Che cos'è la sicurezza OT? Definizione, sfide e best practice

La sicurezza OT protegge i sistemi industriali che gestiscono processi fisici nelle infrastrutture critiche. Include la segmentazione secondo il modello Purdue, la convergenza IT/OT e le linee guida NIST.

Che cos'è la sicurezza OT?

Nel maggio 2021, l'attacco ransomware DarkSide costrinse Colonial Pipeline a interrompere le operazioni per cinque giorni e l'azienda pagò un riscatto di 4,4 milioni di dollari, secondo un comunicato del DOJ. Il metodo di ingresso non fu una vulnerabilità zero-day. Gli attaccanti sfruttarono debolezze negli accessi remoti e nelle credenziali, trasformando poi una presenza lato IT in una interruzione operativa.

La sicurezza OT è la disciplina che protegge i sistemi hardware e software che monitorano e controllano i processi fisici nelle infrastrutture critiche. Questi sistemi, come definiti da NIST SP 800-82r3, includono sistemi di controllo industriale (ICS), reti di supervisione e acquisizione dati (SCADA), sistemi di controllo distribuito (DCS) e controllori logici programmabili (PLC).

Gli asset OT governano direttamente gli esiti fisici. Un PLC compromesso può aprire una valvola, surriscaldare una turbina o interrompere un processo di trattamento delle acque. Quando questi sistemi falliscono, le conseguenze vanno oltre la perdita di dati fino alla distruzione di apparecchiature, danni ambientali e minacce alla vita umana.

Come la sicurezza OT si relaziona alla cybersecurity

Se provieni da un contesto di sicurezza IT, conosci già la triade CIA: Riservatezza, Integrità, Disponibilità. La sicurezza OT inverte completamente quest'ordine di priorità.

Secondo il SANS Institute, "l'obiettivo primario della cybersecurity OT è mantenere la sicurezza, l'affidabilità e la disponibilità delle operazioni industriali." In pratica, ciò significa:

• Disponibilità al primo posto. Una centrale elettrica o un impianto idrico non può andare offline per una patch di sicurezza senza rischiare la sicurezza pubblica.
• Integrità al secondo posto. I comandi di controllo devono essere eseguiti accuratamente affinché i macchinari operino in modo sicuro e prevedibile.
• Riservatezza al terzo posto. Il furto di dati conta meno della perdita di controllo operativo sui processi fisici.

Questa inversione di priorità crea una tensione fondamentale. I controlli di sicurezza su cui fai affidamento negli ambienti IT, come l'ispezione approfondita dei pacchetti, cicli di patching aggressivi e scansioni antivirus in tempo reale, possono introdurre latenza che interrompe le operazioni OT precise al millisecondo. Come documenta NIST SP 800-82r3, i sistemi OT "possono influenzare il mondo fisico e, di conseguenza, la definizione di rischio applicata a un ICS deve includere considerazioni sulle potenziali conseguenze nel mondo reale."

Questo cambiamento di priorità influenza ogni decisione architetturale in un programma di sicurezza OT, da come segmenti le reti a come gestisci la gestione delle vulnerabilità. I seguenti componenti traducono questo principio in controlli concreti.

Componenti fondamentali della sicurezza OT

Costruire un programma di sicurezza OT richiede cinque componenti fondamentali, ciascuno adattato ai vincoli operativi degli ambienti industriali.

1. Segmentazione di rete basata sul modello Purdue

La Purdue Enterprise Reference Architecture (PERA) fornisce un quadro gerarchico per separare le reti OT da quelle IT. Secondo una pubblicazione DOE, questo modello definisce sei livelli, dal Livello 0 (dispositivi di campo come sensori e attuatori) al Livello 5 (connettività esterna inclusi supporto fornitori e accesso cloud). Un'aggiunta critica per gli ambienti moderni è il Livello 3.5, una zona demilitarizzata (DMZ) che ospita servizi condivisi come data historian, impedendo traffico diretto tra IT aziendale e sistemi di controllo OT. La guida CISA sulla segmentazione richiede più livelli DMZ con enforcement firewall a ogni confine.

