Sicurezza della rete industriale: separare IT e OT

Con l'Industria 4.0 i macchinari sono entrati in rete: inviano dati di produzione al gestionale, ricevono programmi di lavoro, vengono assistiti da remoto dal costruttore. È un salto di qualità per l'efficienza, ma porta in officina rischi che prima riguardavano solo gli uffici. Un attacco che blocca i pc è un problema serio; uno che ferma la produzione può esserlo ancora di più.

IT e OT: due mondi con esigenze diverse

• IT (Information Technology): pc, server, posta, gestionale. Priorità tipica: proteggere la riservatezza dei dati. Gli aggiornamenti sono frequenti e la sostituzione dei sistemi avviene ogni pochi anni.
• OT (Operational Technology): PLC, pannelli operatore, sistemi di supervisione, macchine a controllo numerico, sensori. Priorità: continuità e sicurezza del processo. I sistemi restano in funzione molto a lungo e spesso non possono essere aggiornati o riavviati liberamente.

Il problema nasce quando questi due mondi condividono la stessa rete senza regole.

I rischi tipici delle reti industriali

• Sistemi operativi obsoleti: pc di controllo con versioni di Windows non più supportate, perché il software della macchina non funziona su versioni recenti.
• Protocolli industriali senza autenticazione: molti protocolli nati per reti chiuse non prevedono password né cifratura. Chi raggiunge la rete può inviare comandi.
• Rete piatta: un ransomware entrato da un'email negli uffici può raggiungere i pc di produzione.
• Teleassistenza non controllata: modem, router o software di accesso remoto installati dal costruttore, a volte sempre attivi e con credenziali deboli o mai cambiate.
• Chiavette USB usate per caricare programmi o scaricare dati, che possono veicolare malware.
• Inventario incompleto: spesso nessuno sa esattamente quali dispositivi sono collegati in reparto.
• Responsabilità poco chiare tra ufficio tecnico, IT interno, fornitore IT e costruttori delle macchine.

Separare IT e OT: i principi

Segmentazione

La rete di produzione deve stare su segmenti separati da quella degli uffici, con un firewall nel mezzo. Il traffico consentito è solo quello necessario, ad esempio l'invio dei dati di produzione verso il gestionale. Nelle realtà più articolate si può creare una zona intermedia (spesso chiamata DMZ industriale) dove transitano i dati scambiati tra i due mondi. Per i concetti di base vedi l'articolo sulla segmentazione della rete con VLAN.

Segmentare anche dentro l'OT

Dove possibile, conviene separare anche le diverse linee o celle, così che un problema su una macchina non si propaghi a tutto il reparto.

Accesso remoto governato

L'assistenza dei costruttori va canalizzata attraverso un punto unico e controllato, con utenze nominative, autenticazione a più fattori, attivazione su richiesta e registrazione delle sessioni. Approfondisci nell'articolo sull'accesso remoto sicuro.

Proteggere ciò che non si può aggiornare

Se un pc di controllo non può essere aggiornato, va isolato: niente navigazione Internet, niente posta, comunicazioni limitate ai soli sistemi necessari, porte USB controllate.

Come iniziare in modo pratico

1. Censimento: elencare macchinari, pc di controllo, dispositivi di rete e accessi remoti presenti in produzione, con il relativo fornitore.
2. Mappa dei flussi: capire quali dati passano tra uffici e reparto, e perché.
3. Priorità: individuare le macchine più critiche per la produzione e quelle più esposte.
4. Intervento graduale: separare le reti per fasi, concordando le finestre con la produzione e coinvolgendo i costruttori quando serve.
5. Monitoraggio: osservare il traffico in reparto per rilevare comunicazioni anomale.
6. Procedure: regole per USB, interventi dei tecnici esterni, gestione dei guasti.

Checklist rapida

• ☐ Rete di produzione separata dagli uffici con un firewall
• ☐ Inventario dei dispositivi OT e degli accessi remoti
• ☐ Teleassistenza centralizzata, con MFA e attivazione su richiesta
• ☐ Pc di controllo obsoleti isolati
• ☐ Regole per l'uso di chiavette USB
• ☐ Ruoli chiari tra IT, produzione e costruttori

Un tema anche normativo

Per le aziende che rientrano nel perimetro della NIS2 (Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024), la gestione dei rischi riguarda tutti i sistemi informativi e di rete, inclusi quelli di produzione. Per capire se e come la normativa si applica alla tua azienda è opportuno un approfondimento dedicato. Per molte PMI manifatturiere del Veneto, inoltre, la sicurezza della produzione è sempre più spesso un requisito richiesto dai clienti più grandi.

Come può aiutarti Area GUI

Area GUI affianca ufficio tecnico e produzione nel censimento della rete industriale e nella separazione tra IT e OT, rispettando i tempi e i vincoli dei reparti. Scopri il servizio reti e Wi-Fi, la sezione dedicata alla NIS2 o contattaci per un sopralluogo.