In fabbrica, perdere un HMI (Human-Machine Interface) non significa semplicemente spegnere uno schermo. Attraverso l’interfaccia uomo-macchina gli operatori visualizzano allarmi e parametri, controllano lo stato degli impianti e, quando autorizzati, intervengono sul processo.

La compromissione del terminale può quindi sottrarre visibilità proprio quando sarebbe più necessaria oppure consentire modifiche non autorizzate.

Proteggere gli HMI significa, di conseguenza, proteggere uno dei punti nei quali mondo digitale e processo fisico entrano direttamente in contatto.

Il ruolo degli HMI e dei terminali di linea nella continuità dei processi

All’interno dell’architettura OT, le interfacce uomo-macchina svolgono una funzione apparentemente semplice ma operativamente essenziale: rappresentano le informazioni provenienti dal processo in una forma utilizzabile dall’operatore e gli consentono di interagire con il sistema.

Il loro livello di criticità dipende dall’architettura e dall’applicazione.

In alcuni impianti, un singolo terminale controlla una macchina; in altri, più HMI partecipano alla supervisione di linee complesse e dialogano con PLC, sistemi SCADA e altre componenti dell’infrastruttura industriale.

Definizione di Human Machine Interface e funzione dei pannelli operatore

HMI è l’acronimo di Human Machine Interface e identifica l’interfaccia attraverso la quale una persona può osservare e, nei limiti delle proprie autorizzazioni, controllare una macchina o un processo.

In ambito industriale può assumere diverse forme: pannelli operatore touch installati direttamente sulla macchina, workstation, thin client o applicazioni software utilizzate per rappresentare lo stato del processo.

L’interfaccia può mostrare temperature, pressioni, velocità, livelli, stato dei dispositivi e allarmi. Può inoltre consentire operazioni quali avvio e arresto, selezione delle ricette produttive, modifica di setpoint o gestione di determinate configurazioni.

Proprio la capacità di modificare il comportamento del processo rende l’integrità dell’HMI particolarmente importante.

L’operatore deve poter confidare nel fatto che ciò che vede rappresenti realmente lo stato dell’impianto e che i comandi impartiti vengano eseguiti come previsto.

Dal controllo locale alla supervisione integrata dell’architettura OT

L’evoluzione della fabbrica connessa ha progressivamente trasformato anche gli HMI.

Il terminale isolato collegato a una singola macchina convive oggi con architetture nelle quali dati e informazioni vengono scambiati tra PLC, SCADA, historian, MES e altri sistemi aziendali.

Questo migliora la visibilità sul processo e consente una gestione più integrata della produzione, ma aumenta contemporaneamente le dipendenze.

Un HMI può comunicare con diversi sistemi attraverso la rete industriale, essere amministrato da remoto oppure dipendere da servizi centralizzati per alcune funzionalità.

Di conseguenza, la sua superficie di attacco non coincide più necessariamente con il dispositivo fisico installato sulla linea.

Per valutarne la sicurezza bisogna conoscere quali sistemi raggiunge, quali sistemi possono raggiungerlo e quali funzioni diventano indisponibili se il terminale smette di funzionare.

Rischi informatici e vulnerabilità dei terminali di interfaccia industriali

Gli HMI condividono alcune problematiche tipiche dei normali endpoint, ma operano in un ambiente nel quale disponibilità e integrità possono avere conseguenze dirette sul processo fisico.

Sistemi operativi embedded, applicazioni proprietarie, servizi di rete e strumenti di gestione possono presentare vulnerabilità. Il problema diventa più complesso quando il terminale appartiene a una generazione tecnologica per la quale gli aggiornamenti sono limitati o non più disponibili.

Vettori di attacco su pannelli touch e sistemi operativi embedded

Dietro un pannello touch industriale esiste un sistema digitale che deve essere configurato, aggiornato e protetto.

Le possibili superfici di attacco comprendono servizi di rete esposti, vulnerabilità del sistema operativo o dell’applicazione HMI, credenziali deboli, porte fisiche accessibili e strumenti di amministrazione remota.

Anche supporti rimovibili e laptop utilizzati per la manutenzione possono rappresentare un possibile vettore di introduzione di malware nell’ambiente.

Nei terminali più datati può inoltre essere impossibile installare moderni strumenti endpoint oppure applicare rapidamente gli aggiornamenti senza verificarne prima la compatibilità con il software industriale.

La protezione deve quindi seguire un approccio multilivello: hardening, riduzione dei servizi non necessari, controllo degli accessi, segmentazione e monitoraggio devono compensare i limiti del singolo dispositivo.

L’obiettivo è ridurre contemporaneamente probabilità di compromissione e capacità dell’attaccante di utilizzare l’HMI come punto di ingresso verso altri sistemi OT.

