate attivamente tenuto dal CISA statunitense, con un’unica azione richiesta: applicare gli aggiornamenti secondo le istruzioni del produttore. La lezione quindi non è “quel marchio è insicuro”: è che la correzione esisteva e che il rischio residuo, sette anni dopo, dipende solo da chi l’ha installata. Gli apparati ancora in servizio con il firmware originale sono più di quanti si immagini.

Cosa fare, concretamente

Censire gli apparati AV come qualunque altro asset di rete, con modello, indirizzo, versione firmware e persona responsabile. Pianificare gli aggiornamenti con la stessa cadenza degli altri sistemi, non “quando c’è un problema”. Sostituire le credenziali del collaudo, che spesso sono le stesse su tutte le sale e note a chiunque abbia lavorato all’installazione. E mettere l’aggiornamento firmware nel contratto di manutenzione, perché se non è scritto non lo fa nessuno. Un security assessment IT è il modo più rapido per scoprire quanti di questi apparati sono raggiungibili da dove non dovrebbero.

Extron, nella propria documentazione sulla sicurezza, è esplicita nel dire che un apparato può essere chiuso in un armadio e restare comunque vulnerabile per come è progettato, configurato o gestito, e che installare l’ultimo firmware disponibile è essenziale per mantenerne la sicurezza. È il produttore stesso a dirlo: il problema non è il prodotto, è la manutenzione che non viene fatta.

La sala riunioni non sta sulla rete aziendale

La regola di progetto è semplice: i dispositivi audio video vivono in una VLAN loro, con regole esplicite su cosa possono raggiungere e cosa può raggiungerli. Nella pratica questo significa tre cose.

Le interfacce di amministrazione degli apparati devono essere raggiungibili solo dalla rete di gestione, non da ogni postazione aziendale. I dispositivi che hanno bisogno di uscire, tipicamente i codec verso i servizi cloud e i sistemi di prenotazione verso il calendario, devono avere permessi puntuali verso quelle destinazioni e nient’altro. E la rete per gli ospiti in sala deve essere l’SSID guest già isolato, non la rete su cui parlano gli apparati.

È lo stesso ragionamento descritto nella guida alla sicurezza del Wi-Fi aziendale, applicato a una stanza invece che a un edificio.

Quello che si riesce a rilevare

Sul fronte opposto, cioè accorgersi di cosa c’è in una stanza che non dovrebbe esserci, la tecnologia radio ha fatto passi concreti. Gli access point di ultima generazione usano le variazioni del segnale per rilevare presenze senza telecamere, e alcuni modelli dichiarano la capacità di individuare dispositivi elettronici non autorizzati nell’area, comprese apparecchiature di ripresa nascoste.

Va presa per quello che è: uno strumento in più, non una garanzia, e con capacità che vanno verificate sul modello specifico. Ma segna un cambio di prospettiva interessante, perché sposta la contro-sorveglianza dentro l’infrastruttura di rete che si progetta comunque, invece che in un intervento separato.

Per chiarezza sul nostro perimetro: noi progettiamo l’infrastruttura e la sua configurazione, non svolgiamo attività di bonifica ambientale.

La checklist della sala riservata

1. Isolamento acustico verificato, e porta che si chiude davvero
2. Inventario degli apparati AV con firmware e responsabile
3. Credenziali di collaudo sostituite, accessi nominali
4. VLAN dedicata e regole di uscita esplicite
5. Interfacce di amministrazione fuori dalla portata delle postazioni utente
6. Codice di presentazione che cambia a ogni sessione
7. Ospiti sulla rete guest isolata, mai su quella degli apparati
8. Aggiornamenti firmware pianificati e scritti nel contratto
9. Policy scritta su registrazioni e trascrizioni, con tempi di conservazione
10. Per le sale più delicate, valutazione del presenter a 60 GHz accettandone il vincolo

Domande frequenti

Come si protegge la riservatezza di una sala riunioni?

Su tre piani insieme. Il piano fisico, cioè isolamento acustico e controllo di chi entra, che protegge dalla minaccia più banale e più frequente. Il piano di rete, cioè VLAN dedicata per gli apparati audio video, interfacce di amministrazione irraggiungibili dalle postazioni comuni e ospiti su rete separata. Il piano di manutenzione, cioè firmware aggiornati e credenziali nominali al posto di quelle del collaudo. Intervenire su uno solo dei tre lascia la stanza scoperta: una sala con il flusso video cifrato ma con il processore di controllo raggiungibile da tutta l’azienda non è una sala protetta.

