Cybersecurity OT vs IT: Perche la Fabbrica e il Nuovo Bersaglio

1. Introduzione: la convergenza IT/OT nell'era Industry 4.0

Per decenni, i mondi dell'Information Technology (IT) e dell'Operational Technology (OT) hanno vissuto in compartimenti stagni. L'IT gestiva email, ERP, database aziendali. L'OT controllava macchine, robot, linee di produzione tramite PLC, SCADA e HMI. Due universi paralleli, con personale diverso, protocolli diversi, priorita diverse.

L'avvento di Industry 4.0 ha cambiato tutto. La promessa della fabbrica intelligente — monitoraggio in tempo reale, manutenzione predittiva, digital twin, ottimizzazione basata sui dati — richiede che i sistemi OT comunichino costantemente con i sistemi IT. I dati di produzione devono fluire verso il MES, l'ERP, il cloud. I comandi devono arrivare ai PLC. Le reti convergono.

Questa convergenza ha generato un valore enorme in termini di efficienza e competitivita. Ma ha anche creato una superficie di attacco senza precedenti. Ogni punto di connessione tra IT e OT e una potenziale porta d'ingresso per un attaccante. E le reti OT, progettate decenni fa per funzionare in ambienti isolati, non erano pensate per resistere a minacce informatiche.

I numeri confermano il trend. Secondo il rapporto Dragos 2025, gli attacchi contro infrastrutture OT sono aumentati del 87% rispetto al 2023. Il ransomware industriale e cresciuto del 50% anno su anno. Il settore manifatturiero e il bersaglio numero uno, con oltre il 70% degli incidenti OT registrati a livello globale. Non si tratta piu di scenari teorici: la fabbrica e il nuovo campo di battaglia della cybersecurity.

2. IT vs OT: le differenze fondamentali

La prima fonte di vulnerabilita nelle reti industriali e culturale: applicare alla rete OT le stesse logiche di sicurezza della rete IT. I due ambienti, pur convergendo, hanno caratteristiche radicalmente diverse che impongono approcci di protezione specifici.

La triade CIA vs AIC

In ambito IT, la triade classica della sicurezza e CIA: Confidentiality, Integrity, Availability. La riservatezza del dato e la priorita massima — un data breach espone informazioni sensibili, dati personali, segreti industriali. In ambito OT le priorita si invertono completamente: AIC — Availability, Integrity, Confidentiality. La disponibilita dell'impianto viene prima di tutto, perche un fermo produzione ha conseguenze immediate: perdite economiche, danni fisici, rischi per la sicurezza delle persone.

Questa inversione di priorita ha implicazioni profonde. In IT, se un sistema e compromesso, lo si isola e lo si analizza con calma. In OT, fermare un forno di fusione o un reattore chimico per "analizzare un incidente" puo causare danni catastrofici. La sicurezza informatica OT deve sempre bilanciarsi con la sicurezza fisica e la continuita operativa.

Confronto strutturale IT vs OT

Questa tabella evidenzia un dato cruciale: le reti OT non sono semplicemente "reti IT lente". Hanno requisiti, vincoli e rischi completamente diversi. Trattarle come un'estensione della rete IT e il modo piu rapido per creare vulnerabilita critiche.

3. Perche le reti OT sono vulnerabili

La vulnerabilita delle reti OT non e un difetto di progettazione: e una conseguenza storica. I sistemi di automazione industriale sono stati progettati per la affidabilita e la longevita, non per la sicurezza informatica. Quando un PLC Siemens S7-300 e stato installato nel 2005, il concetto di "attacco informatico a un impianto industriale" era fantascienza. Vent'anni dopo, quel PLC e ancora in produzione — e completamente esposto.

Legacy systems: il debito tecnologico

Il primo e piu grave problema delle reti OT e la longevita dei sistemi. Un PLC, un SCADA o un HMI hanno un ciclo di vita di 15-25 anni. In molte fabbriche italiane operano ancora sistemi basati su Windows XP, Windows CE o Windows 7, per i quali Microsoft non rilascia piu patch di sicurezza da anni. Questi sistemi non possono essere aggiornati perche l'aggiornamento richiederebbe la rivalidazione dell'intero sistema di controllo, con costi e tempi incompatibili con la produzione.

