Negli ultimi anni, la cyber security OT nel settore delle utilities ha smesso di essere un tema confinato alla sola compliance normativa o agli audit periodici.
La progressiva convergenza tra sistemi industriali, reti IT e servizi digitali ha trasformato gli ambienti operativi in ecosistemi complessi, distribuiti e interconnessi, in cui la continuità del servizio dipende sempre più dalla capacità di governare il rischio cyber in modo concreto, misurabile e sostenibile nel tempo.
In questo scenario, la principale fragilità non è rappresentata esclusivamente dall’evoluzione delle minacce, ma dal divario che spesso esiste tra le strategie di sicurezza formalizzate e ciò che accade realmente all’interno delle reti industriali.
È proprio in questo spazio di invisibilità operativa che si annidano i rischi più
rilevanti per la resilienza degli impianti.
In infrastrutture critiche come quelle energetiche e idriche, tali vulnerabilità non riguardano solo la singola organizzazione, ma assumono una dimensione sistemica, con potenziali impatti sulla sicurezza nazionale e sulla stabilità economica.
Indice degli argomenti
Le tecnologie IT e OT
Il quadro che emerge è quello di una maturità ancora disomogenea negli ambienti OT delle utilities.
Secondo il Fortinet State of OT Cybersecurity 2025, il 26% delle organizzazioni si trova ancora al livello base di maturità (Level 1), dove le priorità sono limitate alla definizione della visibilità sugli asset e all’implementazione della segmentazione di rete.
Ancora più significativo è il fatto che, con l’adozione di soluzioni di sicurezza più avanzate, sia diminuita la proporzione di team OT che dichiarano di avere il 100% di visibilità sui propri ambienti: l’implementazione di nuovi strumenti sta infatti rivelando gap e zone d’ombra prima non riconosciuti.
Questo evidenzia come molte organizzazioni, pur avendo avviato percorsi di rafforzamento della sicurezza, scoprano progressivamente l’ampiezza reale della superficie di attacco e la complessità di governare efficacemente gli ambienti industriali.
Inoltre, le tecnologie IT (Information Technology) e OT (Operational Technology) sono state storicamente isolate l’una dall’altra.
Secondo l’ultimo Osservatorio Cyber security del Politecnico di Milano, oltre il 70% dei budget cyber nel settore Energy italiano è stato destinato all’IT, lasciando l’OT in una posizione residuale.
I driver strategici della sicurezza industriale
A questi elementi si aggiunge una considerazione di fondo che riguarda i driver strategici della sicurezza industriale.
Nelle utilities, la cyber security OT non è solo una misura tecnica, ma una leva per garantire la disponibilità operativa, rafforzare la sicurezza lungo tutta la catena del valore e assicurare la conformità normativa.
Le differenze strutturali tra IT e OT rendono questo percorso più complesso: mentre l’IT è orientato alla confidenzialità dei dati, basato su tecnologie standardizzate, connesso a Internet e al cloud e caratterizzato da un monitoraggio diffuso, l’OT nasce con priorità diverse, incentrate sulla disponibilità e sulla continuità del processo, spesso con sistemi legacy, ambienti isolati o parzialmente segmentati e capacità di monitoraggio limitate.
Questo squilibrio si riflette anche nelle minacce prevalenti, che negli ambienti industriali si traducono in impatti concreti come fermi produzione, perdita di controllo sugli impianti, compromissione di terze parti, esposizione di informazioni sensibili, frodi o richieste di riscatto con cifratura dei sistemi.
I dati di mercato confermano un livello di strutturazione della sicurezza OT non ancora pienamente consolidato: una quota significativa di organizzazioni ha subito intrusioni negli ultimi anni, molte non integrano pienamente l’OT nei processi di detection e response e solo una parte adotta strumenti avanzati di protezione degli asset industriali o svolge attività strutturate di testing.
In questo contesto, la cyber security OT deve essere interpretata come un percorso evolutivo che si consolida attraverso architetture controllate, capacità di risposta dedicate e una gestione strutturata del rischio lungo l’intero ciclo di vita operativo e della supply chain.
Per colmare lo scarto tra strategia e operatività, è necessario tradurre i principi della sicurezza OT in capacità tecniche applicabili sul campo.
Questi cinque ambiti risultano determinanti per rendere gli ambienti OT effettivamente difendibili:
- visibilità e monitoraggio;
- segmentazione delle reti;
- rinnovo tecnologico;
- identità e accesso;
- risposta agli incidenti.
Visibilità e monitoraggio
La sicurezza informatica fallisce raramente per assenza di framework o di linee guida. Più spesso, fallisce perché le organizzazioni non dispongono di una visibilità tecnica continua sulle comunicazioni industriali e sul comportamento reale degli asset di campo.
In molte infrastrutture energetiche manca ancora una mappa aggiornata dei flussi OT, capace di distinguere ciò che è lecito da ciò che è anomalo.