2. Inventario e visibilità degli asset

Non puoi proteggere ciò che non puoi vedere. La guida CISA sull'inventario descrive un approccio a fasi: definire l'ambito, assegnare ruoli di governance, quindi condurre ispezioni fisiche e rilevamenti logici per compilare elenchi di asset con attributi come criticità e configurazione di sicurezza.

Una sfida particolare sono i dispositivi dormienti. Controller di backup, sistemi di sicurezza ridondanti e apparecchiature di emergenza rimangono inattivi durante le normali operazioni, invisibili al monitoraggio passivo della rete e sfruttabili dagli attaccanti.

3. Accesso remoto sicuro

L'accesso remoto dei fornitori è sia una necessità operativa sia una vulnerabilità persistente. Secondo la guida Defense-in-Depth, i contratti con i fornitori richiedono frequentemente accesso remoto alle apparecchiature e gli attaccanti utilizzano queste connessioni come punti di ingresso. La messa in sicurezza di questo canale richiede jump server in segmenti DMZ, autenticazione a più fattori, accesso temporaneo basato sui ruoli e forte crittografia.

4. Gestione delle patch basata sul rischio

Applicare patch ai sistemi OT è fondamentalmente diverso dal patching degli endpoint IT. Secondo la roadmap CISA, "i proprietari e operatori ICS non applicano le patch per molte ragioni, tra cui il rischio o il costo di interruzione dei processi operativi e la mancata fornitura di patch da parte dei fornitori per apparecchiature specifiche."

Quando il patching diretto non è fattibile, si implementano controlli compensativi: segmentazione di rete rafforzata intorno agli asset vulnerabili, application whitelisting, restrizioni di accesso più severe e monitoraggio aumentato per tentativi di sfruttamento.

5. Monitoraggio comportamentale specifico OT

Gli ambienti industriali beneficiano del monitoraggio delle anomalie comportamentali perché il traffico di rete OT segue schemi prevedibili e ripetibili. Secondo NIST IR 8219, il monitoraggio comportamentale migliora l'affidabilità degli ICS rilevando dati anomali prima che interrompano le operazioni. Un monitoraggio efficace richiede capacità specifiche per i protocolli industriali come Modbus, DNP3, EtherNet/IP e PROFINET.

Insieme, questi cinque componenti costituiscono i blocchi fondamentali di un programma di sicurezza OT. Il passo successivo è inserirli in un modello operativo che funzioni senza interrompere la produzione.

Come funziona la sicurezza OT

La sicurezza OT opera tramite difese stratificate che tengono conto dei vincoli degli ambienti industriali.

Passo 1: Mappare l'ambiente

Il programma di sicurezza inizia con la scoperta degli asset. Si effettuano ispezioni fisiche dei dispositivi di campo, rilevamenti logici delle comunicazioni di rete e documentazione di ogni controller, sensore, HMI e workstation di ingegneria. Questo inventario si mappa direttamente ai livelli del modello Purdue, offrendo una visione chiara di ciò che esiste a ciascun livello.

Passo 2: Segmentare e isolare

Utilizzando il modello Purdue come riferimento, si stabiliscono confini di enforcement tra le zone di rete. I firewall con regole default-deny controllano il traffico a ogni confine. La DMZ al Livello 3.5 ospita servizi condivisi come historian e server di reportistica, impedendo la comunicazione diretta tra la rete aziendale e i sistemi di controllo.

Passo 3: Stabilire baseline

I PLC eseguono ripetutamente la stessa logica di controllo. Gli intervalli di polling SCADA seguono orari fissi. Si catturano questi schemi di comunicazione normali come baseline, quindi si segnalano le deviazioni: comandi di protocollo inattesi, nuove connessioni tra dispositivi che non avevano mai comunicato prima o modifiche alla logica dei PLC.

