Il produttore italiano di alluminio Indinvest LT sta collaborando con Rockwell Automation e H.S. Automation a una valutazione completa del proprio livello di cybersicurezza della tecnologia operativa. L'iniziativa è progettata per identificare le vulnerabilità, valutare i controlli esistenti, stabilire le priorità di remediation e creare una roadmap che supporti la continuità aziendale man mano che i sistemi di produzione diventano più connessi.

Indinvest LT gestisce una fonderia integrata per billette e impianti di estrusione a Cisterna di Latina, al servizio dei mercati industriale e architettonico. Queste attività combinano apparecchiature di processo ad alta intensità energetica, azionamenti, PLC, sistemi di supervisione, dati sulla qualità e interfacce aziendali. In un ambiente di questo tipo, la cybersicurezza non è un obiettivo IT isolato. Una scansione pianificata male, una connessione remota non gestita o un controller non disponibile possono influire sulla produzione, sulla qualità del prodotto, sull'integrità delle apparecchiature e sulla sicurezza.

Perché una valutazione dovrebbe precedere l'acquisto di una tecnologia

Molti programmi di sicurezza industriale iniziano acquistando un'appliance di monitoraggio o un firewall. Può essere utile, ma gli strumenti non possono compensare un inventario degli asset incompleto, responsabilità poco chiare o flussi di dati non documentati. Una valutazione strutturata stabilisce cosa esiste, quali processi sono critici, come comunicano i sistemi e cosa comporterebbe operativamente un guasto. Solo a quel punto uno stabilimento può classificare i controlli in base alla riduzione del rischio, anziché all'urgenza dettata dal marketing.

Rockwell afferma che la sua OT Cybersecurity Assessment Suite è allineata alle linee guida IEC 62443 e NIST. Il valore di questi framework risiede nella capacità di trasformare un'ampia preoccupazione per la sicurezza in attività ripetibili: governance, identificazione degli asset, segmentazione, controllo degli accessi, gestione delle vulnerabilità, backup, risposta agli incidenti e miglioramento continuo. La valutazione non dovrebbe essere trattata come un rapporto di conformità una tantum. Dovrebbe produrre un registro delle azioni assegnato a responsabili, con persone incaricate, date, dipendenze e criteri di verifica.

L'analisi di PLC ProTech sulle lacune nella pianificazione SCADA e nella cybersicurezza OT spiega perché architettura e governance debbano essere affrontate insieme, anziché dopo la messa in servizio.

La discovery passiva protegge gli asset di produzione fragili

L'identificazione degli asset in uno stabilimento operativo deve essere prudente. Gli scanner convenzionali per le vulnerabilità aziendali possono sovraccaricare i moduli di comunicazione più vecchi o provocare guasti nei gateway legacy. Un piano di discovery sicuro inizia generalmente dalla configurazione degli switch, dai progetti dei controller, dagli schemi, dai registri di manutenzione e dall'osservazione passiva della rete. L'interrogazione attiva viene quindi limitata, programmata e testata su apparecchiature rappresentative.

L'inventario dovrebbe registrare più dei soli indirizzi IP. I dati utili includono il responsabile dell'asset, la posizione, la funzione, il firmware, il sistema operativo, il percorso di comunicazione, il metodo di ripristino supportato, lo stato del ciclo di vita indicato dal fornitore e le conseguenze di un'eventuale perdita. In una linea di alluminio, una piccola workstation di ingegneria può essere più critica dal punto di vista operativo di un grande server, se rappresenta l'unico percorso supportato verso un PLC legacy.

Mappatura della cella di estrusione

Un'area di estrusione può includere controlli del forno, movimentazione delle billette, PLC delle presse, unità di potenza idraulica, estrattori, seghe, sistemi di raffreddamento, controller di sicurezza, storici e sistemi di qualità. La valutazione dovrebbe mappare sia il traffico della produzione normale sia le connessioni eccezionali utilizzate durante la manutenzione. Una VPN del fornitore aperta solo due volte l'anno può rappresentare un percorso non monitorato più ampio rispetto alla rete dei controller osservata continuamente.

I diagrammi dei flussi di dati aiutano a individuare i punti in cui la fiducia attraversa i confini. Le connessioni tra i dispositivi di campo e i sistemi aziendali dovrebbero passare attraverso conduit definiti. L'accesso degli ingegneri dovrebbe utilizzare account nominativi, autorizzazioni a tempo limitato e sessioni registrate ove possibile. Credenziali condivise e tunnel dei fornitori sempre attivi rendono difficile l'attribuzione delle responsabilità e aumentano l'impatto di un laptop compromesso.

