Difendere l’invisibile:
l’urgenza di proteggere l’OT tra minacce reali e obblighi normativi

La protezione delle infrastrutture fisiche è da tempo una delle priorità centrali della cybersecurity contemporanea.

L’ultimo Rapporto Clusit lo evidenzia chiaramente: le tecnologie operative (Operational Technology, OT) – che controllano impianti industriali, reti energetiche, sistemi idrici, trasporti e altri servizi essenziali – sono oggi tra gli obiettivi principali degli attacchi cyber di maggiore gravità.

L’aumento delle aggressioni rivolte a questi ambienti è stato del 70% in un solo anno, a conferma di una tendenza strutturale che ridefinisce il concetto stesso di “perimetro di sicurezza”.

Storicamente isolate dal mondo IT, le tecnologie OT stanno vivendo un rapido processo di digitalizzazione, spinto dalla convergenza con i sistemi informativi e dall’adozione di soluzioni industriali sempre più intelligenti e connesse.

Questo ha portato alla nascita di ambienti ibridi, altamente efficienti ma esposti a nuove vulnerabilità.

Basti pensare alla crescente adozione di sensori IoT, piattaforme SCADA interconnesse, sistemi di telecontrollo e automazione in cloud.

Quella che era una separazione netta tra ambienti IT e OT si è trasformata in un unico ecosistema integrato ma fragile, nel quale un attacco informatico può causare non solo la perdita di dati, ma l’interruzione di processi produttivi, blackout, disservizi pubblici, danni economici e ambientali.

Già nel 2023, l’Italia si confermava tra i paesi più colpiti a livello globale.

Il 10,1% degli attacchi gravi globali ha colpito organizzazioni italiane, con forte impatto su infrastrutture critiche e manifattura.

Nel tempo, gli attacchi classificati come “gravi” – cioè con impatto sistemico o su servizi essenziali – sono cresciuti in modo significativo nei settori con forte componente OT, come energia, trasporti, sanità e industria.

È il segno di un passaggio ormai compiuto: la cybersecurity non può più prescindere dalla protezione del mondo fisico.

Le tecniche di attacco più utilizzate, secondo il Clusit, si stanno evolvendo in modo sofisticato e adattivo.

L’uso di ransomware, phishing mirati, compromissione di supply chain digitali, accessi remoti abusivi e tecniche di living-off-the-land (che sfruttano strumenti legittimi per eludere i controlli) è in costante crescita.

E se l’infrastruttura IT rappresenta spesso il punto d’ingresso, l’obiettivo finale è sempre più spesso l’ambiente OT: il vero tallone d’Achille di molte organizzazioni.

A fronte di questo scenario, aumenta anche la consapevolezza del rischio a livello organizzativo.

Le imprese stanno iniziando a includere le tecnologie OT nelle strategie di gestione del rischio cyber, ma, secondo Clusit, il percorso è ancora in fase iniziale.

La scarsa visibilità degli asset OT, l’assenza di standard uniformi e la difficoltà di aggiornare o segmentare impianti critici rendono complesso un approccio sistemico alla protezione.

In molti casi, i team IT e OT operano ancora in silos, con linguaggi, obiettivi e strumenti differenti.

Non si tratta solo di implementare nuove tecnologie di difesa, ma di sviluppare processi condivisi, piattaforme di monitoraggio unificate e policy capaci di tenere conto della specificità dei sistemi industriali.

Anche il World Economic Forum lancia l’allarme

Dello stesso avviso è anche il World Economic Forum, che in un suo recente report dedicato alla cyber resilience mette in evidenza come la protezione delle tecnologie operative (OT) debba essere riconosciuta come una priorità strategica, distinta e autonoma rispetto alla cybersecurity tradizionale.

Il WEF sottolinea come i cyberattacchi ai sistemi OT siano in forte aumento e mettono a rischio settori vitali come l’energia, l’acqua, i trasporti e la manifattura.

Le minacce non sono più circoscritte al furto di dati o all’interruzione dei servizi digitali, ma riguardano direttamente la continuità operativa e la sicurezza fisica degli impianti industriali.

I recenti attacchi a PLC in impianti idrici e chimici, insieme a malware come FrostyGoop e PIPEDREAM, evidenziano lo sviluppo di strumenti mirati contro infrastrutture fisiche su larga scala.

L’invito è lo stesso: la protezione dei sistemi OT non può essere affrontata con lo stesso approccio e con gli stessi strumenti utilizzati per l’IT.

I dati e i processi informatici rappresentano solo una parte dell’equazione.

