La cybersecurity industriale non è più soltanto una questione di protezione dei sistemi informatici. È diventata una componente essenziale della gestione del rischio d’impresa, perché un attacco può compromettere la continuità della produzione, interrompere le forniture, provocare perdite economiche e mettere a rischio le relazioni commerciali.
La crescente interconnessione delle fabbriche, l’evoluzione delle minacce e l’introduzione di nuove normative europee stanno accelerando questa trasformazione. Il problema, però, non si esaurisce nell’adeguamento alle disposizioni della NIS 2 o del Cyber Resilience Act: la sfida è costruire un modello organizzativo capace di integrare la sicurezza nelle decisioni aziendali, coinvolgendo il management, i responsabili della produzione, le funzioni IT e OT e i partner della filiera.
È uno dei messaggi principali emersi nel corso dell’evento “La fabbrica fragile: proteggere la produzione nell’era della connettività”, parte dell’Industry 4.0 360 Summit. L’evento, che si è svolto online il 20 ottobre, ha offerto un confronto sul tema della cybersecurity industriale e ha coinvolto rappresentanti delle istituzioni europee, esperti di sicurezza e imprese.
Indice degli argomenti
Le minacce aumentano, ma cambia anche il valore della sicurezza
A delineare lo scenario delle minacce è stato Alessio Pennasilico, membro del Comitato Tecnico Scientifico del Clusit, che ha richiamato i dati dell’associazione sull’evoluzione degli incidenti informatici nel manifatturiero.
Il quadro evidenzia una crescente esposizione delle imprese industriali, con attacchi prevalentemente motivati da finalità economiche e conseguenze che possono andare ben oltre la compromissione dei dati.
La peculiarità del manifatturiero è che l’interruzione dei sistemi digitali può tradursi rapidamente nell’impossibilità di produrre. E questo rende la sicurezza un problema che riguarda direttamente la capacità dell’impresa di rispettare gli impegni commerciali.
Secondo Pennasilico, tuttavia, sta cambiando anche la percezione del problema da parte del mercato. La crescente attenzione dei clienti alla sicurezza dei fornitori sta creando una pressione che, in alcuni casi, anticipa gli stessi obblighi normativi.
“Molte imprese avevano già iniziato a chiedere certificazioni e requisiti di sicurezza ai propri fornitori prima ancora dell’introduzione delle nuove norme. Poter affermare che la propria azienda, i propri processi e i propri prodotti sono più sicuri di quelli dei concorrenti è diventato anche un elemento di competitività commerciale“, ha spiegato Pennasilico.
Le nuove normative rappresentano quindi, per le organizzazioni più mature, la formalizzazione di un percorso già intrapreso. Per altre imprese, invece, stanno imponendo di affrontare problemi che fino a poco tempo fa erano rimasti sostanzialmente trascurati.
La NIS 2 porta la cybersecurity nei consigli di amministrazione
Il cambiamento più importante riguarda la governance. La cybersecurity non può più essere considerata una responsabilità esclusiva del reparto IT, ma deve entrare nei processi decisionali dell’impresa.
È il principio alla base della NIS 2, come ha sottolineato Marnix Dekker, Deputy Head of Unit e Head of Sector NIS dell’unità Resilience of Critical Sectors dell’ENISA, l’Agenzia europea per la cybersecurity.
“La NIS 2 chiede alle aziende di portare la cybersecurity direttamente nelle discussioni dei vertici. Non significa che gli amministratori debbano diventare esperti informatici, ma che devono assumersi la responsabilità delle misure adottate e avere il controllo della gestione del rischio”, ha spiegato Dekker.
Il rappresentante dell’ENISA ha ricordato che il livello di maturità delle organizzazioni europee è tutt’altro che omogeneo. Alcuni settori, come quello finanziario ed energetico, hanno accumulato negli anni una maggiore esperienza nella protezione delle infrastrutture critiche. Altri comparti, tra cui il manifatturiero, si trovano invece a gestire sistemi diventati progressivamente connessi, senza avere sempre sviluppato competenze e strutture organizzative adeguate.
Ma come si traduce concretamente la responsabilità del management?
Per Matteo Marusi, direttore dell’area Digital, Innovation & Compliance Advisory di Tinexta Innovation Hub, occorre distinguere tre livelli: la governance, che definisce le responsabilità e approva le scelte strategiche; il management, che le traduce in processi e procedure; e la resilienza operativa, che permette all’impresa di affrontare gli incidenti senza compromettere irrimediabilmente le proprie attività.
La difficoltà è che le imprese si trovano a gestire contemporaneamente normative differenti. Alcune intervengono sull’organizzazione, come la NIS 2, altre sulla sicurezza dei prodotti, come il Cyber Resilience Act e il Regolamento Macchine. Quando si verifica un incidente, le responsabilità e gli obblighi previsti da queste disposizioni possono sovrapporsi.
