Sicurezza offensiva per ambienti industriali e OT.
In stabilimento il rischio non è una fuga di dati: è una linea ferma, un lotto perso e la sicurezza delle persone. Testiamo il confine IT/OT partendo dal presupposto che la produzione non può fermarsi.
Il confine diventato punto debole
Per decenni l'ambiente industriale è stato protetto dall'isolamento fisico. Quella separazione non esiste quasi più: manutenzione remota dei fornitori, raccolta dati per gli indicatori di produzione e integrazione con l'ERP hanno aperto percorsi permanenti tra rete aziendale e reparto. L'attaccante quasi mai entra dal controllore: entra dall'ufficio e ci cammina fino.
- L'accesso remoto dei fornitori tende a essere permanente, ampio e poco monitorato.
- I controllori industriali sono stati progettati per l'affidabilità, non per l'autenticazione.
- La finestra di fermo per applicare aggiornamenti è rara e contesa con la produzione.
- Un incidente può avere conseguenze fisiche, non solo finanziarie o reputazionali.
Cosa testiamo in un ambiente industriale
Il focus è il percorso tra il mondo amministrativo e quello che controlla i macchinari, e quanto sia davvero stretto.
Testiamo se i livelli di rete isolano davvero: cosa raggiunge verso la zona di controllo un accesso ottenuto nell'ambiente aziendale.
Tunnel di manutenzione, jump host e credenziali condivise dell'integratore: vettore ricorrente e il più sottovalutato.
Postazioni operatore e server di supervisione: autenticazione, aggiornamento, esposizione dell'interfaccia e integrità di ciò che viene mostrato.
Flusso dati dal reparto verso ERP e indicatori, inclusi connettori che attraversano il confine in entrambe le direzioni.
Copertura, autenticazione e isolamento delle reti usate da terminali, carrelli e dispositivi mobili all'interno dello stabilimento.
Account amministrativi condivisi, controllo accessi ai locali tecnici e porte che portano direttamente all'apparato.
Riferimento tecnico e obbligo di legge
Usiamo riferimenti specifici dell'ambiente industriale, non solo il quadro dell'IT aziendale.
- IEC 62443
- Lavoriamo con il modello di zone e condotti, riferimento consolidato per segmentare gli ambienti di automazione, e riportiamo con quel vocabolario.
- Sicurezza delle persone
- Qualsiasi risultato in grado di incidere su un sistema strumentato di sicurezza è trattato a parte, con comunicazione immediata, fuori dal normale flusso di report.
- NIS2 nella manifattura
- Manifattura ed energia rientrano negli obblighi di gestione del rischio e sicurezza della catena di fornitura. I risultati sono inquadrati su di essi.
- Continuità operativa
- Traduciamo il risultato tecnico in rischio di fermo e perdita di lotto, il linguaggio con cui la direzione industriale decide l'investimento.
Come conduciamo senza fermare la produzione
Regola d'oro concordata prima
Nulla che tocchi direttamente un controllore o un sistema strumentato di sicurezza riceve test attivo. Si concorda per iscritto prima di ogni attività.
Attacco dal lato IT
L'incarico parte normalmente dall'ambiente aziendale e misura quanto avanziamo verso l'OT. È lo scenario reale della maggior parte degli incidenti.
Osservazione passiva nell'OT
Dentro la zona di controllo privilegiamo analisi passiva e revisione della configurazione, senza iniettare traffico che possa confondere un controllore.
Remediation compatibile con il fermo
Il piano separa ciò che si corregge senza fermare la linea da ciò che richiede finestra di manutenzione, perché la raccomandazione sia davvero eseguibile.
Cosa ricevi
- Report esecutivo in rischio di fermo
- Report tecnico riproducibile
- Mappa di zone e condotti osservati
- Analisi dell'accesso remoto dei fornitori
- Punteggio CVSS motivato
- Piano di remediation per finestra di manutenzione
- Retest dei risultati corretti
- Lettera di attestazione dell'incarico
Domande frequenti del settore
C'è il rischio che il test fermi la linea di produzione?
+
L'incarico è progettato perché non esista. Controllori e sistemi strumentati di sicurezza restano fuori dal test attivo per regola, concordata per iscritto prima di iniziare. Dentro la zona di controllo usiamo analisi passiva e revisione della configurazione. Il test attivo avviene sul lato aziendale, da dove parte l'attacco reale.
Testate PLC e SCADA direttamente?
+
Direttamente e in modo aggressivo, no. Valutiamo esposizione, autenticazione, versione e segmentazione, e dimostriamo la portata che avrebbe un attaccante dal punto raggiunto. Dove esiste un laboratorio o una replica, lì approfondiamo con test attivo, perché non c'è rischio di conseguenza fisica.
L'accesso remoto dei nostri integratori rientra nel perimetro?
+
Rientra, e raccomandiamo con forza di includerlo. È il vettore più frequente e il meno rivisto: tunnel permanenti, credenziali condivise tra tecnici e permessi ben più ampi di quanto la manutenzione richieda. Di solito produce i risultati di maggiore impatto dell'incarico.
Come riportate il rischio a una direzione industriale?
+
In linguaggio operativo. Il report esecutivo traduce il risultato tecnico in rischio di fermo, perdita di lotto e impatto sulla sicurezza delle persone, con un piano di remediation separato a seconda che richieda o meno una finestra di manutenzione. Il livello tecnico dettagliato va in un documento proprio.
Servizi applicati a questo settore
Pronto a scoprire le tue falle?
La prima call di scoping è gratuita e coperta da NDA. In 48 ore ricevi proposta tecnica, scope e cronoprogramma. Senza moduli burocratici.