Quadro elettrico industriale con PLC Siemens SIMATIC S7-400: alimentatore, CPU e moduli di I/O su rack, con cablaggio siglato
Rack di un PLC Siemens SIMATIC S7-400 in quadro elettrico: alimentatore, CPU e moduli di ingresso/uscita con cablaggio siglato. Una piattaforma di controllo diffusissima e ancora in servizio su moltissime linee esistenti. Foto: Mixabest su Wikimedia Commons, pubblico dominio.

La maggior parte dei problemi di cybersecurity in ambito industriale non riguarda impianti nuovi, ma linee che lavorano da dieci o vent'anni. PLC ancora perfettamente funzionali ma non più aggiornabili, PC industriali con Windows XP o Windows 7 vincolati a un software di controllo che non gira su altro, protocolli senza autenticazione, reti dove tutto vede tutto. Sono macchine che producono, e che nessuno può fermare per una settimana per rifarle da capo.

Il punto di partenza realistico è questo: su una linea esistente non si mette in sicurezza il macchinario cambiandolo. Nella maggior parte dei casi non si può, per costo, per continuità operativa o perché la modifica farebbe decadere garanzie e validazioni. Si lavora invece sul contorno, con controlli che riducono il rischio senza toccare la logica di processo. È un compromesso, e va detto chiaramente: è più difendibile una macchina vecchia ben isolata che una macchina moderna lasciata su una rete piatta.

Il vincolo da cui partire. Un macchinario legacy raramente si può aggiornare: niente patch, niente antivirus aggiornabile, spesso nemmeno il cambio password sul controllore. La strategia corretta non è "aggiornare a tutti i costi", ma applicare controlli compensativi intorno all'asset, come previsto dalla logica di zone e conduit della serie IEC 62443.

Prima di tutto: sapere cosa c'è

Non si protegge ciò che non si conosce. Il primo passo, poco spettacolare ma decisivo, è un inventario reale: quali controllori, quali versioni firmware, quali PC e sistemi operativi, quali protocolli, chi si collega e da dove, quali flussi di rete esistono davvero. Su impianti esistenti la documentazione è quasi sempre incompleta o superata, e ciò che si trova sul campo non coincide con lo schema. Buona parte di questo inventario si può ricostruire in modo passivo, ascoltando il traffico di rete senza interrogare attivamente i dispositivi, proprio perché un vecchio PLC può andare in blocco se sollecitato con scansioni aggressive.

Isolare, non esporre

Il controllo più efficace e più economico su una linea vecchia è la segmentazione. Chiudere il macchinario in una zona di rete definita, con un firewall industriale che lascia passare solo i flussi realmente necessari (la comunicazione con lo SCADA, il collegamento con l'HMI) e blocca tutto il resto. Un PLC che non può più essere autenticato o cifrato diventa molto meno attaccabile se semplicemente non è raggiungibile da dove non serve. È l'approccio descritto in dettaglio nell'articolo sulla segmentazione di rete OT.

Regola pratica. Ogni macchina o cella dovrebbe stare in una zona con un perimetro netto. Se per fare manutenzione qualcuno collega un portatile direttamente sulla rete di macchina, quel portatile è dentro il perimetro: va trattato come parte della zona, non come un'eccezione tollerata.

Governare gli accessi, soprattutto quelli di manutenzione

Sui macchinari datati l'accesso più critico è quello del costruttore o del manutentore esterno. Spesso è nato come una teleassistenza improvvisata: un modem, una VPN sempre attiva, credenziali condivise. Va ricondotto a un accesso governato: attivabile su richiesta, tracciato, con identità individuali e limitato alla sola zona interessata. Non serve tecnologia esotica, serve un'architettura di accesso ordinata, come discusso nell'articolo sull'accesso remoto sicuro agli impianti. Stesso ragionamento per le chiavette USB, che su queste linee restano uno dei principali vettori di infezione.

Ridurre la superficie sul PC di controllo

Quando il PC industriale non si può cambiare, si può comunque restringere ciò che vi gira: disattivare servizi e porte inutili, bloccare l'esecuzione di software non previsto tramite whitelisting applicativo, disabilitare le porte USB non necessarie, separare l'utenza di lavoro dai privilegi amministrativi. Un sistema operativo non più supportato resta un rischio, ma un sistema non supportato, isolato in rete e con esecuzione bloccata a un elenco noto di programmi è una cosa diversa da un sistema non supportato lasciato aperto.

Poter tornare indietro

Su una macchina vecchia il ripristino è parte della sicurezza. Servono backup verificati del programma PLC, dell'immagine del PC industriale e delle configurazioni, conservati offline e provati almeno una volta. Nella pratica il backup c'è quasi sempre, ma spesso è vecchio, incompleto o mai testato: nel momento in cui serve, non si sa se funziona. Un ripristino provato vale molto più di un backup teorico.

Errori da evitare

  • Trattare la sicurezza come un progetto una tantum: la configurazione va mantenuta nel tempo, non congelata al collaudo.
  • Scansionare attivamente reti con PLC datati senza precauzioni: si rischia il fermo impianto.
  • Confondere "conforme a una norma" con "sicuro": la conformità è un traguardo utile, non una garanzia operativa.
  • Rimandare tutto in attesa della sostituzione del macchinario. La sostituzione arriverà, forse, tra anni; l'esposizione è adesso.

Come possiamo aiutare

Il lavoro concreto su un parco macchine esistente parte da una valutazione sul campo — inventario, mappatura dei flussi, individuazione degli accessi reali — e prosegue con interventi mirati per priorità: segmentazione, ordinamento degli accessi di manutenzione, hardening delle postazioni, backup e piano di ripristino. Interventi pensati per convivere con la produzione, senza fermi non necessari e senza toccare la logica di processo dove non è indispensabile.

Hai linee o macchinari datati ancora in produzione e vuoi capire da dove partire?

Contattaci per una valutazione dello stato attuale e una lista di interventi ordinata per priorità e per impatto sull'operatività.

Riferimenti utili