La trasformazione digitale dell’industria ha reso sempre più stretta la relazione tra Information Technology e Operational Technology. Impianti produttivi, sistemi SCADA, PLC, sensori industriali e piattaforme di supervisione dialogano oggi con reti IT, servizi cloud e strumenti di sicurezza avanzati.
Indice degli argomenti
La convergenza IT/OT richiede un nuovo modo di misurare il rischio
Questa convergenza ha ampliato la superficie d’attacco, ma ha anche evidenziato un limite che molti CISO e responsabili di produzione conoscono bene: i dati raccolti dal Security Operations Center e quelli osservati dagli operatori di fabbrica continuano spesso a vivere in mondi separati.
Il SOC vede log, vulnerabilità, indicatori di compromissione e traffico di rete; la produzione osserva derive di processo, variazioni dei setpoint, anomalie nei PLC e impatti sull’efficienza degli impianti.
Finché queste due prospettive rimangono scollegate, il rischio cyber resta difficile da interpretare nella sua reale dimensione operativa.
È proprio questo il problema affrontato dal progetto Elipsis OT Resilience, finalista dei Cybersecurity360 Awards, che propone un approccio AI-driven capace di fondere dati di processo ed eventi di sicurezza in un unico modello informativo, introducendo un indicatore sintetico – l’OT Threat Score – per supportare le decisioni operative.
Dal dato tecnico all’impatto sul business: perché un alert non basta più
Negli ambienti industriali un allarme cyber ha un significato molto diverso rispetto a quello di un’infrastruttura IT tradizionale.
La domanda non è soltanto se un endpoint sia stato compromesso o se un PLC abbia ricevuto una modifica non autorizzata. Occorre comprendere rapidamente quale impatto quell’evento possa avere sulla produzione, sulla qualità del prodotto, sui consumi energetici o sulla continuità dell’impianto.
È questa correlazione che, nella pratica, manca ancora in molte architetture OT.
Secondo il modello proposto da Elipsis, la priorità non consiste nell’aumentare il numero di alert, ma nel contestualizzarli, mettendo in relazione indicatori cyber con parametri di processo e trasformandoli in informazioni immediatamente utilizzabili da SOC, produzione e management.
L’OT Threat Score: quando il Machine Learning diventa uno strumento decisionale
L’elemento distintivo della soluzione è rappresentato dall’OT Threat Score, un indice compreso tra 0 e 100 che sintetizza il livello di rischio operativo associato a un determinato evento.
Il punteggio non deriva da un singolo indicatore, ma dalla correlazione di molteplici fattori, tra cui criticità degli asset, evidenze cyber, sfruttabilità delle vulnerabilità, impatto sul processo produttivo e permanenza della minaccia. L’obiettivo è fornire una misura interpretabile e calibrabile del rischio, evitando che gli operatori debbano orientarsi tra centinaia di eventi privi di contesto.
In questa prospettiva, il Machine Learning non viene utilizzato come semplice strumento di rilevazione automatica, ma come supporto alle decisioni, capace di aiutare i team IT e OT a condividere una rappresentazione comune delle priorità.
Una piattaforma che unisce cyber security e processo industriale
L’architettura della soluzione si sviluppa lungo una pipeline che raccoglie informazioni provenienti sia dagli impianti industriali sia dagli strumenti di sicurezza.
Attraverso gateway edge vengono acquisiti dati da PLC, SCADA e sensori, insieme agli eventi provenienti da firewall, sistemi EDR, Network Detection and Response e strumenti di Asset Intelligence.
Queste informazioni confluiscono in un modello dati unificato che rappresenta una sorta di “gemello informativo” dell’impianto, sul quale operano modelli di Machine Learning dedicati all’individuazione di anomalie di processo, variazioni nei comportamenti operativi e possibili eventi di sicurezza.
Più che la singola tecnologia, ciò che emerge è il tentativo di superare la tradizionale separazione tra monitoraggio della produzione e monitoraggio della sicurezza.
Dalla detection al ripristino: la resilienza diventa operativa
Uno degli aspetti più interessanti del progetto riguarda il fatto che il processo non si interrompe con l’identificazione dell’incidente.
Attraverso un motore di orchestrazione vengono infatti attivati runbook conformi al modello Purdue che accompagnano l’organizzazione nelle attività di risposta, fino al ripristino controllato della configurazione di riferimento degli impianti.
Questa impostazione riflette una visione sempre più diffusa della cyber resilience: non limitarsi a individuare un evento, ma predisporre procedure che consentano di riportare rapidamente il sistema in una condizione operativa sicura, riducendo gli impatti sulla produzione e sulla continuità del servizio.
Compliance e governance diventano conseguenze della visibilità
Il progetto attribuisce particolare importanza anche agli aspetti di governance.
Dashboard dedicate consentono infatti di monitorare indicatori come tempi di rilevazione e risposta agli incidenti, copertura degli asset, correlazione tra eventi cyber e processo industriale e tempi medi di ripristino.
Questa disponibilità di evidenze permette di supportare gli adempimenti previsti da NIS2, IEC 62443, NIST Cybersecurity Framework e Perimetro di Sicurezza Nazionale Cibernetica attraverso dati misurabili e auditabili, anziché tramite una documentazione prodotta a posteriori.
Anche in questo caso emerge un principio ormai ricorrente nei progetti più maturi: la compliance rappresenta il risultato di un modello di governance efficace, non il suo punto di partenza.
Un approccio replicabile per l’industria connessa
Sebbene il progetto sia pensato per ambienti industriali e infrastrutture critiche, l’architettura proposta è stata concepita per adattarsi a contesti differenti, dal manifatturiero alle utilities, fino ai settori energy, food e pharma.
La modularità del licensing, l’adozione di connettori standard verso sistemi OT e piattaforme aziendali e un percorso di assessment iniziale consentono di estendere progressivamente il modello anche a organizzazioni multisito o caratterizzate da diversi livelli di maturità digitale.
In un momento in cui la convergenza IT/OT interessa un numero crescente di imprese, la possibilità di replicare rapidamente un modello di correlazione tra sicurezza e processo rappresenta uno degli elementi di maggiore interesse.
Quando il rischio diventa comprensibile
Uno degli insegnamenti più interessanti di questo progetto riguarda il modo in cui viene rappresentato il rischio. Nella cyber security industriale il problema non è più soltanto raccogliere dati o aumentare la capacità di rilevazione delle minacce, ma rendere queste informazioni comprensibili e utilizzabili da chi governa la continuità operativa.
Per i responsabili della sicurezza questo significa superare una visione esclusivamente tecnologica della detection. Un alert acquista valore quando è possibile collegarlo agli effetti che può produrre sulla produzione, sulla qualità, sull’efficienza energetica o sulla disponibilità degli impianti.
In questo senso, il modello proposto da Elipsis suggerisce una direzione destinata a diventare sempre più centrale: costruire un linguaggio comune tra cyber security e operations, nel quale l’intelligenza artificiale non sostituisce il decisore, ma rende il rischio più chiaro, misurabile e quindi governabile.
Partecipa alla community