Quando un attacco cyber raggiunge la produzione, il problema smette di essere soltanto informatico. Ogni minuto di downtime può significare macchinari fermi, personale inattivo, ordini non evasi e costi di ripristino che aumentano con il prolungarsi dell’incidente.

Quantificare queste conseguenze permette di trasformare il rischio OT in un dato utilizzabile dal management: non più soltanto probabilità di attacco, ma valore economico della capacità di mantenere o ripristinare la produzione.

Cos’è il downtime industriale e come si verifica a seguito di un attacco cyber

Il downtime industriale identifica il periodo durante il quale una macchina, una linea produttiva, un impianto o un processo non è in grado di svolgere normalmente la propria funzione.

Non ogni interruzione rappresenta però un’anomalia.

La produzione può essere fermata volontariamente per manutenzione, aggiornamenti o attività programmate. Il rischio economico più difficile da governare emerge soprattutto quando l’interruzione è inattesa e la durata non può essere determinata in anticipo.

Definizione di fermo impianto e differenza tra interruzioni pianificate e non pianificate

Un fermo pianificato può essere inserito nel calendario produttivo, coordinato con manutenzione e disponibilità del personale e gestito limitandone l’impatto sugli ordini.

Un downtime non pianificato presenta caratteristiche completamente differenti.

L’organizzazione deve prima comprendere cosa è successo, stabilire quali componenti possano essere considerati affidabili, contenere il problema e soltanto successivamente iniziare il ripristino.

In presenza di un incidente cyber questa incertezza può aumentare sensibilmente.

Un componente apparentemente funzionante potrebbe essere compromesso; un backup disponibile potrebbe dover essere verificato prima del recupero; una workstation ripristinata potrebbe non poter essere immediatamente ricollegata alla rete.

Per questo il costo del downtime non cresce soltanto in funzione della durata del fermo, ma anche della complessità necessaria per recuperare un ambiente affidabile e riportare il processo in condizioni operative sicure.

Dalle minacce informatiche al blocco della produzione e dei processi operativi

Un attacco non deve necessariamente compromettere direttamente un PLC per fermare una fabbrica.

Un ransomware può colpire sistemi IT dai quali dipendono logistica, pianificazione, autenticazione o gestione degli ordini. La compromissione di un HMI può rendere difficile la supervisione del processo. L’indisponibilità di una engineering workstation può impedire alcune attività di manutenzione.

In altri casi, il collegamento con l’OT può essere più diretto.

Una rete industriale può essere segmentata preventivamente per contenere un incidente oppure alcuni sistemi possono essere fermati volontariamente perché non è ancora possibile stabilire se siano stati compromessi.

Nasce così un principio importante: anche un arresto deciso per ragioni di sicurezza è economicamente downtime.

L’incidente cyber deve quindi essere valutato non soltanto sulla base dei sistemi tecnicamente compromessi, ma dei processi che l’organizzazione è costretta a interrompere durante contenimento, indagine e recovery.

Come calcolare i costi diretti e indiretti del downtime industriale

Attribuire un valore economico al fermo permette di confrontare il costo della prevenzione con quello dell’interruzione.

Non esiste però un unico numero valido per tutta l’azienda.

Una linea ad alta marginalità, un impianto a ciclo continuo e una macchina facilmente sostituibile hanno profili economici molto differenti.

La quantificazione deve quindi partire dal processo.

Componenti del costo diretto tra mancata produzione, forza lavoro inattiva e ripristino

Il primo elemento è normalmente la produzione persa durante l’indisponibilità.

Una valutazione semplificata può partire dal valore o dal margine generato mediamente dalla linea nell’unità di tempo e moltiplicarlo per la durata effettiva dell’interruzione.

Ma questo rappresenta soltanto una parte del costo.

Bisogna considerare anche personale che continua a generare costo senza poter svolgere normalmente la propria attività, straordinari necessari per recuperare la produzione, interventi di tecnici e fornitori e spese per incident response e ripristino.

A questi elementi possono aggiungersi sostituzione di hardware, ricostruzione dei sistemi, recupero dei backup, analisi forense e verifiche necessarie prima della rimessa in servizio.

In alcuni processi produttivi bisogna inoltre considerare materiali o semilavorati che diventano inutilizzabili a causa dell’interruzione.

Il costo diretto del downtime può quindi essere rappresentato, in forma semplificata, come:

costo del fermo = produzione persa + costo del personale improduttivo + costi di recovery + scarti e perdite di processo + costi straordinari

È una formula volutamente aperta, perché ogni stabilimento deve adattarla alle proprie caratteristiche operative.

Costi indiretti, sanzioni contrattuali, perdita di reputazione e danni alla catena di fornitura

Le perdite più difficili da quantificare emergono spesso dopo il ritorno alla produzione.

Un’azienda che non riesce a rispettare le consegne può dover sostenere penali contrattuali, spedizioni straordinarie oppure costi aggiuntivi per recuperare il ritardo.

Se l’organizzazione rappresenta un nodo importante nella supply chain di altre imprese, il fermo può inoltre propagarsi verso clienti e partner.