Passo 4: Monitorare e rispondere

Il monitoraggio continuo osserva il traffico di rete ai confini di enforcement e all'interno delle zone. Quando emergono anomalie, come un comando di scrittura non autorizzato a un PLC o una connessione inattesa dalla rete aziendale a un controller di Livello 1, si attivano le procedure di risposta. La  risposta agli incidenti OT differisce da quella IT perché isolare un sistema compromesso può interrompere un processo critico. I piani di risposta devono considerare la continuità operativa e la sicurezza fisica.

Passo 5: Mantenere tramite gestione del ciclo di vita

La sicurezza OT non è una distribuzione una tantum. Si aggiornano continuamente gli inventari degli asset, si rivaluta il rischio all'emergere di nuove vulnerabilità e si testano i controlli compensativi quando le patch non sono disponibili. Si incrociano le valutazioni delle vulnerabilità con il  Catalogo delle Vulnerabilità Sfruttate Conosciute di CISA per dare priorità alla remediation.

Una volta che questi passaggi sono eseguiti in modo affidabile, la domanda successiva è dove è più probabile che gli attaccanti entrino: sempre più spesso, la risposta è il confine IT/OT convergente.

Perché la convergenza IT/OT aumenta il rischio

Il più grande cambiamento strutturale nella sicurezza OT è la convergenza delle reti IT e OT. Secondo un rapporto DOE sulla supply chain, questa convergenza "continua ad aumentare", creando nuovi rischi man mano che i sistemi del settore energetico collegano ICT e OT per ottenere efficienza. Il rapporto NSTAC evidenzia il paradosso: la connettività offre vantaggi di efficienza ma espone i sistemi OT a minacce per cui non erano stati progettati.

La convergenza crea percorsi di attacco specifici che il programma di sicurezza deve affrontare:

• Architetture di rete piatte in cui gli attaccanti si spostano lateralmente negli ambienti SCADA perché i confini di rete sono deboli o inesistenti, secondo il rapporto CISA.
• Sfruttamento di protocolli legacy tramite protocolli industriali non cifrati come Modbus, DNP3 e ICCP che trasmettono dati senza crittografia o autenticazione.
• Vulnerabilità di accesso remoto tramite VPN e canali di supporto fornitori che bypassano autenticazione o monitoraggio adeguati.

Per i responsabili della sicurezza che gestiscono ambienti convergenti, il lato IT della rete è il principale punto di ingresso attraverso cui gli avversari raggiungono gli asset OT. Se già ragioni in termini di approccio  XDR, applica la stessa mentalità di visibilità ai percorsi che collegano gli endpoint aziendali alla rete di controllo. Comprendere questi percorsi rivela anche perché costruire un programma di sicurezza OT è difficile nella pratica.

Sfide nella sicurezza OT

Costruire un programma di sicurezza OT presenta ostacoli distinti, anche con framework consolidati e linee guida governative.

