Indinvest LT costruisce una roadmap di cybersecurity OT con Rockwell

Il produttore italiano di alluminio Indinvest LT sta collaborando con Rockwell Automation e H.S. Automation per una valutazione completa del proprio livello di sicurezza informatica delle tecnologie operative. L’iniziativa è progettata per identificare le vulnerabilità, valutare i controlli esistenti, stabilire le priorità degli interventi correttivi e creare una roadmap a supporto della continuità aziendale, man mano che i sistemi di produzione diventano più connessi.

Indinvest LT gestisce una fonderia integrata di billette e impianti di estrusione a Cisterna di Latina, al servizio dei mercati industriale e architettonico. Queste attività combinano apparecchiature di processo ad alto consumo energetico, azionamenti, PLC, sistemi di supervisione, dati sulla qualità e interfacce aziendali. In un simile ambiente, la sicurezza informatica non è un obiettivo IT isolato. Una scansione pianificata male, una connessione remota non gestita o un controllore non disponibile possono influire sulla produzione, sulla qualità del prodotto, sull’integrità delle apparecchiature e sulla sicurezza.

Perché una valutazione dovrebbe precedere l’acquisto di una tecnologia

Molti programmi di sicurezza industriale iniziano acquistando un dispositivo di monitoraggio o un firewall. Questo può essere utile, ma gli strumenti non possono compensare un inventario degli asset incompleto, responsabilità poco chiare o flussi di dati non documentati. Una valutazione strutturata stabilisce cosa esiste, quali processi sono critici, come comunicano i sistemi e cosa comporterebbe operativamente un guasto. Solo allora un impianto può classificare i controlli in base alla riduzione del rischio, anziché all’urgenza dettata dal marketing.

Rockwell afferma che la sua OT Cybersecurity Assessment Suite è allineata alle linee guida IEC 62443 e NIST. Il valore di questi framework risiede nella capacità di trasformare un’ampia preoccupazione in materia di sicurezza in attività ripetibili: governance, identificazione degli asset, segmentazione, controllo degli accessi, gestione delle vulnerabilità, backup, risposta agli incidenti e miglioramento continuo. La valutazione non dovrebbe essere considerata un rapporto di conformità una tantum. Dovrebbe produrre un registro delle azioni assegnato a responsabili precisi, con persone incaricate, scadenze, dipendenze e criteri di verifica.

L’analisi di PLC ProTech sulle criticità della pianificazione SCADA e le lacune nella sicurezza OT spiega perché architettura e governance debbano essere affrontate insieme, anziché dopo la messa in servizio.

La scoperta passiva protegge gli asset di produzione fragili

L’identificazione degli asset in un impianto operativo deve essere prudente. Gli scanner convenzionali delle vulnerabilità aziendali possono sovraccaricare i moduli di comunicazione più vecchi o causare guasti nei gateway legacy. Un piano di discovery sicuro inizia generalmente dalla configurazione degli switch, dai progetti dei controllori, dai disegni, dai registri di manutenzione e dall’osservazione passiva della rete. L’interrogazione attiva viene quindi limitata, programmata e testata su apparecchiature rappresentative.

L’inventario dovrebbe acquisire più dei soli indirizzi IP. Tra i dati utili figurano il responsabile dell’asset, la posizione, la funzione, il firmware, il sistema operativo, il percorso di comunicazione, il metodo di ripristino supportato, lo stato del ciclo di vita presso il fornitore e le conseguenze di una perdita. In una linea per l’alluminio, una piccola workstation di ingegneria può essere più critica dal punto di vista operativo di un grande server se rappresenta l’unico percorso supportato verso un PLC legacy.

Mappatura della cella di estrusione

Un’area di estrusione può includere controlli del forno, movimentazione delle billette, PLC delle presse, unità di potenza idraulica, estrattori, seghe, sistemi di raffreddamento, controllori di sicurezza, historian e sistemi di qualità. La valutazione dovrebbe mappare sia il traffico della produzione normale sia le connessioni eccezionali utilizzate durante la manutenzione. Una VPN del fornitore aperta solo due volte all’anno può rappresentare un percorso non monitorato più ampio rispetto alla rete dei controllori osservata continuamente.

I diagrammi dei flussi di dati aiutano a rivelare dove la fiducia attraversa i confini. Le connessioni tra i dispositivi di campo e i sistemi aziendali dovrebbero passare attraverso conduit definiti. L’accesso degli ingegneri dovrebbe utilizzare account nominativi, autorizzazioni a tempo limitato e sessioni registrate ove possibile. Credenziali condivise e tunnel dei fornitori sempre attivi rendono difficile l’attribuzione delle responsabilità e aumentano l’impatto di un laptop compromesso.