Implicazioni del fermo macchina causato da compromissioni HMI

La compromissione di un HMI non determina necessariamente il fermo automatico del processo. Molti sistemi di controllo continuano a eseguire le proprie logiche indipendentemente dalla disponibilità dell’interfaccia.

Ciò non significa però che la perdita dell’HMI sia irrilevante.

L’operatore potrebbe non riuscire più a visualizzare correttamente lo stato della macchina, riconoscere gli allarmi o intervenire sul processo. In queste condizioni, le procedure operative possono imporre il rallentamento o l’arresto della produzione.

Ancora più delicato è lo scenario nel quale il terminale continua apparentemente a funzionare ma le informazioni visualizzate non sono affidabili.

La manipolazione dell’interfaccia può infatti essere più difficile da identificare rispetto alla sua completa indisponibilità.

Per questo il rischio deve essere valutato chiedendosi non soltanto quanto costa sostituire il terminale, ma quali conseguenze produce la perdita di fiducia nelle informazioni che mette a disposizione dell’operatore.

Sicurezza e gestione degli accessi per i pannelli di controllo di fabbrica

Poiché l’HMI permette di interagire con il processo, la gestione delle autorizzazioni rappresenta una delle prime linee di difesa.

Non tutti gli utenti dovrebbero poter eseguire le stesse operazioni e, soprattutto, le funzioni più critiche non dovrebbero essere disponibili senza adeguati controlli.

Autenticazione degli operatori e profilazione dei permessi di modifica

L’utilizzo di account condivisi e credenziali comuni a più operatori rende difficile attribuire le attività e aumenta il rischio di modifiche non autorizzate.

Quando le caratteristiche tecniche del sistema lo consentono, gli utenti dovrebbero essere identificati individualmente e associati a profili coerenti con il proprio ruolo.

Un operatore può avere necessità di avviare o fermare determinate funzioni, mentre un manutentore può dover modificare configurazioni alle quali il primo non dovrebbe accedere.

Gli account amministrativi dovrebbero essere ulteriormente limitati e utilizzati soltanto quando necessario.

Particolare attenzione deve essere dedicata ai sistemi legacy che non supportano meccanismi moderni di autenticazione. In questi casi possono essere necessarie misure compensative a livello di rete, postazione o procedura.

La regola rimane quella del least privilege: ogni soggetto deve poter compiere soltanto le azioni necessarie allo svolgimento della propria attività.

Protezione delle connessioni remote per la manutenzione dei terminali

La manutenzione remota è utile per ridurre tempi e costi degli interventi, soprattutto quando gli impianti sono distribuiti geograficamente.

Ma una connessione utilizzata da tecnici e fornitori può diventare anche un percorso privilegiato verso l’ambiente OT.

Gli accessi remoti dovrebbero quindi essere autorizzati soltanto quando necessari, autenticati in modo robusto e limitati ai sistemi effettivamente interessati dall’intervento.

Dove tecnicamente possibile, è opportuno evitare connessioni permanenti e applicare principi di accesso temporaneo e minimo privilegio.

Anche il dispositivo dal quale parte la sessione deve essere considerato nel modello di rischio. Proteggere il gateway remoto serve a poco se il computer del manutentore è già compromesso.

Registrazione delle sessioni, logging degli accessi e procedure di approvazione permettono inoltre di migliorare la tracciabilità delle operazioni effettuate.

Strategie per garantire la resilienza operativa e prevenire i blocchi di linea

Proteggere l’HMI significa anche prepararsi alla possibilità che diventi indisponibile.

La resilienza deve partire dalla criticità del processo: quanto tempo può funzionare la linea senza quel terminale? Esistono modalità alternative di supervisione? Quanto serve per sostituirlo e ripristinarne configurazione e progetto?

Rispondere prima dell’incidente consente di trasformare il recovery da improvvisazione a processo pianificato.

Ridondanza dell’hardware e gestione dei backup dei progetti HMI

Per le applicazioni più critiche può essere opportuno prevedere terminali sostitutivi, ridondanza o altre modalità attraverso cui mantenere la capacità di supervisione in caso di guasto.

La disponibilità dell’hardware, tuttavia, è soltanto una parte del problema.

Per ricostruire un HMI servono software, configurazioni, progetto grafico, driver, certificati e altre informazioni che possono dipendere dal prodotto utilizzato.

I backup devono quindi comprendere tutti gli elementi necessari a ricreare il sistema e devono essere protetti da modifiche non autorizzate.

Soprattutto, devono essere testati.

Scoprire durante un incidente che il progetto disponibile è vecchio di diversi anni o che il software necessario per aprirlo non è più reperibile può trasformare la sostituzione di un terminale in un fermo molto più lungo del previsto.

Una strategia di recovery efficace deve quindi conoscere RTO realistici e dipendenze necessarie al ripristino, non limitarsi a dichiarare che “esiste un backup”.