1. Sistemi legacy che non possono essere aggiornati: Il rapporto DOE sottolinea che i dispositivi SCADA legacy non sono stati progettati con la cybersecurity in mente e che tentare di aggiornarli potrebbe rompere dipendenze con altri sistemi connessi. Potresti dover proteggere PLC che eseguono sistemi operativi non supportati con password hardcoded, protocolli non cifrati e nessuna possibilità di patch senza test approfonditi o interruzioni di sistema.
2. Restrizioni sui tempi di inattività operativa: Applicare patch ai sistemi OT richiede downtime. Per una centrale elettrica o un impianto di trattamento acque attivo 24/7, qualsiasi interruzione comporta un rischio. Questo vincolo costringe a fare affidamento più spesso su controlli compensativi che su remediation diretta.
3. Attori delle minacce diversificati: Sia attori statali sofisticati sia hacktivisti poco esperti ora prendono di mira l'OT. Secondo un avviso congiunto del dicembre 2025, gruppi hacktivisti pro-Russia hanno colpito con successo reti SCADA usando metodi basilari, in alcuni casi eseguendo attacchi DDoS simultanei per facilitare intrusioni SCADA. Nel frattempo, un alert CISA descrive come gli attaccanti abbiano interrotto Prykarpattyaoblenergo in Ucraina nel 2015, lasciando circa 225.000 clienti senza elettricità per diverse ore.
4. Coordinamento cross-funzionale: La sicurezza OT richiede collaborazione tra sicurezza IT, ingegneri di controllo, operatori di impianto e personale di sicurezza fisica. Nessuna singola disciplina ha la visione completa. Il rapporto SANS 2025 ha rilevato che le organizzazioni che includono tecnici di campo nelle esercitazioni tabletop sono quasi il doppio più pronte a rispondere realmente.
5. Lacune di visibilità nell'ambiente OT: Dispositivi dormienti, asset non documentati e connessioni cifrate dei fornitori creano punti ciechi. Secondo il rapporto SANS 2025, il 49% degli incidenti viene ora identificato entro 24 ore, ma quasi 1 su 5 richiede oltre un mese per essere risolto.

Questi vincoli non cambiano l'obiettivo, ma rimodellano il playbook. I framework riconosciuti forniscono la struttura per affrontarli in modo sistematico.

Framework e conformità per la sicurezza OT

Diversi framework guidano come le organizzazioni costruiscono e misurano i programmi di sicurezza OT. I tre più adottati sono NIST SP 800-82, IEC 62443 e NERC CIP. Ognuno svolge una funzione diversa e la maggior parte dei programmi maturi attinge da più di uno.

NIST SP 800-82 Revisione 3, pubblicato a settembre 2023, è la principale guida federale statunitense per la sicurezza dei sistemi di controllo industriale. Fornisce un approccio basato sul rischio alla sicurezza OT e si allinea con il NIST Cybersecurity Framework 2.0, incluso il nuovo Govern function che eleva la governance della cybersecurity OT a livello organizzativo. NIST SP 800-82 è descrittivo piuttosto che prescrittivo: indica cosa considerare e come valutare il rischio, ma lascia le decisioni di implementazione specifiche a ciascuna organizzazione. Pensalo come lo scheletro della gestione del programma.

IEC 62443, mantenuto congiuntamente da ISA e IEC, colma i dettagli tecnici che NIST SP 800-82 lascia aperti. Dove NIST descrive cosa raggiungere, IEC 62443 definisce come strutturare il programma per arrivarci. È normativo, coprendo concetti generali, policy e procedure, sicurezza a livello di sistema e di componente attraverso quattro serie di standard. Il suo contributo distintivo è il modello Security Level (SL), che mappa i controlli alla capacità dell'attore della minaccia che le difese devono fronteggiare:

• SL-1: Protezione contro esposizione accidentale o involontaria.
• SL-2: Protezione contro attacchi intenzionali con metodi basilari e risorse limitate.
• SL-3: Protezione contro attacchi sofisticati con risorse moderate e conoscenze specifiche di automazione.
• SL-4: Protezione contro avversari statali o ben finanziati con profonda esperienza OT.

Il modello zone e condotti all'interno di IEC 62443 informa direttamente come le organizzazioni implementano la segmentazione Purdue descritta in precedenza.

Gli standard NERC CIP (Critical Infrastructure Protection) adottano un approccio completamente diverso. Sono obbligatori per gli operatori del sistema elettrico all'ingrosso in Nord America e prescrivono controlli di sicurezza specifici per identificazione degli asset, gestione degli accessi, reporting degli incidenti e pianificazione del recupero. Le organizzazioni soggette a NERC CIP affrontano requisiti verificabili con sanzioni per la non conformità. Se operi nel settore energetico, NERC CIP non è opzionale.