I sistemi OT, spesso basati su dispositivi custom e con alta disponibilità, non tollerano interruzioni: un attacco può compromettere produzione, ambiente e sicurezza pubblica.

Il WEF sottolinea inoltre che molte aziende continuano a valutare la propria postura di sicurezza sulla base di metriche IT – budget investiti, incidenti evitati, tecnologie adottate – trascurando il fatto che la parte “revenue-generating” del business, ossia gli impianti produttivi, resta spesso scoperta o poco protetta.

Per affrontare queste sfide, il WEF propone l’adozione di un framework basato sui cinque controlli critici del SANS Institute per una difesa OT efficace:

• sviluppo di un piano di risposta agli incidenti per ICS;
• definizione di un’architettura difendibile;
• visibilità e monitoraggio delle reti OT;
• accessi remoti sicuri;
• gestione delle vulnerabilità basata sul rischio e tarata su ambienti ad alta disponibilità.

Questi controlli non solo proteggono i sistemi, ma abilitano la continuità operativa e rafforzano la capacità di risposta, rendendo l’intero assetto aziendale più resiliente.

Comprendere la differenza tra IT e OT significa anche imparare a porre le domande giuste, monitorare i rischi reali e pretendere risposte specifiche.

Solo così sarà possibile costruire una sicurezza davvero integrata, in grado di proteggere non solo i dati, ma le infrastrutture che rendono possibile la vita quotidiana.

Sicurezza OT e obblighi normativi: il perimetro si allarga con NIS 2 e IEC 62443

Fortunatamente, la crescente attenzione alla sicurezza OT non è soltanto una conseguenza del mutato panorama delle minacce, ma anche un effetto diretto dell’evoluzione normativa.

Con l’entrata in vigore della direttiva NIS 2, l’Unione Europea ha definito un nuovo standard minimo di sicurezza per una vasta gamma di soggetti operanti in settori critici, includendo espressamente anche le infrastrutture OT e ICS (Industrial Control Systems) nei suoi ambiti di applicazione.

Rispetto alla versione precedente, la NIS 2 amplia significativamente la platea dei soggetti coinvolti, estendendosi a oltre 15 settori essenziali e importanti tra cui energia, trasporti, sanità, manifattura, approvvigionamento idrico e digitale.

Si tratta in larga parte di ambiti dove l’Operational Technology costituisce il cuore dei processi produttivi o erogativi.

La direttiva impone a queste realtà obblighi stringenti in termini di gestione del rischio, prevenzione degli incidenti, rilevamento e risposta agli attacchi, ma anche responsabilità diretta per i vertici aziendali.

Un punto centrale della normativa è la richiesta di adottare misure tecniche, operative e organizzative in grado di garantire un elevato livello di sicurezza dei sistemi di rete e informativi, senza distinzione tra ambienti IT e OT.

Questo significa che anche i dispositivi di controllo industriale, gli impianti automatizzati e le infrastrutture fisiche connesse rientrano pienamente nel perimetro degli adempimenti richiesti.

L’importanza della compliance normativa si estende anche ai temi della business continuity e della resilienza operativa, elementi chiave nella strategia di protezione delle infrastrutture critiche.

La stessa NIS 2 riconosce che la capacità di prevenire, assorbire e reagire a un attacco cyber non riguarda più solo il dato o il sistema informativo, ma coinvolge l’intero processo industriale, dalla sensoristica al controllo remoto fino alla filiera.

IEC 62443: lo standard internazionale per la sicurezza OT

Oltre a NIS 2, un punto di riferimento fondamentale per la protezione delle infrastrutture OT è la normativa internazionale IEC 62443, sviluppata dalla International Electrotechnical Commission.

Questo standard fornisce un framework completo per la cybersecurity nei sistemi di controllo e automazione industriale.

E’ adottato a livello globale da aziende che operano in settori ad alta criticità come energia, acqua, oil & gas, trasporti e manifattura.

La IEC 62443 si distingue per un approccio modulare, suddiviso in quattro serie di documenti che coprono diversi aspetti della sicurezza:

• politiche organizzative,
• requisiti di sistema,
• sicurezza dei componenti,
• processi di sviluppo sicuro.

Uno degli elementi chiave dello standard è la definizione dei Security Levels (SL), ovvero livelli crescenti di protezione da applicare in base al profilo di rischio.

