Un fermo macchina causato da un accesso remoto non controllato, un ransomware che raggiunge un PC di supervisione o una modifica non autorizzata ai parametri di un PLC possono trasformarsi rapidamente in un problema produttivo, economico e di sicurezza. La cybersecurity reti OT riguarda proprio questo: proteggere...
Perché la cybersecurity delle reti OT è diversa dall'IT
Nell'IT tradizionale, riservatezza e integrità dei dati sono spesso le priorità principali. In ambito OT, la disponibilità viene prima: una misura di sicurezza che interrompe la comunicazione con una macchina o richiede un riavvio in un momento critico può generare scarti, ritardi di consegna o fermo impianto.
Questa differenza spiega perché non è efficace applicare automaticamente alle reti industriali le stesse politiche usate per PC e server aziendali. Molti impianti includono PLC di generazioni diverse, sistemi operativi non aggiornabili, pannelli operatore progettati per lavorare in rete locale e macchinari forniti da costruttori differenti. Inoltre, protocolli come Modbus TCP/IP, EtherNet/IP o alcune implementazioni legacy non sono nati con meccanismi di autenticazione e cifratura adeguati agli scenari di connessione attuali.
Il rischio aumenta quando la fabbrica deve scambiare dati con sistemi esterni. L'interconnessione 4.0 abilita monitoraggio OEE, tracciabilità, analisi degli scarti e documentazione automatica, ma amplia anche la superficie da proteggere. Il punto non è rinunciare alla connettività: è governarla con un'architettura coerente.
Da dove iniziare: conoscere asset, flussi e dipendenze
Il primo passo non è acquistare una tecnologia, ma costruire una mappa affidabile dell'ambiente OT. Occorre sapere quali asset sono presenti, dove sono collegati, quali protocolli utilizzano, chi li gestisce e da quali sistemi dipende il processo produttivo.
Un inventario utile non si limita a elencare i PLC. Include switch industriali, PC di bordo macchina, HMI, SCADA, gateway IoT, sistemi di visione, stampanti di etichette, server locali, VPN e postazioni di manutenzione. Per ciascun elemento è opportuno documentare versione firmware, indirizzo di rete, funzione produttiva, criticità e responsabile tecnico.
La mappa dei flussi è altrettanto decisiva. Un MES deve leggere variabili dal PLC? Un ERP invia ordini di produzione? Un manutentore esterno accede da remoto a una linea? Un database riceve dati di produzione in tempo reale? Rispondere a queste domande permette di distinguere i collegamenti necessari da quelli ereditati nel tempo e mai verificati.
Valutare il rischio per impatto produttivo
Non tutti gli asset richiedono lo stesso livello di protezione. Un terminale usato per consultare report ha un impatto diverso da un PLC che controlla una linea ad alta velocità o un impianto frigorifero. La priorità va assegnata considerando conseguenze concrete: fermo produttivo, perdita di tracciabilità, difetti di qualità, rischio per operatori, danni a materie prime e ritardi nelle consegne.
Questa valutazione evita due errori frequenti: spendere risorse su componenti marginali e sottovalutare apparati apparentemente semplici ma essenziali per la continuità operativa.
Segmentazione: limitare la propagazione di un incidente
In molte fabbriche, rete uffici e rete di produzione sono cresciute senza una separazione netta. Un PC amministrativo, un notebook di manutenzione e una macchina possono trovarsi sulla stessa rete o comunicare con regole troppo permissive. Se un endpoint IT viene compromesso, l'attaccante può così cercare percorsi verso i sistemi industriali.
La segmentazione divide l'infrastruttura in zone con funzioni e livelli di criticità differenti. La rete corporate, la rete OT, le celle di produzione, i sistemi di supervisione e i servizi esposti verso l'esterno devono comunicare solo attraverso regole esplicite. Firewall industriali, VLAN, ACL sugli switch e una zona intermedia per lo scambio dati consentono di ridurre i movimenti laterali.
Non esiste un unico schema valido per ogni stabilimento. In un impianto con linee autonome può essere utile isolare ogni cella produttiva; in un contesto con macchinari datati, la separazione progressiva può essere più realistica di una riprogettazione radicale. Il criterio è mantenere i flussi indispensabili e bloccare tutto ciò che non serve.
Collegare OT, MES ed ERP senza esporre i PLC
Un errore comune è consentire ai sistemi gestionali di interrogare direttamente i PLC attraverso la rete aziendale. Questa scelta può funzionare in fase iniziale, ma rende più difficile controllare accessi, carico sulle macchine e tracciabilità delle comunicazioni.