“Chi decide come intervenire quando si verifica un incidente? Chi può autorizzare la disconnessione di una rete? Chi è responsabile della gestione dell’emergenza? Sono tutte questioni che devono essere definite prima, non durante l’attacco”, ha osservato Marusi.
La risposta, secondo il manager, è adottare un modello di governance integrato, evitando di affrontare ogni normativa con un progetto indipendente.
Inventario degli asset, analisi dei rischi, gestione dei fornitori, responsabilità organizzative e piani di risposta agli incidenti sono elementi comuni a diverse disposizioni. Gestirli all’interno di un sistema coordinato permette di ridurre le duplicazioni e, soprattutto, di ottenere una visione complessiva della sicurezza aziendale.
Il rischio non si ferma ai confini dell’impresa
Un altro cambiamento fondamentale riguarda il perimetro da proteggere, che non coincide più con i confini fisici e digitali dell’azienda.
La crescente esternalizzazione di attività, servizi e componenti tecnologici ha creato filiere nelle quali le imprese sono sempre più dipendenti l’una dall’altra. Un fornitore vulnerabile può diventare il punto d’ingresso per un attacco diretto a un cliente di dimensioni maggiori.
“Un’impresa può essere attaccata non tanto per il valore delle sue informazioni, quanto perché fornisce prodotti o servizi a un cliente più importante. Gli attaccanti possono utilizzarla per raggiungere quell’organizzazione”, ha spiegato Dekker.
Per l’esponente dell’ENISA, questa interdipendenza deve diventare anche un’occasione di sviluppo competitivo: offrire prodotti e servizi più sicuri può rappresentare un elemento di differenziazione, soprattutto nei rapporti con clienti che operano in settori critici.
Il problema riguarda direttamente le piccole e medie imprese. Anche quando non rientrano nel perimetro degli obblighi più stringenti, possono essere chiamate a dimostrare un determinato livello di sicurezza per continuare a lavorare con i propri clienti.
Marusi ha evidenziato che una piccola impresa già dotata di procedure, controlli e documentazione adeguati può rispondere rapidamente alle richieste di un grande committente. Un’azienda che parte da zero rischia invece di non riuscire a rispettare i tempi imposti e, nei casi peggiori, di perdere opportunità commerciali.
La sicurezza delle filiere richiede quindi un approccio collaborativo: non soltanto l’imposizione di requisiti contrattuali, ma anche la definizione di controlli proporzionati ai rischi e alle caratteristiche dei diversi fornitori.
Dalla protezione informatica alla resilienza dell’intero sistema
L’allargamento del perimetro di rischio è particolarmente evidente nelle infrastrutture industriali e nei sistemi OT, dove un incidente informatico può avere conseguenze fisiche.
Lo ha sottolineato Tommaso Diddi, analista di Hermes Bay e membro dell’Associazione Italiana Infrastrutture Critiche, richiamando la trasformazione che ha interessato i sistemi industriali negli ultimi anni.
Impianti e dispositivi nati per operare in ambienti chiusi sono stati progressivamente connessi a reti aziendali, servizi cloud e sistemi di accesso remoto. Questa evoluzione ha ampliato le opportunità di digitalizzazione, ma anche le superfici di attacco.
Il problema si accentua quando le minacce assumono una natura ibrida, combinando attacchi informatici, sabotaggi fisici e attività di manipolazione delle informazioni.
“Gli attaccanti ragionano per obiettivi: interrompere un servizio, provocare un danno economico o compromettere la reputazione. Chi si difende, invece, tende spesso a ragionare per singoli ambiti, separando sicurezza fisica, sicurezza informatica e fattore umano. Per proteggere davvero un sistema bisogna superare questa frammentazione”, ha spiegato Diddi.
La gestione del rischio deve quindi considerare l’intero sistema, compresi fornitori, manutentori, accessi remoti e componenti tecnologici datati.
Un approccio che porta a riconsiderare anche il significato della continuità operativa.
Proteggere un’infrastruttura è certamente importante, ma non esiste un sistema di difesa capace di escludere completamente la possibilità di un incidente. Le imprese devono quindi prepararsi anche a limitarne gli effetti, mantenere operative le funzioni essenziali e ripristinare tempestivamente le attività compromesse.
È in questa prospettiva che la cybersecurity diventa un investimento nel business, anziché una semplice voce di spesa necessaria per rispettare le norme.
La crescente attenzione alla sicurezza informatica rappresenta dunque un cambiamento strutturale per l’industria. Le nuove disposizioni europee possono accelerarlo, ma il risultato dipenderà dalla capacità delle imprese di superare una logica puramente formale.
La cybersecurity insomma deve smettere di essere un costo di compliance per diventare una leva strategica d’impresa. L’idoneità delle aziende a stare sul mercato si misurerà sempre più sulla capacità dei vertici di governare il rischio digitale, proteggere la propria filiera e garantire la continuità del valore prodotto.
