La manutenzione industriale richiede sempre più spesso che tecnici, costruttori e system integrator possano intervenire sugli impianti senza essere fisicamente presenti in fabbrica. Ma ogni accesso remoto crea anche un percorso dall’esterno verso sistemi che possono governare direttamente la produzione.

La questione non è quindi eliminare la teleassistenza, ma trasformarla in un processo governato: sapere chi entra, perché, per quanto tempo, su quali asset e quali operazioni compie prima di chiudere nuovamente il collegamento.

Cos’è l’accesso remoto industriale e perché è fondamentale per l’operatività

La crescente distribuzione geografica degli impianti e la complessità delle tecnologie industriali hanno reso l’assistenza remota una componente importante della gestione OT.

Costruttori di macchinari, integratori e fornitori specializzati possono avere competenze difficilmente disponibili all’interno di ogni stabilimento. Consentire loro di intervenire a distanza permette di accelerare diagnosi e manutenzione.

Il beneficio operativo è evidente, ma modifica il perimetro di fiducia della fabbrica.

Definizione di teleassistenza OT e gestione dei collegamenti dall’esterno

Per teleassistenza OT si intende l’insieme delle tecnologie e dei processi attraverso cui personale esterno o interno può accedere da remoto a sistemi industriali per attività quali diagnostica, configurazione, manutenzione e supporto.

Il collegamento può interessare engineering workstation, HMI, sistemi SCADA, server, gateway o, quando l’architettura lo prevede, componenti più vicini al processo.

Storicamente, molte organizzazioni hanno affrontato questa esigenza creando VPN, modem, appliance dedicate o connessioni installate direttamente dai costruttori dei macchinari.

Il problema emerge quando questi percorsi non sono conosciuti o governati centralmente.

Una connessione remota attivata anni prima per consentire l’assistenza su una macchina può rimanere operativa anche quando non serve più. Account condivisi e credenziali mai ruotate possono sopravvivere al personale che li utilizzava.

Il primo requisito di sicurezza diventa quindi la visibilità: nessun collegamento verso l’OT dovrebbe esistere senza un proprietario, una finalità e regole di utilizzo definite.

Vantaggi operativi per la manutenzione predittiva e la riduzione dei tempi di inattività

La possibilità di accedere da remoto può ridurre sensibilmente i tempi necessari per diagnosticare un guasto.

Il tecnico può analizzare log, verificare configurazioni e supportare il personale locale senza attendere una trasferta, con benefici particolarmente significativi per impianti distribuiti geograficamente.

La connettività consente inoltre di raccogliere informazioni utilizzabili per monitoraggio delle condizioni e manutenzione predittiva, anticipando alcune anomalie prima che si trasformino in guasti.

Questo può migliorare disponibilità degli asset e pianificazione degli interventi.

Ma il vantaggio deriva proprio dalla capacità del fornitore di raggiungere sistemi operativi. Più è profondo l’accesso necessario per svolgere la manutenzione, maggiore diventa l’impatto potenziale di una compromissione.

Efficienza e cybersecurity devono quindi essere progettate insieme: ridurre i tempi di inattività non può significare mantenere permanentemente aperto un percorso privilegiato verso la produzione.

I rischi di sicurezza legati all’accesso remoto di terze parti e fornitori

L’organizzazione può avere una postura cyber elevata e continuare a essere esposta attraverso soggetti esterni.

Il fornitore rappresenta infatti un dominio di sicurezza differente: utilizza propri dispositivi, account, processi e infrastrutture sui quali l’asset owner non possiede necessariamente controllo diretto.

L’accesso remoto crea un ponte tra questi due domini.

Vettori di attacco legati alle credenziali dei manutentori e ai canali non protetti

Le credenziali costituiscono uno dei rischi principali.

Password condivise, account generici, credenziali non disabilitate alla conclusione del contratto o autenticazione insufficiente possono consentire a un soggetto non autorizzato di utilizzare un canale perfettamente legittimo.

