Un impianto connesso non espone soltanto PC, server e caselle email. Espone dati di ricetta, parametri PLC, utenti remoti, ordini di produzione, dati qualità, integrazioni ERP e dashboard accessibili via browser. Una guida ISO 27001 industriale serve precisamente a trasformare questa superficie di attacco in un...
Cosa richiede la ISO 27001 in ambito industriale
La ISO/IEC 27001 definisce i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni, o SGSI. Non è un catalogo di prodotti da acquistare né una certificazione limitata al cloud provider. Richiede invece un ciclo strutturato: definizione del perimetro, analisi dei rischi, scelta dei controlli, attuazione delle misure, verifica periodica e miglioramento continuo.
In fabbrica, il perimetro deve essere dichiarato con precisione. Può includere l'infrastruttura IT aziendale, ma anche reti OT, gateway, PLC, HMI, sistemi SCADA, MES, terminali di reparto, dispositivi di raccolta dati e collegamenti con ERP, BI o piattaforme cloud. Escludere un elemento è possibile, ma deve essere motivato e non deve lasciare scoperte le dipendenze operative.
La norma richiede che l'organizzazione valuti riservatezza, integrità e disponibilità delle informazioni. Nell'OT, la disponibilità e l'integrità hanno spesso priorità immediata: un dato di produzione manipolato, un setpoint errato o un'interruzione della comunicazione tra macchina e MES possono generare scarti, fermi e perdita di tracciabilità. La riservatezza rimane essenziale per ricette, distinte, dati clienti e proprietà industriale, ma va letta nel contesto del processo produttivo.
Guida ISO 27001 industriale: partire dal rischio reale
Il percorso efficace non parte da una lista indistinta di controlli. Parte dalla mappa dei flussi: quali dati escono dalle macchine, quale agente o gateway li acquisisce, dove vengono elaborati, chi li consulta e quali sistemi ricevono comandi o scambi informativi.
Un impianto può utilizzare Siemens S7, Modbus TCP/IP, OPC UA, EtherNet/IP, MQTT o MTConnect. Ogni protocollo e ogni architettura comportano valutazioni differenti. Un collegamento in sola lettura verso una piattaforma MES presenta un profilo di rischio diverso da un sistema che invia ricette, parametri o comandi alla macchina. La distinzione deve essere documentata, non presunta.
L'analisi del rischio dovrebbe considerare almeno questi scenari: accesso non autorizzato a dati o asset industriali, ransomware su sistemi di reparto, indisponibilità della connettività, modifica non autorizzata delle configurazioni, perdita di credenziali, vulnerabilità di componenti non aggiornabili e uso improprio di account tecnici. Per ciascuno, occorre stimare probabilità, impatto e trattamento previsto: riduzione, trasferimento, accettazione o eliminazione del rischio.
Una criticità ricorrente è confondere l'inventario IT con l'inventario industriale. Per una valutazione attendibile bisogna censire anche switch di reparto, PC HMI, pannelli operatore, converter, router, gateway edge, account di assistenza remota e dipendenze da fornitori esterni. Se non si conosce un asset, non si può assegnargli un proprietario né proteggerlo in modo coerente.
I controlli che contano tra IT e OT
L'Annex A della ISO 27001 contiene un insieme di controlli organizzativi, fisici, tecnologici e relativi alle persone. Non sono tutti applicabili nello stesso modo a ogni stabilimento. La Dichiarazione di Applicabilità deve chiarire quali controlli vengono adottati, come vengono implementati e perché eventuali esclusioni sono giustificate.
Nel contesto industriale, la segmentazione di rete è uno dei punti più concreti. La rete delle macchine non dovrebbe essere una semplice estensione della LAN uffici. Separare zone IT, OT e servizi esposti, governare i passaggi tra esse e limitare le comunicazioni alle porte e ai protocolli necessari riduce la propagazione di incidenti e semplifica le verifiche.
Anche la gestione degli accessi richiede disciplina operativa. Account personali, privilegi minimi, autenticazione forte per gli accessi remoti e revisione periodica delle autorizzazioni sono misure basilari. Gli account condivisi di manutenzione sono frequenti in stabilimento, ma rendono difficile attribuire le attività e revocare correttamente l'accesso quando cambiano persone o fornitori.
Backup e ripristino meritano una verifica pratica, non una dichiarazione formale. Occorre stabilire cosa salvare: configurazioni PLC, progetti HMI, database MES, parametri macchina, documentazione di rete e dati di produzione. Poi bisogna testare il ripristino con tempi compatibili con il processo. Un backup esistente ma non ripristinabile non protegge la continuità produttiva.