Le anomalie finiscono così per confondersi con le normali dinamiche di processo, emergendo solo quando l’impatto operativo è già evidente.
La visibilità, in questo contesto, non è un concetto astratto, ma una capacità tecnica: osservazione passiva del traffico industriale, comprensione dei
protocolli OT e correlazione degli eventi senza interferire con la produzione.
Segmentazione delle reti
In questo contesto la segmentazione delle reti OT rappresenta uno dei passaggi chiave per ridurre il rischio operativo, ma solo se interpretata correttamente.
Non si tratta di ricreare isole chiuse e statiche, incompatibili con i modelli di digitalizzazione attuali, bensì di costruire un’architettura controllata, in cui ogni comunicazione abbia uno scopo noto e un perimetro definito.
Applicare i principi di zone e condotti significa limitare i movimenti laterali, ridurre l’estensione di una possibile compromissione e rendere il comportamento della rete più prevedibile.
In questo scenario, i firewall industriali diventano strumenti di governo del processo, capaci di supportare la continuità operativa anziché ostacolarla. La segmentazione efficace non elimina il rischio, ma lo rende gestibile e misurabile.
Gestione delle vulnerabilità e delle patch
La gestione delle vulnerabilità, inoltre, non può seguire le stesse logiche dell’IT.
La presenza di sistemi legacy, la necessità di garantire la disponibilità e i vincoli di processo rendono spesso impraticabile un approccio basato esclusivamente sull’aggiornamento continuo.
La maturità tecnica si misura nella capacità di contestualizzare la vulnerabilità: comprendere dove si trova l’asset, quale ruolo svolge nel processo e quali comunicazioni effettua realmente.
Solo così è possibile stabilire priorità corrette, applicare misure compensative efficaci o pianificare cicli di patching controllati.
Strumenti come ambienti di staging e digital twin assumono un ruolo centrale, permettendo di valutare l’impatto delle modifiche prima della loro introduzione in produzione.
Tuttavia, quando la presenza di tecnologie progettate in contesti precedenti all’attuale livello di connettività non rappresenta più solo un vincolo operativo, ma un limite strutturale alla sicurezza, la riflessione non può fermarsi alle misure compensative: diventa necessario affrontare in modo strutturato il tema dell’evoluzione tecnologica dell’impianto.
Rinnovo tecnologico
Spesso sottovalutato perché strutturalmente complesso, il rinnovo tecnologico degli ambienti OT rappresenta una sfida strategica per le utilities.
La presenza diffusa di sistemi legacy, progettati in epoche in cui la connettività non rappresentava un requisito primario, costituisce oggi uno dei principali fattori di esposizione al rischio.
Tuttavia, il rinnovamento in ambito industriale non può essere affrontato con la stessa logica dell’IT, dove la sostituzione tecnologica segue cicli relativamente brevi.
Negli impianti produttivi e nelle infrastrutture critiche, gli asset possono avere cicli di vita superiori ai 15 o 20 anni e sono strettamente integrati nei processi fisici.
Questo rende ogni intervento di upgrade un’operazione delicata, con impatti potenziali su sicurezza, continuità operativa e investimenti già ammortizzati. Il rinnovo tecnologico deve quindi essere pianificato come parte integrante della strategia di cybersecurity, non come iniziativa separata.
Introdurre nuovi apparati, sistemi di controllo più evoluti o architetture native secure by design significa ridurre progressivamente la superficie di attacco, migliorare la capacità di monitoraggio e semplificare l’adozione di modelli di sicurezza più maturi.
È un percorso graduale, che richiede visione industriale, governance del rischio e una stretta collaborazione tra funzioni tecniche, operation e sicurezza.
Identità e accesso
Accessi remoti, account condivisi e privilegi eccessivi rappresentano ancora uno dei principali vettori di compromissione negli ambienti OT.
In infrastrutture distribuite, dove fornitori e manutentori accedono da remoto, l’identità diventa di fatto il nuovo perimetro di sicurezza.
Una gestione efficace degli accessi richiede autenticazione forte, applicazione del principio del privilegio minimo e audit periodici sugli account industriali.
L’obiettivo non è limitare l’operatività, ma garantire che ogni accesso sia tracciabile, giustificato e coerente con il ruolo operativo.
Risposta agli incidenti
La difesa degli ambienti industriali non può essere affidata a modelli di monitoraggio nati esclusivamente per l’IT.
Un SOC efficace in ambito OT deve essere in grado di interpretare eventi cyber e comportamenti di processo in modo integrato.
Ciò significa correlare log tradizionali con traffico industriale, comprendere il linguaggio dei protocolli OT e disporre di playbook specifici per la risposta agli incidenti operativi.
La rapidità di intervento è importante, ma lo è ancora di più la capacità di preservare la continuità del servizio evitando azioni correttive che possano generare effetti collaterali sugli impianti.
Un SOC OT maturo non si limita a rilevare l’attacco, ma aiuta l’organizzazione a comprenderne l’impatto sul processo industriale.
