Un fermo macchina causato da un ransomware non nasce necessariamente sulla linea di produzione. Può partire da una casella email compromessa, da un PC d’ufficio non aggiornato o dall’accesso remoto di un fornitore. Senza confini chiari tra rete IT e sistemi OT, l’attaccante può muoversi verso PLC, HMI, server di supervisione e infrastrutture critiche. Questa guida alla segmentazione della rete industriale sicura aiuta PMI e aziende manifatturiere a ridurre questa esposizione senza ostacolare produzione, manutenzione e raccolta dati.
Segmentare non significa semplicemente creare più VLAN. Significa progettare un’architettura in cui persone, dispositivi, applicazioni e flussi di dati possano comunicare solo quando serve, con regole verificabili e coerenti con il processo produttivo. L’obiettivo è contenere un incidente, limitare i privilegi e mantenere l’operatività anche in presenza di una compromissione.
Perché la rete piatta è un rischio operativo
In molte aziende manifatturiere la connettività è cresciuta per stratificazione. Un macchinario è stato collegato per assistenza remota, un nuovo MES ha richiesto accesso ai dati di produzione, un sistema di quality control ha aggiunto sensori e dashboard. Ogni intervento può essere stato sensato nel momento in cui è stato introdotto. Il problema emerge quando queste integrazioni restano senza una governance complessiva.
Una rete piatta consente a un utente o a un dispositivo di raggiungere risorse che non dovrebbe vedere. In un ambiente IT questo può esporre file, database e servizi cloud. In un ambiente OT le conseguenze possono essere più immediate: indisponibilità di una postazione HMI, modifica non autorizzata di parametri, blocco della supervisione, perdita di tracciabilità o arresto della produzione.
La segmentazione riduce il movimento laterale. Se un endpoint amministrativo viene compromesso, l’incidente non deve trasformarsi automaticamente in un problema di fabbrica. Il valore non è solo tecnico: meno superficie di attacco significa maggiore continuità produttiva, tempi di ripristino più gestibili e minore impatto su consegne, qualità e reputazione.
Guida alla segmentazione della rete industriale sicura: da dove partire
Il punto di partenza non è il firewall. È la conoscenza dell’ambiente. Prima di definire zone, regole e apparati, occorre costruire una mappa affidabile delle risorse e delle comunicazioni realmente necessarie.
Inventariare asset e dipendenze
L’inventario deve includere sistemi IT e OT: PC di ufficio, server, switch, access point, firewall, PLC, HMI, SCADA, gateway IIoT, telecamere, sistemi di visione, stampanti industriali, MES, ERP e dispositivi di accesso remoto. Per ogni asset servono almeno proprietario, funzione, criticità, indirizzo di rete, sistema operativo o firmware e stato di supporto.
L’aspetto decisivo è rilevare le dipendenze. Un PLC può dialogare con una HMI, ma non con tutti i computer aziendali. Il MES può raccogliere dati dal livello di supervisione, ma non deve poter programmare direttamente il controllore. Un fornitore esterno può richiedere accesso a un sistema specifico, ma non all’intera subnet di stabilimento.
Questa analisi richiede confronto tra IT, responsabili di produzione, manutenzione, automazione e fornitori di macchine. Le sole scansioni automatiche possono essere insufficienti o persino rischiose su apparati legacy. In OT, la raccolta delle informazioni va pianificata con attenzione per non generare instabilità nei protocolli industriali.
Separare le zone in base a funzione e criticità
Una struttura efficace segue il principio delle zone e dei condotti di comunicazione. Le zone raggruppano asset con requisiti di sicurezza e operatività analoghi. I condotti definiscono i soli percorsi autorizzati tra una zona e l’altra.
In una realtà manifatturiera, una segmentazione iniziale può distinguere rete corporate, servizi condivisi, DMZ industriale, supervisione OT, celle o linee produttive, rete di manutenzione e rete guest. In alcuni casi è opportuno isolare anche sistemi di quality control, laboratori R&D, magazzini automatizzati e infrastrutture di building management.
La granularità dipende dal rischio e dal processo. Separare ogni singolo dispositivo può aumentare controllo e contenimento, ma anche costi di gestione e complessità. Al contrario, collocare tutte le linee produttive nella stessa zona può essere più semplice, ma amplifica l’impatto di un incidente. La scelta corretta deriva dalla criticità degli impianti, dai flussi necessari e dalla capacità del team di mantenere le policy nel tempo.
La DMZ industriale protegge il confine tra IT e OT
Il collegamento diretto tra sistemi corporate e rete di fabbrica è una delle configurazioni da evitare. La DMZ industriale crea un’area controllata tra IT e OT, pensata per ospitare i servizi che devono scambiare dati tra i due domini.
