Punti chiave
- L'OT security è la sicurezza informatica dei sistemi che controllano processi fisici: sistemi di controllo industriale come SCADA, DCS e PLC, sistemi di gestione degli edifici, controllo degli accessi fisici.
- Rispetto all'IT cambiano le priorità: per NIST SP 800-82 Rev. 3 vengono prima integrità e disponibilità, poi la riservatezza, e sopra tutto la sicurezza delle persone.
- Nell'OT un riavvio può fermare la produzione, le patch vanno testate e pianificate, e un componente dura da 10 a 15 anni contro i tre-cinque dell'IT.
- La serie ISA/IEC 62443 è lo standard di riferimento: quattro categorie (generale, politiche e procedure, sistema, componenti) e requisiti per proprietari degli impianti, fornitori di prodotti, integratori e fornitori di servizi.
- La NIS2 (D.Lgs. 138/2024) copre energia, acqua e acque reflue nell'Allegato I e chimica, alimenti e diverse fabbricazioni nell'Allegato II; le misure di base ACN chiedono di inventariare anche i dispositivi OT (ID.AM-01).
La risposta breve: l'OT security (sicurezza OT, o sicurezza industriale) è la sicurezza informatica dei sistemi che controllano processi fisici: PLC, SCADA, DCS, sistemi di gestione degli edifici. Si distingue dalla sicurezza IT per le priorità: prima vengono la sicurezza delle persone e la continuità del processo, poi la riservatezza dei dati. Per questo le pratiche IT non si copiano così come sono.
In questa guida vediamo cos'è l'OT, in cosa la sua sicurezza differisce da quella IT, quali rischi corre un impianto, com'è fatta la serie ISA/IEC 62443 e cosa chiede la NIS2 a chi lavora nel manifatturiero e nelle utility. Il riferimento principale è la NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, pubblicata dal NIST a settembre 2023.
Cos'è l'OT
NIST definisce l'OT (operational technology) come un insieme ampio di sistemi e dispositivi programmabili che interagiscono con l'ambiente fisico, o che gestiscono dispositivi che lo fanno. Rilevano o provocano un cambiamento diretto monitorando e controllando dispositivi, processi ed eventi.
Gli esempi che la guida elenca (le specificazioni tra parentesi o dopo la virgola sono nostre):
- Sistemi di controllo industriale (ICS), come SCADA, sistemi di controllo distribuito (DCS) e architetture basate su PLC.
- Sistemi di gestione degli edifici, per esempio climatizzazione e illuminazione.
- Sistemi di trasporto.
- Sistemi di controllo degli accessi fisici.
- Sistemi di monitoraggio e misura dell'ambiente fisico.
La terza revisione della guida ha allargato il campo proprio per questo: le versioni precedenti parlavano di sistemi di controllo industriale, la Rev. 3 parla di OT. In un'azienda manifatturiera l'OT è la linea di produzione; in una utility sono la rete di distribuzione, gli impianti di pompaggio, le cabine; in un ospedale o in un data center sono anche gli impianti dell'edificio.
OT security e IT security: le differenze che contano
La sezione 2.4 della NIST SP 800-82 Rev. 3 confronta i due mondi. Le differenze utili per chi deve decidere sono queste.
Le priorità sono rovesciate
Nell'IT le preoccupazioni principali sono la riservatezza e l'integrità dei dati. Per l'OT, scrive NIST, gli obiettivi di sicurezza mettono di solito al primo posto integrità e disponibilità, poi la riservatezza, e sopra tutto la safety, cioè la sicurezza delle persone. Una misura di sicurezza informatica che compromette la safety, per NIST, è inaccettabile.
Fermarsi non è un'opzione
Molti processi OT sono continui. Un riavvio, gesto banale nell'IT, può fermare la produzione. Le interruzioni vanno pianificate con giorni o settimane di anticipo, e ogni modifica va provata prima con cura.
Le patch arrivano tardi, o non arrivano
Nell'IT gli aggiornamenti si applicano in tempi rapidi, spesso con strumenti centralizzati. Nell'OT, osserva NIST, gli aggiornamenti vanno testati dal fornitore e dall'utente, possono richiedere una nuova validazione dell'impianto e molti sistemi girano su sistemi operativi che il produttore non aggiorna più. Ne parliamo nella guida al patch management.
Cicli di vita lunghi e risorse scarse
Secondo la tabella di confronto di NIST, un componente IT dura in genere da tre a cinque anni, uno OT da 10 a 15 anni e a volte di più. Molti dispositivi hanno poca memoria e potenza di calcolo, e possono mancare di cifratura, registrazione degli errori e protezione con password. Installare un agente di sicurezza pensato per un server può non essere possibile, o può disturbare i tempi del processo.
Un solo fornitore, protocolli diversi
L'assistenza su un sistema OT a volte è disponibile da un solo fornitore, e i contratti di licenza possono vietare software di sicurezza di terze parti: installarlo senza l'accordo del fornitore può far perdere il supporto. I protocolli di comunicazione sono spesso diversi da quelli IT, a volte proprietari, e le reti di controllo sono gestite di solito da ingegneri di processo, non dal reparto IT.