I quattro Security Levels:

• SL 1 – Protezione contro minacce accidentali o semplici attacchi: livello minimo di difesa, utile contro errori operativi o tentativi di intrusione non strutturati.
• SL 2 – Protezione contro attacchi intenzionali ma con competenze limitate. Include misure contro minacce interne o attori malevoli con accesso limitato al sistema.
• SL 3 – Protezione contro attacchi intenzionali con competenze tecniche elevate. Richiesto in ambienti dove sono possibili attacchi mirati da parte di cybercriminali esperti.
• SL 4 – Protezione contro attacchi altamente sofisticati, come quelli condotti da stati-nazione. Il massimo livello, destinato a infrastrutture strategiche o critiche a livello nazionale.

L’adozione della IEC 62443 consente alle aziende di valutare con precisione il proprio profilo di rischio OT e di implementare controlli adeguati alla minaccia, favorendo un allineamento con gli obblighi normativi (come quelli previsti da NIS 2) e con le best practice internazionali.

Lo standard è inoltre compatibile con approcci risk-based e con metodologie di audit e compliance già in uso nelle organizzazioni più strutturate.ma supportarli nel prendere decisioni corrette.

Rischi reali e azioni necessarie: come prepararsi a difendere la sicurezza OT

Come abbiamo visto, la crescente esposizione degli ambienti OT richiede un approccio strutturato e proattivo:

• segmentazione delle reti,
• piani di risposta dedicati,
• monitoraggio continuo,
• formazione specifica

sono le leve operative per mitigare rischi che oggi spaziano dalle interruzioni produttive ai danni fisici, passando per attacchi geopolitici e compromissioni nella supply chain.

Le organizzazioni devono quindi affrontare alcune direttrici di rischio primarie:

• Segmentazione e isolamento: l’integrazione di tecnologie IoT e cloud in ambienti OT introduce vulnerabilità prima inesistenti. L’accesso remoto, se non correttamente segmentato e protetto, diventa un punto critico.

• Danni ai macchinari e interruzioni di servizio. Gli attacchi OT non restano confinati nel dominio virtuale. Possono avere ripercussioni su impianti industriali, logistica, impianti di generazione e distribuzione dell’energia o sistemi idrici, con conseguenze dirette sulla continuità operativa e la sicurezza pubblica.

• Sicurezza IoT. L’esplosione dei dispositivi connessi espone le reti OT a minacce su larga scala. Molti device industriali non sono progettati per difendersi, e diventano facilmente reclutabili in botnet malevoli.

• Carenza di competenze e outsourcing forzato. La domanda di competenze specialistiche supera di gran lunga l’offerta. Sempre più organizzazioni si affidano a partner esterni per la gestione della sicurezza OT, ma questo richiede criteri di selezione rigorosi.

• Compliance e impatti normativi. Normative come NIS 2 impongono una revisione profonda delle strategie di protezione OT, obbligando le aziende a integrare misure specifiche, formazione del personale e controlli a livello di governance.

Come prepararsi

La preparazione alla sicurezza OT non può essere affidata a misure reattive o adattamenti dell’esistente.

Occorre una strategia organica e proattiva che includa:

• Architetture difensive multilivello, con segmentazione delle reti OT, protezione dei canali di accesso remoto, e visibilità in tempo reale degli asset industriali.

• Piani di risposta agli incidenti specifici per ICS/SCADA, testati e aggiornati periodicamente, anche in simulazioni di attacco.

• Integrazione della sicurezza OT nella governance aziendale, con un chiaro coinvolgimento del board e una collaborazione strutturata tra team IT, OT, compliance e risk management.

• Formazione continua e cultura della sicurezza: gli operatori OT devono essere in grado di riconoscere segnali di compromissione e reagire tempestivamente.

• Analisi dei rischi nella supply chain e audit dei fornitori strategici, soprattutto per i componenti critici e le piattaforme connesse.

Affidarsi al partner giusto fa la differenza

Gestire la sicurezza OT richiede molto più di una semplice estensione delle misure IT esistenti.

Significa comprendere le specificità dei sistemi industriali, tradurre le normative in azioni concrete, integrare tecnologie e processi in ambienti altamente eterogenei e spesso legacy.

In uno scenario così complesso, scegliere il partner giusto è un passaggio strategico.

Con la sua OT Security Suite, IFIConsulting offre un insieme strutturato di servizi progettati per accompagnare le organizzazioni industriali nella protezione dei propri ambienti OT.

Dalla valutazione del rischio alla segmentazione delle reti, dalla governance della sicurezza all’adeguamento normativo secondo standard come IEC 62443 e la direttiva NIS 2.

Una competenza verticale, basata su esperienza sul campo, che consente di costruire percorsi personalizzati di resilienza industriale e di cybersecurity operativa.