La maggior parte dei problemi di cybersecurity in ambito industriale non riguarda impianti nuovi, ma linee che lavorano da dieci o vent'anni. PLC ancora perfettamente funzionali ma non più aggiornabili, PC industriali con Windows XP o Windows 7 vincolati a un software di controllo che non gira su altro, protocolli senza autenticazione, reti dove tutto vede tutto. Sono macchine che producono, e che nessuno può fermare per una settimana per rifarle da capo.
Il punto di partenza realistico è questo: su una linea esistente non si mette in sicurezza il macchinario cambiandolo. Nella maggior parte dei casi non si può, per costo, per continuità operativa o perché la modifica farebbe decadere garanzie e validazioni. Si lavora invece sul contorno, con controlli che riducono il rischio senza toccare la logica di processo. È un compromesso, e va detto chiaramente: è più difendibile una macchina vecchia ben isolata che una macchina moderna lasciata su una rete piatta.
Prima di tutto: sapere cosa c'è
Non si protegge ciò che non si conosce. Il primo passo, poco spettacolare ma decisivo, è un inventario reale: quali controllori, quali versioni firmware, quali PC e sistemi operativi, quali protocolli, chi si collega e da dove, quali flussi di rete esistono davvero. Su impianti esistenti la documentazione è quasi sempre incompleta o superata, e ciò che si trova sul campo non coincide con lo schema. Buona parte di questo inventario si può ricostruire in modo passivo, ascoltando il traffico di rete senza interrogare attivamente i dispositivi, proprio perché un vecchio PLC può andare in blocco se sollecitato con scansioni aggressive.
Isolare, non esporre
Il controllo più efficace e più economico su una linea vecchia è la segmentazione. Chiudere il macchinario in una zona di rete definita, con un firewall industriale che lascia passare solo i flussi realmente necessari (la comunicazione con lo SCADA, il collegamento con l'HMI) e blocca tutto il resto. Un PLC che non può più essere autenticato o cifrato diventa molto meno attaccabile se semplicemente non è raggiungibile da dove non serve. È l'approccio descritto in dettaglio nell'articolo sulla segmentazione di rete OT.
Governare gli accessi, soprattutto quelli di manutenzione
Sui macchinari datati l'accesso più critico è quello del costruttore o del manutentore esterno. Spesso è nato come una teleassistenza improvvisata: un modem, una VPN sempre attiva, credenziali condivise. Va ricondotto a un accesso governato: attivabile su richiesta, tracciato, con identità individuali e limitato alla sola zona interessata. Non serve tecnologia esotica, serve un'architettura di accesso ordinata, come discusso nell'articolo sull'accesso remoto sicuro agli impianti. Stesso ragionamento per le chiavette USB, che su queste linee restano uno dei principali vettori di infezione.
Ridurre la superficie sul PC di controllo
Quando il PC industriale non si può cambiare, si può comunque restringere ciò che vi gira: disattivare servizi e porte inutili, bloccare l'esecuzione di software non previsto tramite whitelisting applicativo, disabilitare le porte USB non necessarie, separare l'utenza di lavoro dai privilegi amministrativi. Un sistema operativo non più supportato resta un rischio, ma un sistema non supportato, isolato in rete e con esecuzione bloccata a un elenco noto di programmi è una cosa diversa da un sistema non supportato lasciato aperto.
Poter tornare indietro
Su una macchina vecchia il ripristino è parte della sicurezza. Servono backup verificati del programma PLC, dell'immagine del PC industriale e delle configurazioni, conservati offline e provati almeno una volta. Nella pratica il backup c'è quasi sempre, ma spesso è vecchio, incompleto o mai testato: nel momento in cui serve, non si sa se funziona. Un ripristino provato vale molto più di un backup teorico.
Errori da evitare
- Trattare la sicurezza come un progetto una tantum: la configurazione va mantenuta nel tempo, non congelata al collaudo.
- Scansionare attivamente reti con PLC datati senza precauzioni: si rischia il fermo impianto.
- Confondere "conforme a una norma" con "sicuro": la conformità è un traguardo utile, non una garanzia operativa.
- Rimandare tutto in attesa della sostituzione del macchinario. La sostituzione arriverà, forse, tra anni; l'esposizione è adesso.
Come possiamo aiutare
Il lavoro concreto su un parco macchine esistente parte da una valutazione sul campo — inventario, mappatura dei flussi, individuazione degli accessi reali — e prosegue con interventi mirati per priorità: segmentazione, ordinamento degli accessi di manutenzione, hardening delle postazioni, backup e piano di ripristino. Interventi pensati per convivere con la produzione, senza fermi non necessari e senza toccare la logica di processo dove non è indispensabile.
Hai linee o macchinari datati ancora in produzione e vuoi capire da dove partire?
Contattaci per una valutazione dello stato attuale e una lista di interventi ordinata per priorità e per impatto sull'operatività.