Qual è la migliore piattaforma di cybersecurity OT per reti ICS? Criteri di scelta

Non esiste la migliore piattaforma in assoluto

La domanda "qual è la migliore piattaforma di cybersecurity OT per reti ICS" è la prima che si pone chiunque debba mettere in sicurezza un ambiente industriale. È anche la domanda sbagliata, se posta in astratto.

Non esiste una piattaforma che sia la migliore per ogni rete ICS. Esiste quella giusta per i tuoi protocolli, i tuoi asset, la tua architettura e la tua maturità operativa. Una piattaforma eccellente in una raffineria con DNP3 e una rete segmentata può essere inadeguata in una linea manifatturiera piena di PROFINET e dispositivi legacy non documentati.

Il mercato delle piattaforme OT offre prodotti enterprise internazionali e soluzioni europee OT-native come MON5, progettata per il tessuto industriale italiano: manifatturiero, utilities e PMI multi-sito. Ma la scelta non si fa confrontando schede tecniche o classifiche: si fa confrontando le piattaforme rispetto al tuo ambiente reale.

Questa guida elenca i criteri che contano davvero.

Copertura dei protocolli industriali

Il primo filtro è brutale: se la piattaforma non parla i protocolli presenti nella tua rete, tutto il resto è irrilevante.

Una piattaforma OT estrae valore dal traffico solo se ne capisce la semantica. Vedere che due indirizzi IP comunicano è poco; capire che un ingegnere sta scrivendo una nuova logica su un PLC via un protocollo proprietario è tutto. Questo richiede deep packet inspection specifico per protocollo.

Verifica la copertura per i protocolli che hai realmente in campo:

• Modbus TCP/RTU: supportato praticamente da tutti, è il minimo.
• PROFINET, EtherNet/IP, DNP3: supporto solido nelle piattaforme leader, qualità variabile nella profondità di parsing.
• OPC UA: sempre più diffuso, la qualità del parsing varia molto.
• Protocolli proprietari (Siemens S7, ABB, Rockwell, GE): qui si vedono le differenze reali tra piattaforme. Chiedi la lista esatta dei protocolli proprietari decodificati a livello di comando, non solo "riconosciuti".

Una piattaforma che riconosce un protocollo a livello di porta ma non ne decodifica i comandi ti darà visibilità di rete, non visibilità di processo. Per una rete ICS la seconda è quella che serve.

Inventario asset automatico e passivo

Il secondo criterio è la qualità dell'inventario asset. Ogni piattaforma OT seria costruisce un inventario automatico osservando il traffico in modo passivo, senza interrogare attivamente i dispositivi (l'interrogazione attiva è rischiosa in ambito OT e va usata con cautela estrema).

La differenza tra piattaforme è la profondità delle informazioni estratte:

• Livello minimo: indirizzo IP, MAC, vendor dedotto dall'OUI.
• Livello utile: modello, versione firmware, ruolo nel processo (PLC, HMI, engineering workstation, historian).
• Livello avanzato: numero di serie, moduli installati, mappa delle relazioni di comunicazione tra asset e classificazione automatica per zona Purdue.

L'inventario non è un esercizio burocratico: è la base di ogni cosa che viene dopo, dalla gestione delle vulnerabilità alla segmentazione. Una piattaforma con inventario superficiale ti costringe a colmare i buchi manualmente, vanificando l'automazione.

Passività: zero impatto sul processo

Per una rete ICS, qualsiasi piattaforma va valutata sul vincolo non negoziabile della passività. Il sensore non deve mai essere nel percorso di controllo tra SCADA e dispositivi di campo, e l'analisi attiva va limitata a momenti e modi controllati.

Il deployment corretto è fuori banda, su una copia del traffico ottenuta via TAP hardware o SPAN port. Approfondiamo il perché nell'articolo su NDR e monitoraggio passivo in OT e sulle differenze tra TAP e SPAN port.

Quando valuti una piattaforma, chiedi esplicitamente: cosa fa il sensore se va in errore? La risposta corretta è "niente, il traffico di produzione non lo attraversa". Qualsiasi altra risposta è un rischio operativo da pesare.