Il sistema di condivisione wireless è sicuro?

Dipende da tre cose che vanno verificate sul modello installato: se il flusso è cifrato, se l’apparato è attestato su una rete segregata o sulla LAN aziendale, e soprattutto se il firmware è aggiornato. Il terzo punto è quello che pesa di più: nel 2019 una vulnerabilità pubblica ha riguardato in un colpo solo i sistemi di presentazione di almeno otto marchi diversi, permettendo a un attaccante remoto e non autenticato di prendere il controllo dell’apparato. Le correzioni sono uscite subito, ma un dispositivo mai aggiornato dal collaudo se le è perse tutte.

Che differenza c’è tra un presenter wireless a 60 GHz e uno su Wi-Fi?

La differenza sta in quanto lontano arriva il segnale. A 60 GHz i muri sono quasi opachi, il segnale non gira gli angoli e la portata è dell’ordine dei dieci metri: in pratica resta dentro la stanza, quindi per intercettarlo bisogna esserci fisicamente. Nessuna trasmissione radio è impossibile da catturare, ma qui la fisica riduce moltissimo la finestra di chi può provarci. Il compromesso è funzionale: i sistemi a 60 GHz oggi permettono la presentazione da trasmettitore dedicato ma non il BYOD, mentre quelli su frequenze Wi-Fi fanno BYOD e in cambio hanno un segnale che esce dalla stanza come qualsiasi altra rete wireless.

Ogni quanto vanno aggiornati i dispositivi audio video?

Con la stessa disciplina degli altri sistemi di rete, perché sono sistemi di rete: verifica periodica delle versioni disponibili, aggiornamento pianificato in una finestra concordata, e intervento straordinario quando il produttore pubblica una correzione di sicurezza. Il punto critico non è la frequenza ma la responsabilità: se non c’è scritto in un contratto chi lo fa, non lo fa nessuno, perché l’IT considera la sala di competenza dei servizi generali e viceversa. Nella pratica consigliamo di includere il firmware degli apparati AV nel contratto di manutenzione della sala.

Si possono registrare le riunioni in azienda?

Si può, ma non è una decisione tecnica. Vanno considerati il trattamento dei dati personali dei partecipanti, con informativa e tempi di conservazione definiti, e le tutele previste dall’articolo 4 dello Statuto dei Lavoratori quando dalla registrazione può derivare un controllo sull’attività dei dipendenti. Sul piano pratico le domande da porsi sono tre: dove vengono salvate le registrazioni e le trascrizioni automatiche, chi vi accede, e dopo quanto tempo vengono cancellate. È una valutazione da fare con chi segue la protezione dei dati in azienda prima di attivare la funzione, non dopo.

Progettiamo sale riunioni che tengono

Netframe realizza sale riunioni e videoconferenza per aziende dell’Emilia-Romagna, con sede a Modena, dalla progettazione audio video alla configurazione della rete che le serve: i criteri generali sono nella guida all’allestimento di una sala riunioni, e se quello che ti serve è misurare l’esposizione reale dell’infrastruttura, la strada giusta è capire quale tra assessment, vulnerability assessment e penetration test risponde alla tua domanda. Scrivici a info@netframe.it o chiamaci allo 059 7134794 se vuoi una verifica di come sono messe le tue sale.

Fonti

• Keysight Technologies, Wireless LAN at 60 GHz, IEEE 802.11ad Explained
• Extron, Security at Extron
• Extron, Extron Product Security
• Tenable, OEM Presentation Platform Vulnerabilities, research advisory TRA-2019-20
• CISA, Known Exploited Vulnerabilities Catalog, voce relativa a CVE-2019-3929
• Crestron, Firmware Updates, Getting Started and Best Practices
• CVE-2019-3929, vulnerabilità di command injection su sistemi di presentazione wireless di più produttori
• Legge 20 maggio 1970, n. 300, articolo 4, impianti audiovisivi e strumenti di controllo

Fonti verificate l’11 agosto 2026. Le funzioni di rilevamento citate vanno confermate sul modello e sulla versione firmware in uso. Netframe è un system integrator indipendente, non affiliato ai produttori citati.