Sicurezza OT: a cosa sono realmente esposti i vostri clienti e cosa fare al riguardo

Le conseguenze fisiche cambiano tutto

L'OT copre i sistemi programmabili che monitorano o controllano i processi fisici: sistemi di controllo industriale, SCADA, PLC, automazione degli edifici e i computer di fabbrica che li gestiscono. La definizione del NIST è più ampia di quanto la maggior parte delle persone supponga. Tutto ciò che può rilevare o causare un cambiamento fisico diretto, che si tratti di una linea di produzione, di una sottostazione o dei controlli ambientali di un edificio, rientra nel confine dell'OT.

Questo è importante perché il peggiore dei casi è diverso. Nell'IT, lo scenario peggiore credibile è solitamente la perdita di dati, la crittografia o l'esposizione. Nell'OT, può essere uno stato fisico non sicuro: un recipiente sovrapressurizzato, una sottostazione che si spegne, o un lotto di produzione che fallisce la convalida. Questo è il motivo per cui la sicurezza OT prioritizza la sicurezza prima di tutto, poi la disponibilità, poi l'integrità e la riservatezza. La sicurezza IT di solito funziona al contrario, partendo dalla riservatezza. Se un cliente chiede perché non potete semplicemente applicare la loro politica di endpoint esistente al reparto di produzione, questa è la risposta onesta.

Cambia anche il significato di "tolleranza ai tempi di inattività". Un impianto a processo continuo che non può assorbire un riavvio non pianificato non è in ritardo sulla sicurezza, sta operando entro la fisica del processo. E una configurazione PLC che è stata qualificata dall'OEM spesso non può essere patchata con la stessa cadenza di un parco laptop senza innescare una ricertificazione. I controlli compensativi e le finestre di manutenzione pianificano il lavoro che un ciclo di patch farebbe nell'IT.

Cosa sta realmente accadendo là fuori

Due modelli distinti stanno guidando la maggior parte degli incidenti di cui i clienti stanno chiedendo, e richiedono difese diverse. Il primo è l'attacco diretto agli ambienti di controllo. Dragos ha collegato un attacco coordinato a sistemi polacchi di cogenerazione e energia rinnovabile alla fine di dicembre 2025 al gruppo ELECTRUM, descrivendolo come il primo attacco coordinato su larga scala contro risorse energetiche distribuite. Una campagna separata contro un'azienda statale pakistana di trasmissione di energia a metà del 2025 ha coinvolto la ricerca attiva di exploit SCADA e la scansione delle porte Modbus, il tipo di ricognizione che la visibilità degli asset e il monitoraggio consapevole del protocollo sono costruiti per catturare.

Il secondo modello è più comune e, per certi versi, più rilevante per come la maggior parte dei clienti dei nostri partner viene effettivamente colpita: incidenti IT con ricadute operative, senza alcuna compromissione confermata di un controller. Nucor ha interrotto parte della produzione come precauzione dopo un accesso IT non autorizzato. Masimo ha dovuto operare la produzione al di sotto della capacità normale per settimane dopo un'intrusione di rete. Jaguar Land Rover ha esteso una pausa di produzione di oltre una settimana dopo un incidente di settembre 2025. L'evento ransomware di Asahi nello stesso mese ha messo fuori uso i sistemi di ordinazione e spedizione, con la logistica non completamente tornata alla normalità fino a febbraio 2026. Nessuno di questi era un attacco a un controller. Tutti hanno fermato la produzione perché IT e OT sono più intrecciati di quanto la maggior parte delle valutazioni dei rischi supponga.

I numeri lo confermano. Dragos ha tracciato 119 gruppi ransomware che hanno colpito organizzazioni industriali nel 2025, in aumento rispetto agli 80 dell'anno precedente, colpendo circa 3.300 organizzazioni, con la produzione che ha subito più di due terzi dell'impatto. Siemens stima i tempi di inattività non pianificati a quasi 1,4 trilioni di dollari all'anno nelle 500 maggiori aziende del mondo. Ciò che spicca nell'indagine del SANS Institute del 2025 non è il rilevamento, quasi la metà degli incidenti è stata rilevata entro 24 ore, è il ripristino: quasi uno su cinque ha impiegato più di un mese per essere risolto. Il rilevamento è diventato più veloce del ripristino, e il ripristino è dove risiede il costo reale.

Il framework rispetto al quale i vostri clienti vengono effettivamente misurati

Per la maggior parte dei vostri clienti, NIS2 è ciò che decide se la resilienza OT è un obbligo legale o solo un "nice-to-have". La direttiva non crea un regime OT separato, ma copre direttamente energia, trasporti, acqua, sanità e produzione, e l'articolo 21 specifica requisiti concreti: gestione degli incidenti, backup e disaster recovery, sicurezza della catena di fornitura e controllo degli accessi. Per un cliente in questi settori, la conformità NIS2 e la resilienza OT sono la stessa conversazione, non due separate.

La lacuna più comune tra i clienti che affermano di essere pronti per NIS2 è la stessa in pratica: hanno una routine di backup, ma non è mai stata testata rispetto a vincoli hardware reali, dove il dispositivo originale non esiste più e non è disponibile una sostituzione equivalente. Eseguire il backup della logica PLC, delle configurazioni SCADA e DCS, dei file HMI e delle configurazioni dei dispositivi di rete è un lavoro. Dimostrare effettivamente di poterli ripristinare, che è ciò che l'articolo 21 richiede come prova, è un altro.

Dove ciò lascia la vostra conversazione OT con i clienti

Una configurazione di sicurezza OT difendibile richiede visibilità degli asset, segmentazione, monitoraggio e ripristino che lavorino insieme, e nessun singolo fornitore copre bene tutti e quattro. È esattamente qui che una conversazione con un distributore è più utile di un singolo pitch di un fornitore: potete assemblare la combinazione che si adatta realmente all'ambiente del cliente invece di estendere un prodotto su quattro problemi per i quali non è stato costruito.

Per il pezzo specifico della resilienza, il backup e il ripristino per gli asset di classe PC che fermano effettivamente la produzione quando si guastano, le workstation HMI, i server SCADA, le workstation di ingegneria, gli storici, Acronis Cyber Protect per OT è costruito attorno al backup basato su immagini, al ripristino su hardware diverso e al supporto per i sistemi Windows e Linux legacy che dominano gli impianti brownfield. È progettato per raggiungere rapidamente uno stato di produzione convalidato, non solo per completare un lavoro di backup, e funziona in ambienti air-gapped dove la connettività cloud non è un'opzione. Per il lato della visibilità degli asset e della vulnerabilità dell'equazione, Nanitor offre ai clienti l'inventario e il quadro di esposizione per i quali gli obblighi dell'articolo 21 di NIS2 richiedono sempre più documentazione.

Se un cliente chiede della sicurezza OT, il prossimo passo utile di solito non è un singolo p