Il risultato e un debito tecnologico enorme: sistemi con vulnerabilita note, documentate nei database CVE, che non verranno mai corrette. Un attaccante con accesso alla rete OT trova un catalogo di exploit gia pronti.

Il mito dell'air gap

Per anni, la difesa standard delle reti OT e stata l'air gap: la separazione fisica completa tra rete IT e rete OT. "La nostra rete di produzione non e connessa a Internet, quindi e sicura." Questa affermazione, ancora oggi ripetuta da molti responsabili di stabilimento, e nella quasi totalita dei casi falsa.

L'air gap puro e un mito per diverse ragioni:

• Accessi remoti per manutenzione: i fornitori di macchine richiedono connessioni VPN o TeamViewer per l'assistenza, creando ponti permanenti o temporanei verso l'esterno
• Connessioni al MES/ERP: Industry 4.0 richiede lo scambio dati tra OT e sistemi gestionali, con flussi bidirezionali che attraversano i confini di rete
• Chiavette USB: il trasferimento di programmi PLC, aggiornamenti firmware e log avviene spesso tramite supporti rimovibili non controllati
• Laptop condivisi: i tecnici di manutenzione usano lo stesso portatile per navigare in Internet e programmare i PLC
• Reti Wi-Fi non segmentate: access point industriali connessi alla stessa subnet dei dispositivi di produzione

Protocolli industriali insicuri

I protocolli di comunicazione OT sono stati progettati negli anni '70-'90 per ambienti chiusi e affidabili. Modbus, il protocollo piu diffuso nel mondo industriale, non prevede alcuna forma di autenticazione o cifratura: qualsiasi dispositivo sulla stessa rete puo leggere e scrivere registri su qualsiasi PLC. Lo stesso vale per Profinet, EtherNet/IP e BACnet. Un attaccante con accesso alla rete OT puo inviare comandi diretti ai PLC senza alcuna barriera di autenticazione.

4. I principali vettori di attacco OT

Gli attacchi alle reti OT seguono pattern specifici, diversi dagli attacchi IT tradizionali. Comprendere questi vettori e essenziale per costruire una difesa efficace.

Supply chain compromise

L'attacco alla supply chain e oggi il vettore piu insidioso nel mondo OT. Il fornitore di macchine, il system integrator, il produttore di PLC diventano il punto di ingresso. Un firmware compromesso, un aggiornamento software manomesso, una libreria di automazione con codice malevolo: l'attaccante entra nel perimetro della fabbrica attraverso la catena di fornitura, aggirando tutte le difese perimetrali. L'attacco SolarWinds del 2020 ha dimostrato la potenza devastante di questo vettore anche in ambito IT; in ambito OT la superficie di attacco e ancora piu ampia perche la supply chain e meno monitorata.

USB e supporti rimovibili

In un ambiente dove l'air gap e percepito come protezione sufficiente, la chiavetta USB diventa il cavallo di Troia ideale. Il trasferimento di programmi PLC, ricette di produzione, log di diagnostica avviene routinariamente tramite USB. Stuxnet ha utilizzato esattamente questo vettore per raggiungere le centrifughe iraniane. Eppure, nel 2026, la maggior parte degli impianti industriali italiani non ha policy di controllo sui dispositivi rimovibili.

Accesso remoto non protetto

L'accesso remoto e il tallone d'Achille delle reti OT moderne. Ogni macchina ha il suo fornitore, ogni fornitore richiede un accesso remoto per la manutenzione. Il risultato e una proliferazione di VPN, TeamViewer, AnyDesk e altri strumenti di accesso remoto, spesso configurati con credenziali deboli, senza MFA, senza logging, senza scadenza. Ogni accesso remoto non governato e una porta aperta verso il cuore della produzione.

Lateral movement da IT a OT

Il vettore piu comune per raggiungere la rete OT e il movimento laterale dalla rete IT. L'attaccante compromette un endpoint IT (tramite phishing, exploit di vulnerabilita, credenziali rubate), ottiene un foothold nella rete aziendale, e poi si muove lateralmente fino a raggiungere i sistemi di controllo industriale. Se la rete non e segmentata — e nella maggior parte dei casi non lo e — il percorso da una email di phishing a un PLC di produzione puo essere sorprendentemente breve.