Perché l'OT oggi è più esposta
All'inizio i sistemi OT erano isolati, usavano protocolli proprietari e hardware dedicato. NIST descrive il cambiamento: Ethernet, protocolli IP e dispositivi wireless a basso costo hanno sostituito le tecnologie proprietarie, e i sistemi OT hanno adottato computer, sistemi operativi e protocolli standard per collegarsi ai sistemi aziendali e consentire l'accesso remoto.
Questa integrazione porta capacità nuove, ma riduce molto l'isolamento dell'OT dal mondo esterno. L'uso crescente delle reti wireless aggiunge un rischio in più: un attaccante può agire da vicino senza toccare fisicamente le macchine. In pratica la superficie d'attacco di uno stabilimento oggi comprende la rete aziendale, le connessioni dei fornitori per la manutenzione remota e ogni dispositivo IIoT aggiunto sulla linea.
I rischi: cosa può succedere a un impianto
NIST elenca le fonti di minaccia: governi ostili, gruppi terroristici, dipendenti scontenti, intrusi malintenzionati, azioni malevole di persone interne, disastri naturali e azioni non intenzionali come l'errore umano. E descrive gli incidenti possibili in un sistema OT:
- flussi di informazioni bloccati o ritardati, fino alla perdita di visibilità e di controllo del processo;
- modifiche non autorizzate a istruzioni, comandi o soglie di allarme, che possono danneggiare o fermare le macchine, avere un impatto ambientale o mettere in pericolo vite umane;
- informazioni false inviate agli operatori, per nascondere una modifica o per indurli a manovre sbagliate;
- software o configurazioni modificati, o infettati da malware;
- interferenze con i sistemi che tutelano le apparecchiature, costose e difficili da sostituire;
- interferenze con i sistemi di sicurezza (safety system), che possono mettere in pericolo vite umane.
La differenza con un incidente IT è qui: l'effetto non resta sui dati. Diventa un fermo linea, un lotto da scartare, un impatto ambientale o un rischio per chi lavora sull'impianto.
Gli obiettivi di un programma di OT security
NIST li riassume in sette obiettivi, che danno una buona griglia per capire a che punto si è:
- Limitare l'accesso logico alla rete OT: DMZ con firewall tra rete aziendale e rete OT, gateway unidirezionali dove serve, credenziali OT separate da quelle aziendali.
- Limitare l'accesso fisico a rete e dispositivi.
- Mettere al riparo i singoli componenti: patch applicate appena possibile dopo i test in campo, porte e servizi inutili disattivati, privilegi limitati al ruolo, registri di audit.
- Impedire modifiche non autorizzate ai dati, a riposo, in transito e in uso.
- Rilevare eventi e incidenti prima che arrivino all'obiettivo dell'attaccante, compresi guasti e risorse esaurite.
- Mantenere le funzioni in condizioni avverse, con ridondanza e degrado graduale: dal funzionamento normale a quello di emergenza, fino al manuale.
- Ripristinare il sistema dopo un incidente, con un piano di risposta già scritto.
Il primo obiettivo è un tema di architettura. Come si divide la rete di uno stabilimento in livelli e dove si mettono DMZ e firewall lo spieghiamo nella guida al modello Purdue e alla segmentazione OT, che qui non ripetiamo.
ISA/IEC 62443: lo standard della sicurezza OT
La ISA/IEC 62443 è la serie di standard internazionali sulla sicurezza dei sistemi di controllo industriale (IACS, la sigla inglese usata dalla norma). La sviluppano il comitato ISA99, attivo dal 2002, e il gruppo di lavoro 10 del comitato tecnico 65 della IEC. Secondo ISA le edizioni ISA (sigla ISA-62443-x-y) e IEC (sigla IEC 62443-x-y) sono identiche, e nel 2021 la IEC l'ha riconosciuta come standard orizzontale, applicabile a settori diversi.
Com'è organizzata
La NIST SP 800-82 Rev. 3 (appendice D) riporta che la serie è organizzata in quattro categorie: generale, politiche e procedure, sistema, componenti. Il primo numero dopo 62443 indica la categoria. Alcune parti, con i titoli che ISA elenca tra quelle pubblicate:
- 62443-1-1: terminologia, concetti e modelli.
- 62443-2-1: requisiti del programma di sicurezza per chi possiede e gestisce gli impianti (asset owner).
- 62443-2-3: gestione delle patch negli ambienti IACS (rapporto tecnico).
- 62443-2-4: requisiti del programma di sicurezza per i fornitori di servizi.
- 62443-3-2: valutazione del rischio per la progettazione del sistema.
- 62443-3-3: requisiti di sicurezza del sistema e livelli di sicurezza.
- 62443-4-1: requisiti del ciclo di sviluppo sicuro del prodotto.