La segmentazione deve rispettare le dipendenze della produzione

L’approccio a zone e conduit della IEC 62443 è efficace perché raggruppa gli asset in base a funzione, criticità e requisiti di sicurezza. Una rete di impianto piatta consente a malware o configurazioni errate di propagarsi ampiamente. La segmentazione limita questo movimento, ma una policy firewall eccessivamente restrittiva può interrompere a sua volta il traffico di controllo sensibile ai ritardi. Prima dell’applicazione delle regole, gli ingegneri hanno bisogno di una matrice di comunicazione verificata.

Un’implementazione pratica inizia spesso in modalità di monitoraggio. I team osservano protocolli ed endpoint effettivi, li confrontano con il progetto previsto e analizzano le eccezioni. Le regole vengono quindi rese più restrittive durante finestre controllate. Devono essere inclusi servizi essenziali come sincronizzazione dell’ora, autenticazione del dominio, raccolta dati dall’historian, gestione delle licenze e backup. Le regole temporanee di messa in servizio dovrebbero avere responsabili e date di scadenza.

La classificazione del rischio deve includere le conseguenze fisiche

La valutazione del rischio aziendale spesso pone l’accento sulla riservatezza dei dati. I sistemi industriali aggiungono disponibilità, integrità, sicurezza, impatto ambientale e tempi di ripristino. Una vulnerabilità sfruttabile da remoto su un display non critico può avere una priorità inferiore rispetto a un controllore non supportato che può essere ripristinato solo da una workstation di programmazione obsoleta. La valutazione dovrebbe combinare la sfruttabilità con le conseguenze sul processo e le misure di protezione esistenti.

Per questo è importante che Indinvest LT si concentri su una roadmap basata sul rischio. Il risultato dovrebbe distinguere il contenimento immediato, le modifiche ingegneristiche pianificate e il rischio residuo accettato. Le azioni a breve termine potrebbero includere la rimozione degli accessi remoti inutilizzati, la modifica delle credenziali predefinite, la verifica dei backup e l’isolamento degli asset non supportati. I progetti più lunghi potrebbero riguardare l’aggiornamento degli switch, l’architettura delle identità, i gateway per l’accesso remoto sicuro o la migrazione dei controllori.

Negli ambienti fortemente basati su Rockwell, la governance del firmware è particolarmente rilevante. La guida decisionale di PLC ProTech sul firmware ControlLogix mostra perché compatibilità, conversione dei progetti, moduli di comunicazione e pianificazione del rollback debbano essere valutati prima di un aggiornamento motivato dalla sicurezza.

I backup sono utili solo quando il ripristino viene provato

Una valutazione dovrebbe verificare i programmi dei controllori, le applicazioni HMI, i parametri degli azionamenti, i progetti di sicurezza, le ricette, i certificati e le licenze, non solo le immagini dei server. Le copie devono avere etichette di versione e una protezione offline o immutabile. Dovrebbe essere eseguita almeno un’esercitazione di ripristino su apparecchiature di riserva o virtualizzate. Il tempo necessario per trovare il software, attivare le licenze, stabilire la comunicazione e ripristinare un progetto noto e funzionante spesso supera il tempo effettivo del download.

I piani di risposta agli incidenti devono inoltre includere i ruoli dello stabilimento. Gli operatori devono sapere quali sintomi giustificano un’escalation. Gli ingegneri di controllo hanno bisogno di procedure per preservare le prove senza prolungare il fermo. I responsabili IT devono avere una regola chiara che vieti di isolare o riavviare gli asset operativi senza autorizzazione del processo. Le esercitazioni teoriche possono far emergere ipotesi contrastanti prima di un evento reale.

La conoscenza locale dell’integrazione è un controllo strategico

H.S. Automation, un OEM di livello gold della Rockwell PartnerNetwork specializzato negli impianti per la produzione di profili in alluminio, sta realizzando la valutazione. Questa conoscenza locale dei processi può rendere le raccomandazioni più applicabili. I controlli di sicurezza che ignorano le sequenze di produzione, le finestre di fermo o i limiti di supporto delle apparecchiature tendono a rimanere sulla carta. Un partner che conosce i macchinari può tradurre il rischio in modifiche che manutenzione e operations siano in grado di sostenere.

Il successo non sarà misurato dal numero di risultati rilevati. Sarà misurato dalla capacità di Indinvest LT di disporre di una baseline aggiornata degli asset, di un elenco di priorità difendibile, di una maggiore capacità di ripristino e di un ciclo di revisione ripetibile. La maturità della sicurezza informatica è visibile quando le eccezioni sono documentate, gli accessi temporanei scadono, i backup vengono testati, le modifiche sono tracciabili e la direzione sa spiegare quali rischi di produzione rimangono.

Questa iniziativa rappresenta un modello utile per i produttori che stanno modernizzando impianti longevi. Occorre iniziare dalle evidenze, classificare le priorità in base alle conseguenze operative, implementare in fasi controllate e verificare che ogni controllo funzioni in condizioni reali di produzione. È così che una valutazione diventa resilienza, anziché un altro rapporto.