Ransomware industriale

Il ransomware e evoluto. Non si limita piu a cifrare i dati degli uffici: i gruppi criminali piu sofisticati — come EKANS/Snake, specificamente progettato per ambienti ICS — prendono di mira i processi industriali. Cifrano i database degli historian, bloccano gli HMI, corrompono i programmi PLC. Il risultato non e solo un fermo IT: e un fermo produzione completo, con costi che possono raggiungere milioni di euro al giorno e tempi di ripristino di settimane.

5. Casi reali di attacchi OT

La teoria diventa tangibile quando si analizzano i casi reali. Tre episodi, in particolare, illustrano l'evoluzione delle minacce OT nel corso di un decennio.

Stuxnet (2010) — L'attacco che ha cambiato tutto

Stuxnet e stato il primo malware specificamente progettato per colpire sistemi di controllo industriale. Attribuito a un'operazione congiunta USA-Israele, ha preso di mira le centrifughe per l'arricchimento dell'uranio nell'impianto di Natanz, in Iran. Il malware si e propagato tramite chiavette USB, ha sfruttato quattro zero-day di Windows e ha manipolato i PLC Siemens S7-315/417 per alterare la velocita delle centrifughe, causandone la distruzione fisica — il tutto mentre gli HMI mostravano parametri normali agli operatori. Stuxnet ha dimostrato che un attacco informatico puo causare distruzione fisica di asset industriali.

Colonial Pipeline (2021) — Il ransomware che ha fermato un paese

L'attacco ransomware a Colonial Pipeline, il principale oleodotto della costa est degli Stati Uniti, ha bloccato la distribuzione di carburante per sei giorni, causando carenze di benzina in diversi stati. L'attacco e partito dalla compromissione di una singola password VPN obsoleta nella rete IT. Per precauzione, Colonial ha fermato anche le operazioni OT, dimostrando come un incidente IT possa avere conseguenze devastanti sulla continuita operativa anche senza compromissione diretta dei sistemi di controllo. Il riscatto pagato: 4,4 milioni di dollari.

Norsk Hydro (2019) — Il costo reale del ransomware industriale

Norsk Hydro, colosso norvegese dell'alluminio, e stato colpito dal ransomware LockerGoga che ha cifrato i sistemi IT e costretto l'azienda a passare al controllo manuale della produzione in 40 stabilimenti in tutto il mondo. L'azienda ha scelto di non pagare il riscatto. Il costo stimato dell'incidente: oltre 70 milioni di dollari tra fermo produzione, ripristino dei sistemi e perdita di efficienza operativa. Il caso Norsk Hydro dimostra che anche senza compromissione diretta dei PLC, un attacco ransomware puo paralizzare la produzione per settimane.

6. Il framework IEC 62443

La IEC 62443 (precedentemente ISA/IEC 62443) e la famiglia di standard internazionali specificamente progettata per la cybersecurity dei sistemi di automazione e controllo industriale (IACS — Industrial Automation and Control Systems). A differenza di framework generici come ISO 27001, la IEC 62443 e stata costruita attorno alle specificita del mondo OT: cicli di vita lunghi, requisiti di disponibilita, protocolli industriali, vincoli di patching.

Struttura dello standard

La IEC 62443 si articola in quattro livelli:

• General (62443-1.x): concetti, terminologia, modelli di riferimento
• Policies & Procedures (62443-2.x): requisiti per i proprietari degli asset (asset owner) — governance, gestione del rischio, policy di sicurezza
• System (62443-3.x): requisiti per gli integratori di sistema — architettura di sicurezza, zone e conduit, valutazione del rischio di sistema
• Component (62443-4.x): requisiti per i fornitori di componenti — sviluppo sicuro del software, requisiti tecnici di sicurezza dei componenti

Zone e conduit

Il concetto chiave della IEC 62443 e la suddivisione della rete in zone e conduit. Una zona e un raggruppamento logico di asset che condividono gli stessi requisiti di sicurezza (es. la cella robotica, la linea di confezionamento, il sistema SCADA centralizzato). Un conduit e il canale di comunicazione tra due zone, che deve essere protetto e controllato. Questo approccio permette di applicare livelli di protezione diversificati in base alla criticita degli asset, senza imporre una sicurezza uniforme (e spesso inadeguata) a tutta la rete.

