Modello di maturità per la sicurezza OT: da zero visibilità a detection avanzata

Perché serve un modello di maturità per l'OT

I framework di sicurezza esistenti, da IEC 62443 a NIST CSF, sono strumenti di valutazione completi e rigorosi. Sono anche, spesso, troppo articolati per essere usati come punto di partenza da un'organizzazione che non sa ancora dove si trova.

Un responsabile OT o un CISO che vuole capire "dove siamo oggi e cosa fare domani" ha bisogno di un modello più diretto: pochi livelli, requisiti chiari, un passo successivo definito. Non un framework da certificare, ma una mappa per orientarsi.

Il modello in quattro livelli descritto in questo articolo non sostituisce IEC 62443 o NIST CSF: li presuppone come orizzonte finale. Serve a collocarsi sul percorso, a fare triage delle priorità, a costruire una roadmap sostenibile per un'organizzazione manifatturiera di medie dimensioni.

Livello 1: Cieco

Caratteristiche: nessun inventario degli asset OT, nessun monitoraggio del traffico di rete industriale, nessuna documentazione delle vulnerabilità note. La topologia di rete OT esiste nella testa di chi l'ha costruita anni fa, non in un documento aggiornato. Le comunicazioni tra dispositivi sono sconosciute nel dettaglio.

Cosa manca: la visibilità fondamentale. Non si può proteggere ciò che non si conosce, e al Livello 1 si conosce molto poco.

Segnali che si è al Livello 1: il team non sa con certezza quanti PLC ci sono nella rete di produzione; non esiste un elenco aggiornato delle versioni firmware dei dispositivi critici; l'unico modo per sapere se c'è un nuovo dispositivo in rete è accorgersene fisicamente o aspettare che si manifesti un problema.

Il rischio principale del Livello 1: non è solo che gli attaccanti siano invisibili. È che anche le operazioni di manutenzione normale possono causare problemi non previsti, perché la comprensione dell'ambiente è incompleta. Un dispositivo mal configurato, una versione firmware con una vulnerabilità critica: nessuno lo sa perché nessuno ha mai fatto un censimento sistematico.

Quanto tempo per uscirne: dipende dalle dimensioni dell'ambiente, ma per un impianto manifatturiero di medie dimensioni (decine o poche centinaia di dispositivi OT) ottenere un primo inventario significativo richiede settimane, non mesi, se si usano strumenti di discovery passivo che analizzano il traffico di rete esistente senza disturbare i processi.

Livello 2: Visibile

Caratteristiche: esiste un inventario completo degli asset OT con le informazioni fondamentali per ogni dispositivo (tipo, produttore, modello, versione firmware, indirizzo IP, zona di rete). La topologia di rete è documentata. È disponibile una baseline del traffico normale: quali dispositivi comunicano con quali, su quali protocolli, con quale frequenza.

Come si raggiunge il Livello 2: il prerequisito tecnico è il monitoraggio passivo del traffico di rete OT. Un sensore posizionato in punti strategici della rete cattura il traffico, decodifica i protocolli industriali (Modbus, OPC-UA, PROFINET, EtherNet/IP, DNP3 e altri) e costruisce automaticamente l'inventario degli asset e la mappa delle comunicazioni. Non è necessario interrogare attivamente i dispositivi, operazione che può causare problemi su sistemi legacy.

Cosa si guadagna al Livello 2: per la prima volta, l'organizzazione sa cosa c'è nella rete OT. Questo ha valore immediato anche indipendentemente dalla sicurezza: supporta la manutenzione preventiva, aiuta a identificare dispositivi legacy che non si sapeva fossero ancora attivi, fornisce una base documentale per i vendor che intervengono sull'impianto.

Il passo successivo: il Livello 2 risponde alla domanda "cosa c'è". Il Livello 3 risponde alla domanda "cosa è a rischio e perché". La transizione richiede di associare l'inventario con le vulnerabilità note.

Quanto tempo per avanzare: passare dal Livello 1 al Livello 2 è spesso il salto più rapido in termini di infrastruttura tecnica, ma richiede un processo organizzativo: chi mantiene l'inventario aggiornato, come si gestiscono i cambiamenti (un nuovo dispositivo installato deve entrare nell'inventario entro quanto?), chi ha accesso alla mappa di rete. Senza processo, l'inventario invecchia rapidamente.

Livello 3: Consapevole

Caratteristiche: l'inventario OT è associato alle vulnerabilità note. Per ogni dispositivo è possibile sapere quali CVE sono applicabili, quale è il punteggio EPSS (probabilità di sfruttamento attivo) delle vulnerabilità rilevanti, quali sono le priorità di remediation basate sull'esposizione reale. Esistono regole di detection per le anomalie di rete più evidenti e per i comportamenti non conformi alla baseline.

Come si raggiunge il Livello 3: il prerequisito è il Livello 2 completo. L'aggiunta tecnica è la correlazione tra inventario e database di vulnerabilità (NVD, ICS-CERT, CISA KEV). Per i dispositivi OT questo non è banale: le CVE per sistemi di controllo industriale sono in database dedicati, la mappatura tra la versione firmware di un PLC specifico e le vulnerabilità applicabili richiede strumenti specializzati per l'OT.