Una componente più complessa riguarda la reputazione.

Un incidente capace di interrompere a lungo la produzione può influire sulla percezione di affidabilità da parte di clienti, investitori e business partner, soprattutto quando emergono carenze pregresse nella gestione del rischio.

L’effetto può assumere rilevanza anche nell’impatto sulle valutazioni societarie, perché una struttura produttiva caratterizzata da elevati costi potenziali di downtime, debole resilienza o significative carenze OT può rappresentare una passività da considerare anche nelle operazioni di acquisizione.

Il costo dell’incidente deve quindi essere osservato su più orizzonti temporali: ciò che viene perso durante il fermo e ciò che continuerà a produrre conseguenze dopo il ripristino.

Variabili e formule per la stima dell’impatto economico del fermo macchina

Misurare il downtime richiede dati tecnici e finanziari.

La cybersecurity può indicare il tempo necessario per rilevare e contenere l’incidente; operations conosce il tempo necessario per riportare la linea a regime; finance può attribuire un valore economico alle ore di produzione perse.

Solo integrando queste informazioni si ottiene una misura realmente utile.

Parametri chiave da monitorare tra costo orario di fermo e tempo medio di ripristino

Uno degli indicatori più immediati è il costo orario del downtime.

In una versione semplificata può essere stimato attraverso:

costo orario del downtime = margine perso per ora + costi operativi non evitabili + costi straordinari medi del fermo

La quantità ottenuta può essere moltiplicata per la durata dell’indisponibilità.

Ma la stima diventa più significativa quando viene correlata alle metriche di resilienza.

Il Mean Time to Detect misura il tempo medio necessario a rilevare un’anomalia; il Mean Time to Respond aiuta a osservare la velocità della risposta; il Mean Time to Recover o Restore può essere utilizzato per analizzare il tempo necessario a recuperare il servizio o il processo.

In ambito industriale è importante distinguere il ripristino tecnico dal ritorno effettivo alla produzione.

Un server può essere nuovamente online mentre la linea richiede ancora controlli, riallineamento degli impianti o verifiche di safety prima di tornare a regime.

La metrica economicamente più significativa è quindi il tempo complessivo necessario per recuperare una capacità produttiva accettabile e affidabile.

Metodi di valutazione per identificare le perdite finanziarie reali in fabbrica

Una singola formula non è sufficiente per descrivere tutti gli scenari.

Per questo può essere utile costruire modelli basati su differenti durate dell’incidente.

Ad esempio:

• Scenario 1, fermo breve: contenimento rapido e recovery entro poche ore.
• Scenario 2, fermo significativo: indisponibilità per uno o più turni produttivi.
• Scenario 3, crisi prolungata: perdita di sistemi critici, ricostruzione dell’ambiente e impatto sulle consegne.

Per ogni scenario possono essere calcolati costi diretti, costi di recovery, perdite commerciali e ulteriori conseguenze operative.

L’approccio consente di costruire una curva dell’impatto economico.

Il costo di un incidente, infatti, non cresce sempre in maniera lineare. Dopo determinate soglie possono scattare penali, esaurirsi scorte di sicurezza o diventare impossibile recuperare gli ordini attraverso turni aggiuntivi.

Diventa quindi utile identificare i tipping point operativi: il momento oltre il quale un’interruzione locale inizia a produrre effetti più ampi sul business.

Anche il Business Impact Analysis può contribuire a questa valutazione, identificando processi critici, dipendenze e durata massima dell’interruzione che l’organizzazione considera sostenibile.

Strategie di prevenzione e gestione del rischio per ridurre i tempi di inattività

Ridurre il downtime non significa soltanto impedire l’attacco.

Una strategia efficace deve diminuire contemporaneamente la probabilità dell’incidente, il tempo necessario per identificarlo, la capacità dell’attaccante di propagarsi e la durata del recovery.

La resilienza diventa quindi un moltiplicatore economico della cybersecurity.

Monitoraggio continuo delle reti OT e rilevamento tempestivo delle anomalie

Quanto prima viene individuata una compromissione, maggiori sono le possibilità di contenerne l’impatto.

Il monitoraggio delle reti OT consente di osservare comunicazioni, identificare variazioni nei pattern abituali e rilevare comportamenti inattesi.

Negli ambienti industriali, l’approccio passivo può essere particolarmente utile perché permette di acquisire visibilità limitando le interazioni con dispositivi sensibili.

Il monitoraggio deve però essere accompagnato dalla conoscenza del processo.

Un cambiamento di traffico può rappresentare manutenzione programmata, variazione della produzione oppure attività malevola. La capacità di correlare informazioni cyber e operative consente di ridurre falsi positivi e riconoscere più rapidamente gli eventi realmente critici.

L’obiettivo economico è evidente: ogni minuto guadagnato nella detection può ridurre il numero di sistemi coinvolti e, di conseguenza, il tempo necessario per tornare alla produzione.

Piani di risposta agli incidenti, procedure di ripristino e ridondanza dei sistemi

Il recovery deve essere progettato prima dell’incidente.