Il rapporto SANS 2025 conferma che le organizzazioni regolamentate non subiscono meno incidenti rispetto ai pari, ma registrano circa il 50% in meno di perdite finanziarie e impatti sulla sicurezza quando si verificano incidenti. La conformità impone investimenti in capacità fondamentali, tra cui visibilità degli asset, logging e rilevamento delle modifiche, che sono anche i blocchi fondamentali di un'efficace rilevazione e risposta alle minacce.

In pratica, questi framework funzionano meglio in combinazione. Usa NIST SP 800-82 come struttura di gestione del programma e IEC 62443 come specifica tecnica di implementazione. Anche le organizzazioni senza obblighi normativi traggono vantaggio dall'adozione di questi standard come percorsi strutturati di maturità. Con questa base, puoi tradurre i requisiti dei framework in pratiche operative quotidiane.

Best practice per la sicurezza OT

Basandosi su NIST SP 800-82r3, standard IEC 62443 e linee guida pubblicate da CISA, le seguenti pratiche costituiscono la base di un programma di sicurezza OT maturo.

1. Implementa una segmentazione di rete defense-in-depth. Segui il modello Purdue per stabilire zone gerarchiche con firewall che applicano regole default-deny a ogni confine. Non consentire mai traffico diretto tra reti IT aziendali e reti di controllo OT.
2. Mantieni un inventario degli asset continuamente aggiornato. Segui l'approccio a fasi di CISA: definisci ambito e governance, esegui rilevamenti fisici e logici e registra attributi prioritari tra cui criticità, versioni firmware e configurazioni di sicurezza. Considera i dispositivi dormienti.
3. Applica l'autenticazione a più fattori per tutti gli accessi remoti. Utilizza jump server in segmenti DMZ, concedi accesso basato sui ruoli temporaneo ai fornitori e registra tutte le sessioni remote. Elimina la connettività diretta alla rete OT da parte di soggetti esterni.
4. Adotta una gestione delle patch basata sul rischio. Pianifica le patch durante finestre di manutenzione programmate. Quando il patching non è fattibile, implementa controlli compensativi: application whitelisting, segmentazione rafforzata e monitoraggio aumentato. Incrocia le vulnerabilità con il Catalogo delle Vulnerabilità Sfruttate Conosciute di CISA.
5. Implementa il monitoraggio comportamentale specifico OT. Definisci baseline dei pattern di comunicazione normali e segnala le deviazioni. Monitora i protocolli industriali (Modbus, DNP3, OPC-UA) per comandi non autorizzati. Integra il monitoraggio con le operazioni di sicurezza più ampie per una visibilità unificata.
6. Costruisci piani di risposta agli incidenti cross-funzionali. Coinvolgi ingegneri di controllo e operatori di impianto insieme al personale di sicurezza IT. Conduci esercitazioni tabletop guidate dall'ingegneria che simulano scenari in cui isolare un dispositivo compromesso potrebbe interrompere processi critici.

Estendere queste best practice nelle operazioni quotidiane inizia con il rafforzamento dei controlli lato IT che gli avversari utilizzano più spesso per raggiungere l'OT.

Punti chiave

La sicurezza OT protegge i sistemi industriali che controllano i processi fisici nelle infrastrutture critiche, dando priorità a disponibilità e sicurezza rispetto alla riservatezza dei dati. La convergenza IT/OT ha ampliato la superficie di attacco, mettendo a rischio i sistemi legacy. Un programma efficace richiede segmentazione defense-in-depth basata sul modello Purdue, inventario rigoroso degli asset, gestione delle patch basata sul rischio e monitoraggio comportamentale specifico OT. 

Framework come NIST SP 800-82 e IEC 62443 forniscono percorsi strutturati di maturità e la messa in sicurezza del confine IT con protezione autonoma riduce direttamente il rischio per gli ambienti operativi connessi.

Domande frequenti

Che cos'è la sicurezza OT?

La sicurezza OT è la pratica di proteggere i sistemi hardware e software che monitorano e controllano i processi fisici negli ambienti industriali. Questi sistemi includono ICS, reti SCADA, DCS e PLC presenti in settori come energia, produzione, trattamento delle acque e trasporti. 