La gestione delle vulnerabilità va adattata ai vincoli OT. Applicare una patch senza verifica può causare incompatibilità con software datati o componenti certificati dal costruttore. Il compromesso corretto non è rinunciare agli aggiornamenti, ma definire un processo: inventario delle versioni, valutazione dell'esposizione, test quando possibile, finestre di manutenzione e misure compensative, come segregazione o restrizioni di accesso, quando l'aggiornamento non è immediatamente eseguibile.
Cloud, MES e responsabilità condivise
La migrazione verso servizi cloud riduce la necessità di server locali, ma non trasferisce automaticamente ogni responsabilità di sicurezza al fornitore. Il modello è condiviso: il provider protegge componenti infrastrutturali e servizi definiti contrattualmente; l'azienda resta responsabile, tra le altre cose, di utenti, autorizzazioni, configurazioni, dati caricati e corretto utilizzo dell'applicazione.
Per un MES cloud-native, le domande operative sono chiare. Dove risiedono i dati? Come sono cifrati in transito e a riposo? Quali log sono disponibili? Come vengono gestiti backup, incidenti, aggiornamenti e subfornitori? Qual è il processo di revoca degli utenti? La presenza di certificazioni ISO 27001, ISO 27017 e ISO 27018 nel perimetro del fornitore è un elemento utile di valutazione, ma va letto insieme a contratto, architettura e responsabilità dell'azienda utilizzatrice.
Un'architettura con agente leggero on-premise può limitare l'esposizione rispetto a infrastrutture locali complesse, soprattutto quando il traffico è progettato in uscita e con privilegi strettamente necessari. Tuttavia, anche l'agente deve rientrare in inventario, monitoraggio, gestione degli aggiornamenti e procedure di accesso. PLCinCloud adotta questo approccio per collegare macchinari e sistemi gestionali senza introdurre server in stabilimento, mantenendo centrale il controllo delle integrazioni.
Documenti e ruoli che rendono il sistema verificabile
La ISO 27001 non si risolve in un fascicolo di policy. La documentazione deve dimostrare che le decisioni vengono applicate e misurate. Servono un campo di applicazione chiaro, metodologia di risk assessment, piano di trattamento, Dichiarazione di Applicabilità, policy di sicurezza, evidenze di formazione, registri degli incidenti, controlli sugli accessi e risultati degli audit interni.
Nella manifattura, il coinvolgimento congiunto di IT, OT, produzione, qualità e direzione è decisivo. L'IT può definire criteri di identità, endpoint e rete; l'automazione conosce vincoli di PLC e macchinari; la produzione valuta le conseguenze di un fermo; la direzione assegna priorità e risorse. Se una sola funzione governa il progetto, il rischio è produrre controlli formalmente corretti ma impraticabili sul campo.
Le procedure di gestione incidente devono includere casi industriali. Non basta indicare chi contattare per un malware su un PC: bisogna stabilire quando isolare un segmento, chi autorizza un fermo controllato, come preservare log e configurazioni, chi comunica con il costruttore della macchina e come riprendere la produzione in sicurezza.
Un percorso operativo in sei fasi
Per evitare progetti troppo teorici, è utile procedere per fasi consecutive:
- Definire il perimetro, i processi produttivi critici e i responsabili degli asset.
- Censire reti, dispositivi, software, flussi dati, utenze e accessi di terze parti.
- Valutare i rischi distinguendo chiaramente disponibilità, integrità e riservatezza.
- Applicare le priorità: segmentazione, accessi, backup, logging, gestione fornitori e continuità operativa.
- Raccogliere evidenze, formare il personale e testare ripristino e risposta agli incidenti.
- Riesaminare periodicamente il sistema con audit interni e indicatori misurabili.
Non tutte le aziende devono raggiungere lo stesso livello di formalizzazione fin dal primo mese. Una PMI con un solo stabilimento può iniziare dal perimetro produttivo più critico e ampliare il SGSI nel tempo. Un gruppo multi-sito, con fornitori collegati e dati centralizzati, dovrà invece definire governance e standard comuni fin dall'inizio. In entrambi i casi, la velocità non dipende dal ridurre i controlli, ma dal concentrarsi prima sui rischi che possono fermare la fabbrica.
La sicurezza efficace non aggiunge distanza tra reparto e sistemi digitali: rende affidabile il collegamento tra i due. Quando asset, dati, accessi e responsabilità sono visibili, la conformità ISO 27001 diventa un criterio concreto per far crescere l'interconnessione industriale con meno incertezze operative.