Un'architettura più sicura utilizza un agente o gateway dedicato vicino alle macchine, con comunicazione in uscita verso la piattaforma centrale. Il componente locale raccoglie i dati tramite protocolli industriali autorizzati, applica le regole necessarie e riduce l'esposizione diretta dei dispositivi OT. Per una piattaforma cloud-native come PLCinCloud, questo modello consente di collegare dati di fabbrica e sistemi aziendali senza introdurre server da mantenere nello stabilimento.
Identità, accessi remoti e responsabilità operative
Gli accessi remoti sono necessari: costruttori di macchine, integratori e manutentori devono spesso intervenire in tempi brevi. Il problema non è l'accesso remoto in sé, ma un accesso permanente, condiviso o privo di tracciabilità.
Ogni persona deve usare credenziali individuali, con privilegi limitati al ruolo e al periodo di intervento. L'autenticazione a più fattori è una misura concreta soprattutto per VPN, portali cloud, account amministrativi e strumenti di assistenza. Gli account generici, le password condivise tra reparti e le utenze di ex fornitori devono essere eliminati o sottoposti a revisione periodica.
È utile stabilire una procedura semplice: richiesta di accesso, autorizzazione del referente interno, durata definita, registrazione delle attività e chiusura della sessione. Nei casi più critici, l'intervento remoto dovrebbe avvenire con supervisione del personale di stabilimento. Questo può sembrare meno immediato, ma riduce il rischio di modifiche non documentate a programmi PLC, ricette e parametri macchina.
Monitoraggio OT: individuare anomalie prima del fermo
Un ambiente industriale sicuro non è un ambiente immobile. Configurazioni, firmware, dispositivi collegati e flussi di rete cambiano nel tempo. Senza visibilità, un nuovo PC collegato a uno switch di linea o una sessione remota anomala possono restare inosservati fino a quando non provocano un incidente.
Il monitoraggio deve concentrarsi su eventi rilevanti per la produzione: nuovi dispositivi, tentativi ripetuti di autenticazione, comunicazioni tra zone non previste, modifiche di configurazione, indisponibilità di gateway e variazioni nei volumi di traffico. I log provenienti da firewall, VPN, sistemi di supervisione e piattaforme di raccolta dati devono avere orari sincronizzati e un periodo di conservazione coerente con le esigenze operative e di audit.
La raccolta dati produttivi aiuta anche sul fronte della sicurezza. Se una linea segnala uno scostamento improvviso su fermi, velocità, scarti o allarmi, il responsabile può verificare se esistono correlazioni con un intervento tecnico, una modifica di rete o un'anomalia di comunicazione. Non ogni deviazione è un attacco, ma ogni deviazione significativa merita un contesto verificabile.
Backup e ripristino: la prova decisiva
Il backup è efficace solo se il ripristino è possibile e testato. In OT devono essere protetti non soltanto documenti e database, ma anche programmi PLC, configurazioni HMI e SCADA, ricette, parametri degli azionamenti, configurazioni di rete e documentazione tecnica delle linee.
Le copie devono essere separate dall'ambiente operativo e protette da cancellazioni o cifrature malevole. È prudente mantenere una copia offline o immutabile e definire chi può accedervi. Ancora più importante, bisogna verificare periodicamente tempi e modalità di ripristino: un backup non testato può rivelarsi incompleto proprio durante un fermo critico.
Un piano efficace indica priorità di riavvio, ruoli, contatti dei fornitori, disponibilità di hardware sostitutivo e procedure per operare temporaneamente in modalità degradata. La domanda da porre non è soltanto “abbiamo un backup?”, ma “quanto tempo ci serve per riportare la linea a produrre in sicurezza?”.
Sicurezza OT come parte del progetto di interconnessione
La cybersecurity va progettata quando si collega una nuova macchina, si attiva un MES o si integra un ERP, non aggiunta dopo. Definire fin dall'inizio protocolli ammessi, reti coinvolte, ruoli utente, retention dei dati e responsabilità riduce costi e modifiche successive.
La scelta tecnologica deve restare proporzionata. Un piccolo stabilimento non ha necessariamente bisogno della stessa struttura di un gruppo multisito, ma ha bisogno di regole chiare, segmentazione adeguata, accessi verificabili e capacità di ripartire. Partire dalla visibilità dei dati e dalla separazione dei flussi consente di migliorare la sicurezza senza rallentare il progetto di digitalizzazione.
La fabbrica connessa genera valore quando il dato arriva dove serve e il processo resta sotto controllo. Proteggere le reti OT significa rendere questa promessa sostenibile anche nel momento in cui un guasto, un errore umano o un attacco mettono alla prova l'impianto.