La segmentazione deve rispettare le dipendenze della produzione

L'approccio a zone e conduit della IEC 62443 è efficace perché raggruppa gli asset in base a funzione, criticità e requisiti di sicurezza. Una rete di stabilimento piatta consente a malware o configurazioni errate di propagarsi ampiamente. La segmentazione limita tale movimento, ma una policy firewall eccessivamente aggressiva può interrompere il traffico di controllo sensibile ai tempi. Prima dell'applicazione delle regole, gli ingegneri hanno bisogno di una matrice di comunicazione verificata.

Un'implementazione pratica inizia spesso in modalità di monitoraggio. I team osservano protocolli ed endpoint effettivi, li confrontano con il progetto previsto e analizzano le eccezioni. Le regole vengono poi rese più restrittive durante finestre controllate. Devono essere inclusi servizi essenziali come la sincronizzazione dell'ora, l'autenticazione del dominio, la raccolta dei dati dagli storici, le licenze e i backup. Le regole temporanee di messa in servizio dovrebbero avere responsabili e date di scadenza.

La classificazione del rischio deve includere le conseguenze fisiche

La valutazione del rischio aziendale spesso pone l'accento sulla riservatezza dei dati. I sistemi industriali aggiungono disponibilità, integrità, sicurezza, impatto ambientale e tempi di ripristino. Una vulnerabilità sfruttabile da remoto su un display non critico può avere una priorità inferiore rispetto a un controller non supportato che può essere ripristinato solo da una stazione di programmazione obsoleta. La valutazione dovrebbe combinare la sfruttabilità con le conseguenze sul processo e le misure di sicurezza già esistenti.

È quindi importante che Indinvest LT si concentri su una roadmap basata sul rischio. Il risultato dovrebbe distinguere tra contenimento immediato, modifiche ingegneristiche pianificate e rischio residuo accettato. Le azioni a breve termine potrebbero includere la rimozione degli accessi remoti inutilizzati, la modifica delle credenziali predefinite, la verifica dei backup e l'isolamento degli asset non supportati. I progetti più lunghi possono riguardare aggiornamenti degli switch, l'architettura delle identità, gateway per l'accesso remoto sicuro o la migrazione dei controller.

Negli ambienti basati principalmente su Rockwell, la governance del firmware è particolarmente rilevante. La guida decisionale di PLC ProTech sul firmware ControlLogix mostra perché compatibilità, conversione dei progetti, moduli di comunicazione e pianificazione del rollback debbano essere valutati prima di un aggiornamento motivato dalla sicurezza.

I backup sono utili solo quando il ripristino viene provato

Una valutazione dovrebbe verificare i programmi dei controller, le applicazioni HMI, i parametri degli azionamenti, i progetti di sicurezza, le ricette, i certificati e le licenze, non solo le immagini dei server. Le copie devono avere etichette di versione e protezione offline o immutabile. Dovrebbe essere eseguita almeno un'esercitazione di ripristino su apparecchiature di riserva o virtualizzate. Il tempo necessario per trovare il software, attivare le licenze, stabilire la comunicazione e ripristinare un progetto noto e funzionante spesso supera il tempo effettivo del download.

Anche i piani di risposta agli incidenti devono definire i ruoli nello stabilimento. Gli operatori devono sapere quali sintomi richiedono un'escalation. Gli ingegneri dei sistemi di controllo hanno bisogno di procedure per preservare le evidenze senza prolungare il fermo. I responsabili IT devono avere una regola chiara che vieti di isolare o riavviare gli asset operativi senza l'autorizzazione del processo. Le esercitazioni teoriche possono far emergere ipotesi contrastanti prima di un evento reale.

La conoscenza locale dell'integrazione è un controllo strategico

H.S. Automation, partner Gold di Rockwell PartnerNetwork specializzato in impianti per la produzione di profili in alluminio, sta realizzando la valutazione. Questa conoscenza locale dei processi può rendere le raccomandazioni più applicabili. I controlli di sicurezza che ignorano sequenze produttive, finestre di fermo o limiti di supporto delle apparecchiature tendono a rimanere sulla carta. Un partner che conosce i macchinari può tradurre il rischio in modifiche che manutenzione e operations siano in grado di sostenere.

Il successo non sarà misurato dal numero di risultati individuati. Sarà misurato dalla capacità di Indinvest LT di ottenere una baseline aggiornata degli asset, un elenco di priorità difendibile, capacità di ripristino più solide e un ciclo di revisione ripetibile. La maturità della cybersicurezza è visibile quando le eccezioni sono documentate, gli accessi temporanei scadono, i backup vengono testati, le modifiche sono tracciabili e la direzione sa spiegare quali rischi di produzione rimangono.

Questa iniziativa rappresenta un modello utile per i produttori che stanno modernizzando stabilimenti longevi. Occorre partire dalle evidenze, classificare le priorità in base alle conseguenze operative, implementare in fasi controllate e verificare che ogni controllo funzioni nelle reali condizioni di produzione. È così che una valutazione si trasforma in resilienza, anziché in un altro rapporto.