Sicurezza OT/ICS: proteggere senza fermare il processo
Convergenza IT/OT, segmentazione e patch nei sistemi che non si possono spegnere.
La tecnologia operativa — i sistemi che controllano linee di produzione, impianti, energia e logistica — vive con vincoli che il mondo IT raramente conosce. Un server web si può riavviare; una turbina, una cella robotizzata o un sistema di controllo di processo no, non quando vuole Lei. Qui la disponibilità e la sicurezza fisica vengono prima della riservatezza, e questo ribalta molte delle abitudini nate nell’IT.
Per anni l’OT è stato protetto dall’isolamento: reti separate, protocolli oscuri, macchine che nessuno toccava. Quell’isolamento oggi si è quasi ovunque assottigliato. La convergenza IT/OT porta connettività, telemetria e valore — e insieme una superficie d’attacco che prima semplicemente non esisteva.
Perché l’OT non si tratta come l’IT
Molti dispositivi industriali hanno cicli di vita di dieci, quindici, vent’anni. Girano su sistemi operativi non più supportati, usano protocolli progettati quando la rete era fidata per definizione, e non tollerano scansioni aggressive: un port scan che per un server è routine può mandare in fault un PLC. Il primo errore è applicare all’OT gli strumenti dell’IT senza adattarli.
Il secondo errore è l’opposto: dichiarare l’OT “troppo delicato da toccare” e non fare nulla. La via di mezzo è un approccio disegnato per il processo, che parte dal capire cosa c’è e come comunica prima di intervenire.
Visibilità prima di tutto
Non può proteggere ciò che non sa di avere. In OT la visibilità si costruisce in modo passivo, ascoltando il traffico anziché sondare i dispositivi: quali asset esistono, con quali firmware, quali flussi sono normali e quali no. Da qui nasce un inventario reale e una baseline del comportamento atteso — le fondamenta di qualunque cosa venga dopo.
Questa mappa rivela quasi sempre sorprese: connessioni verso l’esterno dimenticate, accessi da fornitori sempre attivi, ponti non documentati tra rete d’ufficio e rete di impianto. Sono proprio i percorsi che un attaccante cerca.
Segmentare tra IT e OT (e dentro l’OT)
La segmentazione è il controllo a più alto rendimento in ambito industriale. Un modello a livelli — nello spirito di riferimenti come IEC 62443 e del modello Purdue — separa la rete aziendale dalla rete di controllo, con zone e punti di passaggio espliciti tra i due mondi. L’obiettivo è che una compromissione lato ufficio non diventi automaticamente una compromissione lato impianto.
Anche dentro l’OT la segmentazione conta: isolare celle, linee o sottosistemi fa sì che un problema resti locale. E ogni accesso remoto — indispensabile per la manutenzione dei fornitori — va incanalato attraverso percorsi controllati, con autenticazione forte e mediazione, non lasciato come tunnel permanente e invisibile.
Il tema dei fornitori merita attenzione a sé. Gran parte dell’impianto è progettata, installata e manutenuta da terzi, che spesso pretendono connettività verso i loro sistemi per diagnostica e assistenza. Ogni integratore con un accesso permanente è un pezzo della Sua superficie d’attacco che vive fuori dal Suo controllo: va inventariato, ristretto al minimo, attivato solo quando serve e sorvegliato come se fosse interno, perché nell’effetto di un incidente lo è.
Patch dove non può spegnere
La gestione delle vulnerabilità in OT non è la corsa alla patch dell’IT. Aggiornare può richiedere la fermata dell’impianto, la validazione del fornitore e finestre di manutenzione che arrivano poche volte l’anno. La domanda non è “quanto in fretta applico la patch”, ma “questa vulnerabilità è davvero raggiungibile e sfruttabile nel mio contesto, e qual è il modo meno invasivo di ridurne il rischio?”.
Quando la patch non è praticabile subito, si lavora con mitigazioni compensative: segmentazione più stretta attorno al sistema esposto, regole di accesso, monitoraggio dedicato di quel flusso. È una gestione del rischio basata sull’esposizione reale, non sul numero di CVE in un report.
Un piano di risposta che parla la lingua dell’impianto
La risposta agli incidenti in OT ha priorità diverse: la sicurezza delle persone, l’integrità del processo fisico e la continuità produttiva vengono prima del ripristino del dato. Il piano deve coinvolgere chi conosce l’impianto — ingegneri di processo e manutenzione, non solo il team IT — e prevedere scenari in cui la decisione difficile è se e quando isolare una parte della produzione.
Va provato in anticipo, con tabletop realistici. Nel mezzo di un incidente non è il momento di scoprire chi ha l’autorità di fermare una linea.
In sintesi
La sicurezza OT non consiste nel portare l’IT dentro l’impianto, ma nel proteggere il processo con controlli disegnati per i suoi vincoli: prima la visibilità passiva, poi la segmentazione tra e dentro i mondi, poi una gestione delle vulnerabilità basata sull’esposizione e una risposta che mette al primo posto sicurezza e continuità.
