La cybersecurity industriale sta evolvendo, ma il percorso verso una piena resilienza dei sistemi produttivi è ancora incompleto. È quanto emerge dall’Assessment Cybersecurity OT promosso da Women for Security, che ha coinvolto 75 organizzazioni attraverso 60 domande articolate in 17 aree tematiche.
I risultati sono stati integrati Speciale Manufacturing del Rapporto Clusit 2026, nuova edizione di ottobre 2026.
Indice degli argomenti
La trappola dei controlli perimetrici isolati
L’analisi evidenzia una marcata disomogeneità nella maturità tecnologica e organizzativa delle aziende interpellate. Le contromisure tradizionali volte a blindare il perimetro esterno registrano una diffusione consistente: l’80% delle organizzazioni adotta reti private virtuali per gli accessi remoti in ambito OT, il 78% impiega sistemi di alimentazione ridondata o gruppi di continuità, e il 76% applica controlli per l’accesso fisico agli impianti. Il 75% delle organizzazioni adotta soluzioni per la sicurezza ambientale e il 73% isola gli asset connessi a piattaforme web o cloud.
A fronte di un presidio consolidato delle difese perimetriche, la gestione continuativa dell’intero ciclo di vita dei sistemi presenta vulnerabilità diffuse. Soltanto il 21% delle imprese estende gli aggiornamenti software e di sistema operativo validati ai dispositivi OT e SCADA, mentre appena il 25% dispone di linee guida formalizzate per la gestione del ciclo di vita degli asset.
La medesima quota del 25% esegue collaudi su nuovi macchinari o modifiche in ambienti separati dalla produzione, laddove i controlli periodici di vulnerabilità sui sistemi critici si fermano al 27%. Le strutture dotate di un centro operativo di sicurezza con competenze specifiche per gli ambienti industriali non superano un terzo del campione.
L’asimmetria tra la difesa del confine e la visibilità interna
La conoscenza dettagliata dei dispositivi operativi rappresenta il presupposto fondamentale per qualunque strategia di protezione, ma il quadro rilevato nell’indagine mostra diffuse incompletezze.
Appena 25 organizzazioni su 75 dispongono di un inventario completo degli asset OT, a fronte di 42 realtà che mantengono censimenti parziali. Analogamente, la mappatura dei sistemi critici risulta completa per 29 aziende e parziale per altre 31.
Gli inventari esistenti tralasciano di frequente parametri essenziali per la sicurezza informatica, quali la proprietà degli impianti, il livello di criticità operativa, le dipendenze funzionali e le modalità di connessione remota.
Un segnale d’evoluzione giunge dalla valutazione del rischio, estesa agli ambienti operativi da 35 organizzazioni su 75, con ulteriori 24 strutture impegnate nell’integrazione dei processi valutativi.
Sebbene la segmentazione della rete sia diffusa – con il 73% delle aziende che separa i sistemi connessi a cloud e il 66% che protegge le interconnessioni con gli ERP aziendali –, la capacità di monitoraggio interno rimane limitata.
Strumenti di rilevazione quali SIEM, NIDS, EDR o XDR focalizzati sull’OT sono impiegati da soli 28 rispondenti su 59, mentre 34 impianti non dispongono di un SOC specializzato. La gestione dei registri di evento appare strutturata in 20 aziende su 59, e un quarto dei rispondenti ignora se gli asset condividano una sorgente temporale uniforme, elemento indispensabile per l’analisi post-incidente.
Il nodo operativo tra test sul campo, ripristino e supply chain
La gestione delle patch e la correzione delle vulnerabilità riflettono le peculiarità degli ambienti di fabbrica, nei quali l’arresto imprevisto di un impianto comporta costi elevati e rischi per la continuità operativa.
La pratica dell’aggiornamento software rimane confinata al mondo IT nel 55% delle aziende, venendo applicata ai dispositivi OT solo dal 21% delle strutture. L’esecuzione continuativa di analisi di vulnerabilità riguarda appena 16 organizzazioni su 59, mentre il 49% delle imprese rinuncia a testare macchinari e modifiche prima dell’immissione in catena produttiva.
Il perimetro di sicurezza si estende inevitabilmente lungo la catena di fornitura e manutenzione, dove 33 organizzazioni su 54 hanno definito procedure per l’accesso remoto di terzi, ma soltanto 25 su 59 vincolano contrattualmente i fornitori al rispetto di requisiti di cybersicurezza.
Sul versante della continuità operativa, le procedure di salvataggio dei dati appaiono maggiormente diffuse rispetto alla pianificazione del ripristino: 29 strutture su 59 eseguono backup programmati con test periodici e 31 conservano copie offline, ma i piani di Disaster Recovery estesi all’OT sono presenti in sole 18 organizzazioni.
La gestione degli incidenti mostra invece un livello di strutturazione superiore, con 32 impianti dotati di piani consolidati e 37 pronti a gestire i flussi informativi verso le autorità di regolamentazione.
La governance e il nodo strutturale delle risorse economiche
I programmi di formazione registrano un’adesione positiva, con il 61% delle aziende che eroga corsi dedicati alla sicurezza informatica e alla protezione nei reparti produttivi.
La conformità alle normative guida la stesura delle politiche di sicurezza nel 59% dei casi, e il 54% delle organizzazioni designa un referente per il monitoraggio dell’evoluzione legislativa. Le responsabilità formali per la sicurezza OT sono attribuite esplicitamente soltanto nel 41% dei casi, mentre la gestione delle risorse economiche rivela una criticità marcata.
L’allocazione di un budget strutturato e permanente dedicato alla sicurezza OT caratterizza soltanto 17 organizzazioni su 59. Un numero analogo di aziende prevede finanziamenti saltuari o parziali, laddove 18 realtà dichiarano la totale assenza di risorse economiche riservate alla protezione dei sistemi industriali.
L’assenza di stanziamenti certi ostacola la transizione da interventi tecnici isolati verso un modello di governance integrato, capace di garantire la continuità dei processi di protezione nel tempo.
Dalla protezione perimetrale alla gestione integrata del rischio cyber-fisico
I dati emersi dall’indagine tratteggiano un panorama industriale caratterizzato da diffusi interventi di rafforzamento, nei quali la prevalenza di risposte parziali testimonia un percorso di adeguamento in piena fase di svolgimento.
La sfida principale per il tessuto produttivo consiste nel superare la logica dei controlli di sicurezza verticali per approdare a un’architettura di resilienza distribuita lungo l’intero ciclo operativo.
Proteggere gli asset fisici e digitali costituisce un passaggio indispensabile ma non più sufficiente. La maturità industriale si misura sulla capacità dell’organizzazione di mantenere la visibilità dei sistemi, rilevare tempestivamente le anomalia e ripristinare i processi produttivi in condizioni di totale sicurezza.
“Il messaggio che emerge è chiaro: le imprese non sono prive di difese, ma devono evolvere da una cybersecurity costruita su singole misure tecniche a una gestione integrata e continuativa del rischio cyber-fisico” dichiara Georgia Cesarone, Comitato Direttivo Women for Security e Chief Technology Officer del Centro di Competenza START4.0.
“La sfida non è più soltanto proteggere sistemi e impianti, ma garantire la capacità di individuare le minacce, reagire agli incidenti e ripristinare i processi produttivi in condizioni di sicurezza. Un passaggio fondamentale per rafforzare la resilienza dell’industria italiana”, aggiunge.