Segmentazione di rete tra interfacce uomo macchina e rete aziendale

Un HMI non dovrebbe poter comunicare liberamente con l’intera rete aziendale soltanto perché appartiene alla stessa organizzazione.

La segmentazione consente di separare i livelli dell’architettura e controllare i flussi tra terminali, PLC, sistemi di supervisione e infrastrutture IT.

Le comunicazioni devono essere autorizzate sulla base delle effettive esigenze operative.

Questo riduce sia la probabilità che una compromissione proveniente dall’IT raggiunga direttamente gli HMI sia la possibilità che un terminale compromesso venga utilizzato per muoversi lateralmente nell’infrastruttura.

Per i sistemi più datati, incapaci di implementare direttamente funzioni avanzate di sicurezza, la segmentazione assume un valore ancora maggiore come controllo compensativo.

La resilienza deriva infatti anche dalla capacità di contenere l’incidente: un singolo terminale compromesso non dovrebbe diventare automaticamente un problema dell’intera fabbrica.

Questa capacità di prevenire che una debolezza tecnologica produca conseguenze sproporzionate contribuisce anche alla tutela del valore aziendale, perché riduce l’esposizione a fermi produttivi, costi di remediation e passività cyber che possono incidere sul profilo economico dell’impresa.

Adeguamento normativo e linee guida per le interfacce utente industriali

Non esiste una singola normativa europea dedicata alla cyber security degli HMI.

I terminali devono essere valutati all’interno del sistema nel quale operano, considerando gli obblighi applicabili all’organizzazione e, quando pertinente, quelli relativi al prodotto.

Questo rende importante distinguere i diversi livelli della regolamentazione.

Requisiti della direttiva NIS2 e del Cyber Resilience Act sui terminali

La direttiva NIS2 non stabilisce requisiti tecnici specifici per i pannelli HMI.

Per i soggetti che rientrano nel suo campo di applicazione richiede però misure tecniche, operative e organizzative adeguate e proporzionate alla gestione del rischio cyber.

Tra gli ambiti contemplati figurano incident handling, business continuity e disaster recovery, sicurezza della supply chain, gestione delle vulnerabilità, controllo degli accessi, gestione degli asset e valutazione dell’efficacia delle misure adottate.

Un HMI critico deve quindi entrare nell’inventario e nella valutazione del rischio dell’organizzazione, essere sottoposto a misure di protezione coerenti con la sua funzione e rientrare nei processi di risposta e recovery.

Differente è la prospettiva del Cyber Resilience Act.

Il Regolamento (UE) 2024/2847 introduce requisiti orizzontali di cyber security per i prodotti con elementi digitali che rientrano nel suo campo di applicazione e disciplina obblighi per fabbricanti e altri operatori economici.

Quando un terminale o un prodotto industriale rientra nel perimetro del CRA, diventano quindi rilevanti requisiti relativi alla progettazione cyber sicura e alla gestione delle vulnerabilità lungo il periodo di supporto previsto.

NIS2 e CRA operano pertanto su piani differenti ma complementari: la prima guarda soprattutto alla gestione del rischio dell’organizzazione, il secondo alla cybersecurity del prodotto con elementi digitali.

Standard IEC 62443 e buone pratiche di protezione dell’interfaccia

Per tradurre il risk management nell’ambiente industriale, la famiglia IEC 62443 offre un riferimento particolarmente utile.

La protezione dell’HMI non deve essere affrontata isolatamente, ma considerando il sistema di automazione e controllo nel quale il terminale è inserito.

L’approccio basato su zone e conduits permette di raggruppare asset con caratteristiche e requisiti di sicurezza coerenti e controllare le comunicazioni tra le diverse parti dell’architettura.

Altri principi della famiglia IEC 62443 risultano direttamente pertinenti: identificazione e autenticazione, controllo degli accessi, integrità del sistema, restrizione dei flussi di dati, risposta agli eventi e disponibilità delle risorse.

La loro applicazione concreta deve naturalmente essere proporzionata alle capacità tecnologiche dell’HMI e al rischio associato al processo.

È questo, in definitiva, il punto centrale.

L’HMI non è semplicemente la parte visibile dell’automazione, ma un elemento attraverso il quale l’operatore costruisce la propria comprensione del processo e interviene sulla produzione.

Per questo la sua affidabilità deve essere considerata parte integrante della sicurezza OT.

Autenticazione, segmentazione, hardening e monitoraggio riducono la probabilità di compromissione; backup, ridondanza e procedure di recovery riducono invece l’impatto quando qualcosa va storto.

Ma la protezione più importante resta quella dell’integrità dell’interazione uomo-macchina: l’operatore deve poter sapere che ciò che vede è affidabile e che il comando che impartisce produce esattamente l’effetto previsto.

Quando questa fiducia viene meno, il problema non riguarda più soltanto il terminale ma la continuità dell’intero processo industriale.