In questo scenario l’attaccante non deve necessariamente sfruttare una vulnerabilità del PLC: può presentarsi all’infrastruttura attraverso un’identità considerata valida.

Anche l’endpoint del manutentore rappresenta un elemento del rischio. Un laptop compromesso può trasformare una sessione autorizzata in un percorso verso l’ambiente industriale.

Devono inoltre essere considerati protocolli insicuri, appliance di accesso vulnerabili, servizi esposti direttamente a Internet e soluzioni di remote desktop non adeguatamente protette.

La sicurezza deve pertanto riguardare l’intera catena: identità, dispositivo, canale, destinazione e durata della sessione.

Conseguenze della compromissione dei collegamenti esterni per le reti di fabbrica

Una connessione remota eccessivamente permissiva può offrire visibilità su una porzione di rete molto più ampia di quella necessaria al manutentore.

Dopo aver compromesso l’accesso, un attaccante può tentare attività di ricognizione, movimento laterale, furto di credenziali o raggiungimento di altri sistemi OT.

La segmentazione diventa quindi determinante.

Il collegamento utilizzato per intervenire su un macchinario non dovrebbe consentire automaticamente di raggiungere altre linee o stabilimenti.

Le conseguenze possono andare dall’interruzione dell’assistenza alla compromissione di sistemi di supervisione e controllo, fino al fermo della produzione.

In una struttura multi-sito, inoltre, un’infrastruttura centralizzata di accesso remoto mal progettata può trasformarsi in un punto dal quale raggiungere più stabilimenti.

La connettività che semplifica la gestione operativa rischia così di diventare un moltiplicatore dell’impatto cyber.

Governance della supply chain e gestione degli accessi dei fornitori

La sicurezza dell’accesso remoto non può essere affidata esclusivamente alla configurazione di una VPN o di un gateway.

Serve un processo che inizi prima dell’attivazione dell’account e continui fino alla sua revoca.

La gestione delle terze parti diventa così una componente della supply chain security.

Definizione delle politiche aziendali di sicurezza per la terzietà

L’organizzazione dovrebbe stabilire requisiti minimi validi per tutti i soggetti che necessitano di accedere agli ambienti industriali.

Devono essere definiti modalità di autenticazione, dispositivi autorizzati, orari e condizioni di accesso, procedure di approvazione, logging e responsabilità in caso di incidente.

Questi requisiti dovrebbero trovare riscontro anche nei rapporti contrattuali.

Il fornitore deve sapere quali controlli deve rispettare, come comunicare un incidente che possa coinvolgere l’asset owner e in quali condizioni l’accesso può essere sospeso.

È altrettanto importante governare il ciclo di vita dell’identità.

Quando un tecnico cambia mansione, lascia il fornitore oppure termina il contratto, il relativo accesso deve essere revocato tempestivamente. Una revisione periodica permette inoltre di eliminare privilegi che nel tempo hanno perso la propria giustificazione.

L’accesso di terze parti deve essere trattato come un rischio aziendale formalmente governato, non come una semplice necessità tecnica della manutenzione.

Principio del minimo privilegio e gestione delle sessioni operative a tempo

Il fornitore dovrebbe poter raggiungere soltanto i sistemi necessari all’intervento.

Il principio del minimo privilegio assume quindi una dimensione sia logica sia temporale.

Un tecnico autorizzato a intervenire su un HMI della linea A non dovrebbe ottenere automaticamente visibilità sui PLC della linea B. Allo stesso modo, un’autorizzazione necessaria oggi non deve necessariamente rimanere valida domani.

Modelli just-in-time e just-enough-access consentono di abilitare il privilegio soltanto quando serve e limitarlo alle funzioni necessarie.

La sessione può essere subordinata all’approvazione del personale interno e chiusa automaticamente al termine della finestra autorizzata.

Questo approccio riduce drasticamente il valore di un account compromesso: l’identità può esistere, ma non possiede permanentemente un percorso utilizzabile verso l’impianto.