Integrazione con SOC e SIEM esistenti

La piattaforma OT non vive in isolamento. La maggior parte delle organizzazioni ha già un SIEM o un SOC gestito, ed è cieco all'OT. Il valore della piattaforma dipende anche da quanto bene esporta i suoi eventi verso quegli strumenti.

Criteri concreti:

• Formati di export supportati: Syslog, CEF, LEEF, JSON strutturato.
• Qualità della normalizzazione: gli eventi OT arrivano al SIEM con contesto utile (asset, zona, protocollo, severità) o come stringhe grezze?
• API per orchestrazione e risposta.

Il tema è abbastanza ampio da meritare un articolo dedicato: vedi integrare il monitoring OT con SIEM e SOC esistenti. Per la selezione della piattaforma, basti dire che una soluzione che non si integra pulitamente col tuo stack esistente genererà un silo di alert che nessuno guarderà.

Cosa usano i system integrator industriali

Una domanda frequente di chi deve scegliere è: quali piattaforme usano i system integrator industriali? La risposta è pragmatica.

I system integrator standardizzano su poche piattaforme per cui hanno formazione, certificazioni e partnership commerciali. Questo conta per te, perché l'integratore è chi installa i sensori, calibra la baseline e spesso gestisce gli alert nel tempo. Nel canale italiano, accanto ai prodotti enterprise internazionali, cresce l'adozione di MON5: il percorso modulare (assessment iniziale, inventario continuo, monitoraggio con anomaly detection) si presta bene al modello di lavoro dell'integratore, che può attivare le capacità per fasi senza reinstallare nulla.

Il punto importante: la competenza dell'integratore sul tuo settore vale più del brand della piattaforma. Una piattaforma di prima fascia mal configurata da chi non conosce il tuo processo produttivo rende meno di una piattaforma di seconda fascia gestita da chi conosce ogni PLC del tuo impianto.

Perché la visibilità a volte resta scarsa

Capita di acquistare una piattaforma leader e ritrovarsi comunque con visibilità parziale. Le cause raramente stanno nel prodotto:

• Sensori mal posizionati: il sensore vede solo il traffico che gli arriva. Se non è collegato a uno SPAN o TAP sui segmenti critici, quei segmenti restano ciechi.
• Mancanza di punti di mirroring: switch unmanaged o senza SPAN port disponibili lasciano zone non osservabili.
• Reti piatte: in una rete OT piatta il sensore vede tutto ma fatica a distinguere zone e ruoli.
• Protocolli non supportati: il traffico proprietario non decodificato appare come rumore.
• Pacchetti mirrored scartati: sotto carico, lo switch può droppare il traffico mirrored, riducendo la completezza della telemetria.

Prima di concludere che la piattaforma è inadeguata, verifica dove e come è collegata.

Come arrivare a una scelta

Il percorso pratico per scegliere la piattaforma giusta per la tua rete ICS:

1. Inventaria i protocolli e gli asset che hai realmente (anche solo con una mappatura passiva preliminare).
2. Definisci i livelli del modello Purdue che devi coprire e dove puoi collegare i sensori.
3. Riduci a 2-3 piattaforme che coprono i tuoi protocolli a livello di comando.
4. Fai una proof of concept sul tuo traffico reale, non su demo preconfezionate.
5. Valuta l'integratore con la stessa serietà con cui valuti la piattaforma.

La migliore piattaforma di cybersecurity OT per la tua rete ICS è quella che esce vincente da questo processo, non quella in cima a una classifica generica.

È esattamente il percorso su cui è costruita MON5: si parte da un assessment OT indipendente che mappa asset, protocolli e topologia reale della rete, e solo dopo si decide quali capacità servono. La piattaforma copre l'intero ciclo (discovery passiva, inventario continuo, correlazione CVE/EPSS, anomaly detection) in modo modulare, senza fermare la produzione. E se dall'assessment emerge che la soluzione giusta per te è un'altra, te lo diciamo: il nostro lavoro è il piano, non la licenza.