Security Levels (SL)

La IEC 62443 definisce quattro Security Levels progressivi:

Per la maggior parte delle aziende manifatturiere italiane, un Security Level 2 o 3 e il target appropriato. Il livello viene definito attraverso una valutazione del rischio specifica per ogni zona, considerando le minacce realistiche, le conseguenze di una compromissione e i requisiti normativi applicabili.

7. La segmentazione IT/OT: come implementarla

La segmentazione di rete e la misura di sicurezza piu efficace e piu urgente per proteggere le reti OT. Il principio e semplice: impedire che un attaccante che ha compromesso la rete IT possa raggiungere direttamente i sistemi di controllo industriale. L'implementazione, tuttavia, richiede competenza specifica e una progettazione attenta per non impattare la produzione.

L'architettura a DMZ industriale

Il modello di riferimento, derivato dal Purdue Enterprise Reference Architecture (PERA) e adottato dalla IEC 62443, prevede una DMZ industriale (iDMZ) come zona cuscinetto tra la rete IT e la rete OT. L'architettura si articola su livelli:

• Livello 5 — Enterprise Zone: ERP, email, Internet, servizi cloud
• Livello 4 — Business Planning: server business, database aziendali
• Livello 3.5 — Industrial DMZ (iDMZ): zona cuscinetto con firewall dedicati, jump server, data diode, historian mirror
• Livello 3 — Site Operations: MES, historian OT, SCADA server
• Livello 2 — Area Supervisory: HMI, engineering workstation
• Livello 1 — Basic Control: PLC, DCS, safety controller
• Livello 0 — Process: sensori, attuatori, strumenti di campo

La regola fondamentale e che nessun traffico diretto puo attraversare la iDMZ. Le comunicazioni tra IT e OT passano esclusivamente attraverso servizi nella DMZ: un historian mirror replica i dati di produzione verso l'IT, un jump server protetto media gli accessi di manutenzione, un application proxy filtra le richieste verso il MES.

Firewall industriali e monitoraggio

La segmentazione richiede firewall specifici per ambienti OT — non i classici firewall IT. I firewall OT devono comprendere i protocolli industriali (Modbus TCP, EtherNet/IP, OPC UA, S7comm) e applicare Deep Packet Inspection (DPI) a livello applicativo. Devono essere in grado di distinguere un comando di lettura da un comando di scrittura su un PLC e bloccare le operazioni non autorizzate.

Al firewall si affianca il monitoraggio continuo del traffico OT tramite soluzioni di Network Detection and Response (NDR) specifiche per ambienti industriali. Strumenti come Dragos, Claroty o Nozomi Networks analizzano passivamente il traffico di rete, creano un inventario automatico degli asset OT, rilevano anomalie comportamentali e segnalano attivita sospette — il tutto senza impattare le comunicazioni di produzione.

8. Il ruolo del Regolamento Macchine 2023/1230 nella cybersecurity OT

Il Regolamento (UE) 2023/1230, che sostituira la Direttiva Macchine 2006/42/CE a partire dal 14 gennaio 2027, introduce per la prima volta nella storia della legislazione europea sui macchinari dei requisiti espliciti di cybersecurity.

I Requisiti Essenziali di Sicurezza e Salute (RESS) piu rilevanti sono:

• RESS 1.1.9 — Protezione contro la corruzione: le funzioni di sicurezza della macchina non devono essere compromesse da alterazioni involontarie o intenzionali del software, inclusi attacchi informatici
• RESS 1.2.1 — Sicurezza e affidabilita dei sistemi di comando: i sistemi di comando devono resistere a perturbazioni intenzionali (leggi: attacchi cyber) che possano compromettere le funzioni di sicurezza

Questo significa che dal 2027 ogni macchina immessa sul mercato europeo dovra essere progettata con la cybersecurity come requisito essenziale di progettazione, non come add-on opzionale. I fabbricanti dovranno condurre una valutazione del rischio cyber, implementare misure di protezione proporzionate e documentare tutto nel fascicolo tecnico.

Per le aziende manifatturiere italiane che acquistano macchine, il Regolamento 2023/1230 implica un cambio di approccio: dovranno richiedere ai fornitori la conformita ai nuovi requisiti di cybersecurity e integrare la sicurezza informatica delle macchine nella propria strategia di protezione OT.