Soluzioni tecniche e architetture sicure per l’accesso remoto OT

La tecnologia deve tradurre le regole di governance in controlli effettivi.

L’obiettivo è evitare collegamenti diretti e indiscriminati verso la rete industriale, creando invece punti di accesso controllati attraverso i quali autenticare, autorizzare e monitorare le sessioni.

Superamento delle VPN tradizionali e adozione del modello zero trust

La VPN non è intrinsecamente insicura e continua a essere utilizzabile in numerosi scenari.

Il limite emerge quando la sua attivazione equivale a collocare il dispositivo remoto all’interno di una rete considerata implicitamente affidabile.

Un modello Zero Trust parte invece dal principio opposto: il fatto che un utente abbia superato un primo controllo non gli attribuisce fiducia generalizzata.

Identità, dispositivo e richiesta di accesso devono essere verificati e l’autorizzazione deve riguardare la risorsa necessaria, non l’intera rete.

Nell’OT questo principio può essere implementato attraverso gateway controllati, jump server, bastion host e soluzioni dedicate al privileged remote access, evitando quando possibile connessioni dirette tra il dispositivo del fornitore e gli asset industriali.

Non si tratta quindi semplicemente di “sostituire la VPN”, ma di superare il modello di fiducia implicita che può accompagnare una VPN eccessivamente permissiva.

Autenticazione a più fattori, crittografia e segmentazione dei collegamenti

L’autenticazione multi-fattore riduce il rischio che il furto della sola password sia sufficiente per ottenere accesso.

Dovrebbe essere applicata almeno ai punti di ingresso e agli account privilegiati quando tecnicamente possibile, insieme a meccanismi robusti di gestione delle identità.

Le comunicazioni remote devono inoltre essere protette da protocolli crittografici adeguati.

Ma cifrare un collegamento non significa renderlo sicuro se l’utente può raggiungere sistemi che non dovrebbe vedere.

Per questo la segmentazione rimane essenziale.

Il gateway di accesso deve consentire soltanto i percorsi necessari verso zone e asset autorizzati, evitando che la sessione diventi un ponte generalizzato tra rete esterna e ambiente OT.

Particolarmente importante è impedire che il dispositivo remoto possa stabilire autonomamente percorsi alternativi o aggirare i punti di controllo predisposti dall’organizzazione.

Monitoraggio, tracciabilità e audit dei collegamenti remoti

Sapere chi può accedere è soltanto metà del problema. Occorre sapere anche cosa accade durante la sessione.

La tracciabilità consente di ricostruire gli interventi, verificare il rispetto delle procedure e accelerare le indagini quando viene rilevata un’anomalia.

Registrazione delle sessioni di manutenzione e tracciamento delle attività

Ogni accesso dovrebbe generare informazioni sufficienti a ricostruirne il contesto: identità, data e ora, sistema raggiunto, durata e operazioni rilevanti.

Per gli accessi privilegiati e ad alta criticità può essere opportuno, dove tecnicamente e giuridicamente appropriato, prevedere forme più avanzate di registrazione delle sessioni.

Il logging deve essere protetto da alterazioni e conservato secondo criteri coerenti con esigenze operative, di sicurezza e normative.

La tracciabilità è utile anche fuori dagli incidenti.

Permette di verificare quali fornitori accedono realmente ai sistemi, individuare account inutilizzati e confrontare le autorizzazioni assegnate con quelle effettivamente necessarie.

Queste informazioni diventano particolarmente preziose nei controlli in fase M&A, perché consentono di verificare se l’impresa target conosca e governi realmente gli accessi delle terze parti ai propri sistemi industriali, facendo emergere eventuali dipendenze o esposizioni che possono incidere sul rischio dell’operazione.

Rilevamento in tempo reale delle anomalie nei comportamenti degli utenti esterni

La registrazione permette di ricostruire ciò che è accaduto. Il monitoraggio deve possibilmente consentire anche di intervenire mentre sta accadendo.