- 62443-4-2: requisiti tecnici di sicurezza per i componenti.
Detto in breve: la serie 1 dà il linguaggio comune, la 2 riguarda organizzazione e processi, la 3 il sistema nel suo insieme, la 4 i prodotti e i componenti.
Chi la usa
ISA presenta la responsabilità condivisa come principio fondante della serie: definisce requisiti per i proprietari degli impianti, i fornitori di prodotti, gli integratori di sistema e i fornitori di servizi. Per un'azienda manifatturiera vuol dire due cose. Per la parte di propria competenza, la 2-1 e la 3-2 sono il riferimento per organizzare il programma di sicurezza e la valutazione del rischio; verso i fornitori, la 2-4 e la 4-1 o 4-2 danno un linguaggio preciso per i requisiti da mettere nei contratti.
Sul piano dell'architettura, la 62443 ragiona per zone (gruppi di sistemi con gli stessi controlli) e condotti (i canali di comunicazione tra le zone), e NIST mette questo approccio accanto al modello Purdue nella figura sulla segmentazione. Le norme sono a pagamento: chi ne ha bisogno le acquista da ISA o dalla IEC.
OT security e NIS2: manifatturiero e utility
La NIS2, recepita in Italia con il D.Lgs. 138/2024, non usa la parola OT nei suoi articoli, ma copre molti dei settori in cui l'OT è il cuore del business.
Quali settori rientrano
- Allegato I, settori ad alta criticità: energia (energia elettrica, teleriscaldamento e teleraffrescamento, petrolio, gas, idrogeno), acqua potabile, acque reflue, trasporti.
- Allegato II, altri settori critici: fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; gestione dei rifiuti; fabbricazione di dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto.
Settore e dimensione vanno letti insieme: il dettaglio per il manifatturiero è nella guida alla NIS2 nel manifatturiero, quello per energia e acqua nella guida alla NIS2 per energia e utility.
Cosa cambia per l'OT
L'articolo 24 del D.Lgs. 138/2024 chiede misure tecniche, operative e organizzative basate su un approccio multi-rischio, che riguarda i sistemi informativi e di rete e anche il loro ambiente fisico. Tra gli elementi minimi ci sono continuità operativa, sicurezza della catena di approvvigionamento (compresi i rapporti con i fornitori diretti), gestione delle vulnerabilità, controllo dell'accesso e gestione dei beni. Per uno stabilimento questi punti cadono sull'OT: i fornitori delle macchine, la manutenzione remota, gli impianti che non si possono fermare.
Le misure di base dell'ACN (allegati della determinazione ACN 379907/2025) lo dicono in modo esplicito su un punto: la misura ID.AM-01 chiede un inventario aggiornato degli apparati fisici che comprende i dispositivi IT, IoT, OT e mobili. La linea di produzione entra quindi nell'inventario come il resto dei sistemi.
L'articolo 25 regola la notifica: per un incidente significativo, pre-notifica al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza e notifica entro 72 ore. Un incidente che ferma una linea può rientrare tra quelli significativi, perché la norma considera significativo anche ciò che causa o può causare una grave perturbazione operativa dei servizi o perdite finanziarie. Gli obblighi lettera per lettera sono nella guida alle misure di sicurezza dell'art. 21 NIS2.
Da dove partire
Un programma di OT security non comincia da un acquisto. Una sequenza ragionevole, costruita sulle indicazioni di NIST:
- Un gruppo misto. NIST indica come minimo un membro dello staff IT, un ingegnere di controllo, un operatore del sistema di controllo, un esperto di sicurezza di rete e di sistema, un membro del management e uno della sicurezza fisica, e suggerisce di coinvolgere il fornitore o l'integratore del sistema.
- Inventario degli asset OT, compresi quelli vecchi o non documentati, con versioni e fornitore.
- Mappa dei flussi tra rete aziendale e rete OT, e segmentazione a partire da quel confine.
- Accessi remoti dei fornitori. Per NIST vanno concessi solo se giustificati, limitati al necessario, senza aggirare i controlli, con l'autenticazione a più fattori da considerare. Per la manutenzione remota lo strumento dovrebbe autenticare il tecnico, aprire la connessione solo per l'intervento, chiuderla subito dopo e registrare le attività.
- Monitoraggio della rete. NIST osserva che il traffico OT è di solito più deterministico di quello IT, cioè ripetibile e prevedibile, e suggerisce di partire da un monitoraggio passivo che distingua le comunicazioni note da quelle sconosciute. Gli eventi OT vanno poi letti insieme a quelli IT, che è il lavoro di un SIEM e di chi lo presidia.
- Piano di risposta e ripristino scritto per l'impianto, con il funzionamento in emergenza e quello manuale previsti in anticipo.
Se vuoi capire come inventario, monitoraggio della rete OT e risposta agli incidenti possono lavorare insieme nel tuo stabilimento, trovi il nostro approccio nella pagina dedicata ai servizi di cybersecurity.