L’organizzazione deve conoscere quali sistemi ripristinare per primi, quali backup utilizzare, quali dipendenze esistano e quali verifiche siano necessarie prima della riattivazione.

Una lista di priorità costruita esclusivamente sulla criticità informatica può non coincidere con quella produttiva.

Il sistema apparentemente meno importante potrebbe essere indispensabile per avviare una determinata linea o per verificare che il processo possa riprendere in sicurezza.

Backup e ridondanza devono inoltre essere testati.

Avere una seconda componente identica non garantisce resilienza se può essere compromessa dallo stesso attacco. Allo stesso modo, un backup inutilizzabile o non aggiornato offre una capacità di recovery soltanto teorica.

Tabletop exercise, simulazioni e test periodici permettono di verificare se le procedure funzionino e misurare i tempi reali.

Queste esercitazioni producono anche un dato prezioso per l’analisi economica: trasformano il tempo di ripristino da ipotesi a valore misurato.

Normative e continuità operativa per la protezione delle infrastrutture

La continuità operativa è ormai strettamente collegata alla gestione del rischio cyber.

La regolamentazione europea non chiede semplicemente alle organizzazioni interessate di installare strumenti di sicurezza, ma richiede un approccio organizzativo capace di prevenire, gestire e recuperare dagli incidenti.

Requisiti della direttiva NIS2 in materia di gestione degli incidenti e resilienza

Per i soggetti che rientrano nel proprio campo di applicazione, la direttiva NIS2 richiede misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi relativi alla sicurezza dei sistemi informativi e di rete.

Tra gli ambiti contemplati dall’articolo 21 figurano la gestione degli incidenti e la continuità operativa, compresa la gestione dei backup, il disaster recovery e il crisis management.

La logica è particolarmente pertinente agli ambienti industriali: prevenire non è sufficiente se l’organizzazione non dispone anche delle capacità necessarie per reagire e recuperare.

La NIS2 prevede inoltre obblighi di notifica per gli incidenti significativi secondo le modalità stabilite dall’articolo 23.

La regolamentazione contribuisce così a rafforzare un principio fondamentale: la cyber security deve essere valutata anche sulla capacità dell’organizzazione di sostenere un incidente senza perdere in modo incontrollato la disponibilità dei servizi e dei processi critici.

ENISA, nelle proprie indicazioni tecniche per l’attuazione delle misure NIS2 applicabili ai settori coperti dal relativo regolamento di esecuzione, sottolinea inoltre la necessità di mantenere coerenti incident handling, business continuity e disaster recovery e di testare le procedure per verificare la capacità di tornare rapidamente alle normali operazioni.

Integrazione della sicurezza aziendale nei piani di continuità del business

La cyber security non dovrebbe quindi possedere un proprio piano isolato dal resto dell’organizzazione.

Incident response, business continuity e disaster recovery devono essere collegati e attivati sulla base delle conseguenze dell’evento.

Se un incidente interessa la fabbrica, il piano deve coinvolgere cyber security, IT, OT, produzione, manutenzione, safety, supply chain, comunicazione e management.

Devono essere stabilite soglie di escalation e responsabilità.

Chi decide di fermare una linea? Chi autorizza il riavvio? Quali sistemi devono essere considerati affidabili? Quando vengono informati clienti e fornitori? Quali produzioni devono essere recuperate per prime?

Sono decisioni che non possono essere improvvisate durante una crisi.

La business continuity deve inoltre includere scenari cyber realistici: ransomware, perdita delle comunicazioni IT-OT, compromissione di un fornitore remoto, indisponibilità di sistemi di supervisione o impossibilità di utilizzare le normali credenziali aziendali.

ENISA considera incident handling, business continuity e crisis management fra gli elementi centrali dell’implementazione delle misure di gestione del rischio previste dal quadro NIS2.

È proprio in questa integrazione che il downtime diventa una metrica strategica.

Finché il rischio cyber viene espresso attraverso vulnerabilità, CVE o numero di alert, la sua comprensione rimane prevalentemente tecnica.

Quando invece l’organizzazione può affermare che una determinata linea genera un certo valore ogni ora, che il tempo realistico di recovery è di sei ore e che dopo otto ore iniziano a prodursi conseguenze sulla supply chain, la discussione cambia livello.

Il management può confrontare il costo atteso dell’interruzione con quello delle misure necessarie a ridurla.

Un investimento in segmentazione può diminuire la probabilità che l’incidente raggiunga più linee. Il monitoraggio può ridurre il tempo di rilevamento. Backup e procedure testate possono accorciare il recovery. La ridondanza può mantenere operative alcune funzioni mentre il sistema principale viene ripristinato.

La cyber security diventa così una leva per ridurre la durata economicamente rilevante dell’incidente.

Ed è questo il punto sul quale può chiudersi l’intero percorso della sicurezza OT: il rischio non si misura soltanto chiedendosi se un attacco possa verificarsi, ma determinando quanto tempo la fabbrica può permettersi di restare ferma e quanto costerebbe ogni ora necessaria per farla ripartire.