Un accesso fuori dalla finestra autorizzata, tentativi verso asset differenti da quelli previsti, trasferimenti inattesi o comportamenti incompatibili con l’attività di manutenzione possono costituire segnali da verificare.

L’analisi comportamentale può contribuire a distinguere una sessione ordinaria da un utilizzo anomalo dell’identità.

Il contesto rimane fondamentale.

Un tecnico può legittimamente compiere operazioni insolite durante un intervento straordinario. L’obiettivo non è quindi bloccare automaticamente qualsiasi deviazione, ma fornire informazioni sufficienti a valutarla rapidamente.

Nei casi ad alta criticità deve essere prevista anche la capacità di interrompere tempestivamente la sessione.

La tracciabilità diventa così una misura attiva di sicurezza: non soltanto sapere chi è entrato, ma riconoscere quando un accesso autorizzato smette di comportarsi come previsto.

Quadro normativo e conformità aziendale nell’accesso remoto

La sicurezza delle terze parti è ormai una componente esplicita della gestione del rischio cyber.

Per gli ambienti industriali, questo significa che rapporti con manutentori, integratori e fornitori tecnologici devono essere considerati all’interno della governance e non lasciati esclusivamente alla gestione tecnica dello stabilimento.

Requisiti della direttiva NIS2 e responsabilità della direzione per la supply chain

Per i soggetti che rientrano nel suo campo di applicazione, la direttiva NIS2 richiede misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi cyber.

Tra gli ambiti espressamente considerati dall’articolo 21 figura la sicurezza della supply chain, compresi gli aspetti relativi ai rapporti tra il soggetto e i suoi fornitori diretti o prestatori di servizi.

La direttiva richiede inoltre di considerare controllo degli accessi, gestione degli asset, gestione degli incidenti e business continuity.

Particolarmente significativo è il ruolo attribuito agli organi di gestione, chiamati ad approvare le misure di gestione del rischio cyber e a sovrintendere alla loro attuazione.

Ciò non significa che la NIS2 prescriva una specifica tecnologia per l’accesso remoto OT.

Implica però che, per le organizzazioni interessate, il rischio derivante dai fornitori deve essere valutato e governato attraverso misure adeguate e proporzionate, anziché essere considerato responsabilità esclusiva della terza parte.

La sicurezza della supply chain diventa così anche un tema di accountability manageriale.

Standard IEC 62443 e linee guida per la gestione sicura delle terze parti

La famiglia IEC 62443 offre un riferimento particolarmente utile per affrontare l’accesso remoto all’interno delle architetture industriali.

Il modello basato su zone e conduits permette di controllare i percorsi attraverso cui soggetti e sistemi esterni raggiungono le diverse parti dell’infrastruttura.

I requisiti relativi a identificazione e autenticazione, controllo degli accessi, restrizione dei flussi e logging contribuiscono inoltre a strutturare una gestione coerente delle connessioni remote.

Ma la tecnologia rappresenta soltanto una parte della soluzione.

Asset owner, service provider e altri soggetti coinvolti nell’ecosistema industriale devono disporre di responsabilità e processi chiaramente definiti.

È proprio questo il passaggio che trasforma l’accesso remoto da problema tecnico a questione di governance.

Una connessione sicura non è semplicemente una connessione cifrata. È una sessione della quale l’organizzazione conosce identità, motivazione, autorizzazione, destinazione, durata e attività svolte.

La differenza è sostanziale.

Nel primo caso la fabbrica concede a un soggetto esterno una strada verso i propri sistemi e spera che venga utilizzata correttamente. Nel secondo costruisce un percorso controllato che esiste soltanto quando serve e nei limiti necessari.

In ambienti produttivi sempre più distribuiti e dipendenti da competenze esterne, impedire ogni accesso remoto non sarebbe realistico.

La vera maturità consiste quindi nel fare in modo che nessun fornitore possieda più accesso di quanto gli serve, più a lungo di quanto gli serve e senza lasciare una traccia verificabile di ciò che ha fatto.