L'importanza di EPSS nell'OT: il punteggio CVSS da solo non è sufficiente per prioritizzare nel contesto OT. Una vulnerabilità con CVSS 9.8 su un dispositivo isolato in una zona senza accesso remoto ha priorità diversa rispetto a una vulnerabilità con CVSS 7.0 su un dispositivo esposto con exploit pubblicamente disponibile. EPSS (Exploit Prediction Scoring System) fornisce la probabilità che una vulnerabilità venga sfruttata attivamente nei prossimi 30 giorni, integrandosi con il CVSS per una prioritizzazione basata sul rischio reale.

La detection di base: al Livello 3 si aggiungono le prime regole di anomaly detection. Non l'analisi comportamentale avanzata del Livello 4, ma il rilevamento delle deviazioni più evidenti dalla baseline: un nuovo dispositivo che appare in rete, una comunicazione verso un IP esterno non previsto, un protocollo industriale su una porta non standard, una modifica alla configurazione di un PLC fuori dalle finestre di manutenzione.

Quanto tempo per avanzare: la sfida principale del Livello 3 non è tecnica ma organizzativa: cosa fare con le vulnerabilità trovate. Nell'OT il patching è spesso impossibile o vincolato da finestre di manutenzione molto distanziate, requisiti di certificazione del vendor, impossibilità di spegnere i sistemi. Il vulnerability management OT richiede un processo di gestione del rischio residuo (compensating controls) che va costruito con il team operations, non solo con il team security.

Livello 4: Operativo

Caratteristiche: anomaly detection avanzata basata su modelli comportamentali per asset e per zona. Integrazione con il SOC (interno o gestito) per la gestione degli alert OT. Procedure di risposta agli incidenti specifiche per l'OT, documentate, testate con esercitazioni periodiche. Reportistica automatizzata per la compliance (NIS2, IEC 62443) generata direttamente dai dati di monitoraggio.

Come si raggiunge il Livello 4: il Livello 4 non è uno stato che si raggiunge una volta e si mantiene senza sforzo. Richiede un ciclo continuo: le baseline si affinano nel tempo, le regole di detection si aggiornano quando cambiano i processi, i playbook di risposta si revisionano dopo ogni incidente o esercitazione. È un programma, non un progetto.

L'integrazione SOC: al Livello 4, gli alert OT arrivano al SOC in formato normalizzato (CEF, Syslog, JSON) e vengono correlati con gli alert IT. Questo permette di rilevare attacchi che attraversano il confine IT-OT, che sono proprio quelli più pericolosi e più difficili da individuare guardando solo una delle due reti. Gli analisti SOC devono avere almeno una comprensione di base dei protocolli OT e del contesto operativo per gestire la triage degli alert.

Le procedure di risposta testate: avere un playbook scritto è necessario ma non sufficiente. Il Livello 4 richiede esercitazioni tabletop periodiche in cui il team simula scenari di incidente OT e verifica che le procedure funzionino: chi chiama chi, in quale ordine, con quale autorizzazione si isola un segmento di rete OT, come si coordina con il team operations durante un incidente attivo.

Quanto tempo per raggiungere il Livello 4: l'intervallo tipico dal Livello 1 al Livello 4 per un'organizzazione manifatturiera di medie dimensioni si misura in anni, non in mesi. Ma il punto critico non è la destinazione finale: è il primo passo. La transizione dal Livello 1 al Livello 2, dalla cecità alla visibilità, è il cambiamento di postura più significativo e spesso il più rapido da implementare.

Come usare questo modello

Il modello non è lineare in senso assoluto: è possibile avere elementi del Livello 3 in alcune zone dell'impianto e rimanere al Livello 1 in altre. Questo è comune nelle realtà con impianti distribuiti o con reti OT cresciute nel tempo senza una governance centralizzata.

L'uso pratico del modello è come strumento di assessment e prioritizzazione: mappare dove si trova ogni zona dell'impianto, identificare i gap rispetto al livello superiore, tradurre i gap in azioni concrete con stima del tempo e delle risorse necessarie. Il risultato è una roadmap che non parte dal framework completo ma dal passo successivo più concreto.

Per la rendicontazione verso il management o verso gli auditor NIS2, la maturità OT espressa in livelli è anche un linguaggio accessibile: non richiede conoscenza tecnica approfondita per capire la differenza tra "non sappiamo cosa c'è nella nostra rete OT" e "monitoriamo il comportamento di ogni asset e sappiamo quando qualcosa si discosta dalla norma".

L'angolo MON5

I quattro livelli descritti in questo articolo ricalcano da vicino il percorso operativo di MON5: la fase DISCOVER costruisce inventario e topologia con discovery passiva, senza fermare la produzione, e porta dal Livello 1 al Livello 2. La fase ANALYZE aggiunge la correlazione tra asset, CVE e score EPSS che caratterizza il Livello 3. La fase PROTECT, con monitoraggio continuo e anomaly detection ML, copre il Livello 4.

Il punto di forza è la modularità: non serve attivare tutto subito, le capacità si aggiungono man mano che la maturità cresce. Per collocare il vostro impianto sulla scala e definire il passo successivo, il punto di partenza è un assessment OT.