La sicurezza OT dà priorità alla disponibilità e alla sicurezza rispetto alla riservatezza dei dati, poiché i guasti in questi sistemi possono causare danni alle apparecchiature, danni ambientali o minacce alla vita umana.

In che modo la DMZ del modello Purdue protegge le reti OT?

Il livello 3.5 funge da punto di scambio controllato dove risiedono servizi condivisi come data historian e server di reportistica. Il traffico proveniente dall’IT aziendale termina nella DMZ invece di proseguire direttamente verso i sistemi di controllo. I firewall applicano regole rigorose e specifiche per protocollo su entrambi i confini: uno rivolto alle reti aziendali e un altro rivolto alle zone OT. 

Le connessioni sono unidirezionali ove possibile, utilizzando data diode o gateway unidirezionali che consentono ai dati OT di fluire verso l’esterno per l’analisi aziendale, bloccando al contempo i comandi in ingresso.

Quali sono i vettori di attacco OT più comuni?

Gli aggressori sfruttano principalmente una gestione debole delle credenziali, gateway VPN non aggiornati e dispositivi OT esposti su internet. Il spear-phishing rivolto alle workstation di ingegneria che collegano le reti IT e OT rimane altamente efficace. 

Le compromissioni della supply chain tramite aggiornamenti firmware dannosi o software di fornitori compromessi introducono backdoor persistenti. Le organizzazioni si difendono applicando politiche di rotazione delle credenziali su tutti i dispositivi OT, implementando il monitoraggio passivo della rete, il controllo degli accessi di rete ai confini delle zone e richiedendo ai fornitori l'utilizzo di jump host dedicati con registrazione delle sessioni.

Come si proteggono i sistemi OT legacy che non possono essere aggiornati?

Isolare i sistemi legacy utilizzando gateway unidirezionali che consentono il flusso di dati in uscita per il monitoraggio bloccando i comandi in ingresso, prevenendo lo sfruttamento remoto. Distribuire tap di rete passivi per la visibilità senza introdurre latenza. 

Limitare l'accesso fisico tramite serrature, badge e sigilli antimanomissione sui pannelli di controllo. Utilizzare firewall consapevoli del protocollo che consentono solo specifiche sequenze di comandi industriali bloccando i codici funzione non autorizzati. Implementare politiche di accesso basate sul tempo che disabilitano la connettività remota al di fuori delle finestre di manutenzione.

Cosa dovrebbe includere un piano di risposta agli incidenti OT?

Il tuo piano di risposta agli incidenti OT deve predefinire soglie specifiche per i processi che attivano percorsi di risposta alternativi. Classifica gli asset in base alla criticità e pre-autorizza le azioni: isola immediatamente i sistemi non critici; per i controller mission-critical, esegui operazioni in modalità degradata utilizzando comandi manuali o backup ridondanti mentre contieni gli attaccanti a monte. 

Stabilisci alberi decisionali che consentano agli operatori della control room di eseguire protocolli di sicurezza predefiniti senza attendere l'approvazione della sicurezza. Documenta gli stati di fail-safe per ogni processo controllato affinché i responder sappiano quali sistemi possono essere spenti in sicurezza e quali richiedono un funzionamento continuo.

Perché la protezione degli endpoint lato IT è importante per la sicurezza OT?

La maggior parte degli attacchi che prendono di mira i sistemi OT ha origine dalla rete IT e si sposta lateralmente verso le zone operative. Proteggere gli endpoint IT, le identità e i carichi di lavoro cloud con capacità di risposta autonoma blocca gli attaccanti prima che raggiungano il confine IT/OT. 

L’AI comportamentale sugli endpoint IT può rilevare e contenere movimenti laterali in tempo reale, riducendo la finestra di esposizione per gli asset OT connessi. Questo rende la protezione lato IT uno strato fondamentale di qualsiasi programma di sicurezza per ambienti convergenti.