Qui possono risiedere, a seconda dell’architettura, server di raccolta dati, broker per integrazioni, replica di database, jump server per l’accesso amministrativo, sistemi di patch management e componenti di monitoraggio. La regola è semplice: un sistema IT non dovrebbe collegarsi direttamente a un PLC o a una HMI se il flusso può essere mediato da un componente dedicato e protetto.
Questo modello rende più tracciabili le comunicazioni. Se il gestionale deve ricevere dati di produzione, il traffico passa attraverso un servizio definito, con porte, protocolli e identità controllati. Se un tecnico deve intervenire su una macchina, accede a un jump server con autenticazione forte, registrazione delle attività e autorizzazioni limitate al perimetro necessario.
Definire policy che non fermino la fabbrica
La segmentazione efficace applica il principio del minimo privilegio: tutto ciò che non è espressamente richiesto viene bloccato. Tuttavia, in produzione una policy troppo aggressiva, introdotta senza test, può interrompere comunicazioni essenziali e creare un rischio operativo superiore a quello che intende mitigare.
Per questo le regole devono essere costruite a partire dai flussi reali. Non basta autorizzare una subnet verso un’altra. Occorre specificare sorgente, destinazione, protocollo, porta, direzione e motivazione di business. Una policy ben documentata consente anche di capire se una richiesta futura è coerente con l’architettura o introduce un’eccezione pericolosa.
Un approccio pragmatico prevede una fase di osservazione del traffico, l’applicazione progressiva delle restrizioni e test coordinati con produzione. Le finestre di manutenzione sono fondamentali, soprattutto quando sono presenti dispositivi legacy che usano protocolli non standard o non supportano funzioni di sicurezza moderne.
Accesso remoto: controllato, temporaneo, tracciabile
L’assistenza remota è spesso indispensabile, in particolare per macchine importate, linee automatizzate e software proprietari. Non deve però trasformarsi in una porta permanente verso l’impianto.
L’accesso dei fornitori va gestito tramite identità nominative, autenticazione multifattore, autorizzazioni temporanee e sessioni registrate. Un jump server nella DMZ industriale consente di evitare esposizioni dirette della rete OT. Inoltre, l’approvazione dell’accesso dovrebbe coinvolgere il responsabile interno del sistema e prevedere una scadenza automatica.
Le credenziali condivise sono incompatibili con una gestione matura: rendono difficile attribuire le attività e revocare i privilegi quando cambiano ruoli, contratti o fornitori.
Monitoraggio e gestione: la segmentazione non è un progetto una tantum
Dopo l’implementazione, la rete deve essere osservata. Il monitoraggio permette di rilevare connessioni anomale, nuovi dispositivi, tentativi di comunicazione bloccati e deviazioni rispetto ai comportamenti abituali. In un contesto industriale, sapere che un PC amministrativo tenta di raggiungere un controllore può essere un segnale da investigare subito.
Anche la documentazione deve restare aggiornata. Ogni nuova macchina, integrazione software o intervento di manutenzione può modificare il profilo di rischio. Senza un processo di change management, le eccezioni tendono ad accumularsi fino a svuotare di efficacia l’architettura iniziale.
La segmentazione va coordinata con backup testati, gestione delle vulnerabilità, protezione degli endpoint, controllo delle identità e piano di risposta agli incidenti. Nessuna singola misura è sufficiente. Una rete ben segmentata, però, rende tutte le altre difese più efficaci perché restringe dove un attacco può propagarsi.
Come misurare il valore per il business
Per una PMI, il progetto deve produrre risultati verificabili. Alcuni indicatori utili sono il numero di asset inventariati, la percentuale di flussi OT documentati, la riduzione degli accessi diretti tra IT e produzione, il tempo necessario per isolare una zona e la percentuale di accessi remoti soggetti a MFA e tracciamento.
Va considerato anche il costo dell’inazione. Un intervento di segmentazione richiede analisi, apparati, configurazioni, test e formazione. Ma un fermo produttivo non pianificato può generare ritardi, scarti, straordinari, penali contrattuali e perdita di fiducia dei clienti. Per aziende che operano con clienti internazionali, dimostrare controllo sulla cybersecurity diventa inoltre un elemento competitivo nelle qualifiche di filiera.
INGENIA affronta questi progetti partendo dai processi reali dell’impresa, non da schemi standard applicati indistintamente. La priorità è proteggere ciò che produce valore, integrando sicurezza, continuità operativa e dati industriali in un piano sostenibile.
Una segmentazione ben progettata non rende la fabbrica meno connessa. La rende connessa con intenzione: ogni scambio di dati ha uno scopo, ogni accesso ha un responsabile e ogni confine contribuisce a mantenere la produzione sotto controllo.