9. NIS2 e OT: obblighi per il manifatturiero

La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, non distingue tra reti IT e OT. Tutti i sistemi informativi e di rete utilizzati per fornire i servizi dell'azienda rientrano nell'ambito di applicazione. Per le aziende manifatturiere, questo significa che PLC, SCADA, HMI, reti industriali e qualsiasi sistema connesso che supporta i processi produttivi devono essere protetti secondo i requisiti della Direttiva.

Gli obblighi NIS2 che impattano direttamente le reti OT includono:

• Gestione del rischio: l'analisi del rischio deve coprire esplicitamente le reti OT, con metodologie adeguate (es. IEC 62443-3-2 per la valutazione del rischio dei sistemi IACS)
• Sicurezza della supply chain: i fornitori di macchine e componenti OT devono essere valutati e monitorati dal punto di vista della cybersecurity
• Gestione degli incidenti: gli incidenti che colpiscono i sistemi OT devono essere segnalati all'autorita competente (ACN) entro 24 ore per l'allarme iniziale e 72 ore per la notifica completa
• Continuita operativa: devono esistere piani di disaster recovery specifici per i sistemi OT, inclusi backup dei programmi PLC e procedure di ripristino testate
• Governance: il management deve essere formato e consapevole dei rischi cyber OT, con responsabilita diretta — la NIS2 introduce la responsabilita personale dei dirigenti

Per molte aziende manifatturiere italiane, la NIS2 rappresenta la prima volta in cui la cybersecurity OT diventa un obbligo di legge con sanzioni significative: fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti.

10. 10 azioni immediate per proteggere la rete OT

La sicurezza OT e un percorso, non un progetto. Ma ci sono azioni concrete che ogni azienda manifatturiera puo — e deve — implementare subito per ridurre drasticamente la propria esposizione al rischio.

1. Asset inventory completo. Mappare ogni dispositivo connesso alla rete OT: PLC, HMI, switch, gateway, sensori IP, stampanti industriali. Non si puo proteggere cio che non si conosce. Utilizzare strumenti di discovery passivi per non impattare la produzione.
2. Segmentazione IT/OT. Implementare una DMZ industriale tra la rete IT e la rete OT. Nessun traffico diretto tra le due reti. Utilizzare firewall industriali con DPI per protocolli OT. E la misura singola piu efficace.
3. Governance degli accessi remoti. Censire tutti gli accessi remoti esistenti (VPN fornitori, TeamViewer, AnyDesk). Centralizzarli su un unico punto di accesso nella iDMZ con autenticazione multi-fattore, logging completo e scadenza temporale.
4. Backup dei programmi PLC. Eseguire backup periodici e verificati di tutti i programmi PLC, le configurazioni degli switch, i progetti SCADA. Conservare i backup offline, in luogo sicuro. Testare regolarmente il ripristino.
5. Policy USB e supporti rimovibili. Implementare controlli sui dispositivi USB: whitelist di dispositivi autorizzati, scansione antimalware prima dell'uso in ambiente OT, divieto di utilizzo di chiavette personali.
6. Monitoraggio del traffico OT. Installare soluzioni di Network Detection and Response (NDR) specifiche per OT. Anche una semplice analisi del traffico di base puo rivelare anomalie critiche: un PLC che comunica con un IP esterno, un protocollo inatteso, un volume di traffico anomalo.
7. Eliminare le password di default. Cambiare immediatamente tutte le password di default su switch industriali, HMI, router, gateway. Implementare password uniche e complesse. Dove possibile, integrare l'autenticazione con Active Directory tramite RADIUS.
8. Piano di risposta agli incidenti OT. Creare un piano specifico per gli incidenti OT, diverso dal piano IT. Deve includere: chi contattare (inclusi fornitori di macchine), come isolare una zona senza fermare l'intero impianto, procedure di ripristino manuale, comunicazioni verso ACN (NIS2).
9. Formazione del personale OT. I tecnici di manutenzione, gli operatori di linea, i responsabili di produzione devono essere formati sui rischi cyber OT. Non serve trasformarli in esperti di sicurezza: serve che riconoscano comportamenti anomali e sappiano a chi segnalarli.
10. Valutazione periodica. Condurre assessment di sicurezza OT almeno annuali, con vulnerability assessment non intrusivi e revisione dell'architettura di rete. La situazione cambia: nuove macchine vengono installate, nuove connessioni create, nuove vulnerabilita scoperte.

11. Domande frequenti