Cybersecurity nelle reti idriche: il settore water/wastewater come infrastruttura critica dimenticata

L'acqua come obiettivo cybernetico

Nel 2021, un operatore tentò di aumentare i livelli di sodio idrossido nell'acqua potabile di Oldsmar, Florida, a oltre 100 volte il livello sicuro, attraverso l'accesso remoto a un sistema HMI. Fortunatamente, un operatore in loco notò il movimento anomalo del cursore sullo schermo e intervenne. Ma l'incidente mostrò qualcosa che molti già sospettavano: le infrastrutture idriche sono vulnerabili, connesse e spesso gestite con strumenti di sicurezza molto meno sofisticati di quanto richiederebbe il rischio.

Il settore water/wastewater presenta una combinazione di fattori che lo rende particolarmente esposto: infrastruttura critica per la salute pubblica, sistemi OT spesso molto datati, budget limitati, personale tecnico specializzato in processi idraulici ma non in cybersecurity, e una progressiva connettività remota introdotta per ridurre i costi operativi.

L'architettura tipica: SCADA, HMI, sensori IoT in campo

Un impianto idrico moderno è un ambiente OT complesso. Al suo centro ci sono sistemi SCADA che monitorano e controllano l'intero ciclo: captazione, trattamento, distribuzione, raccolta delle acque reflue, depurazione.

I componenti tipici includono:

• PLC e RTU distribuiti sulle stazioni di pompaggio, sugli impianti di dosaggio e lungo la rete di distribuzione.
• HMI locali e remote che permettono agli operatori di supervisionare e intervenire sui processi.
• Sensori di qualità dell'acqua che misurano pH, cloro, torbidità e altri parametri in tempo reale.
• Sistemi di telecontrollo SCADA che aggregano i dati da stazioni remote distribuite sul territorio.
• Reti LPWAN e cellular per la comunicazione con dispositivi remoti dove la fibra non arriva.

Molti di questi sistemi hanno anni o decenni di vita. I protocolli di comunicazione sono spesso proprietari o vecchie versioni di standard industriali che non prevedono autenticazione. Gli aggiornamenti sono rari per la necessità di validare ogni modifica in un sistema che non può permettersi downtime.

Gli incidenti che hanno aperto gli occhi

Oltre a Oldsmar, negli ultimi anni si sono verificati diversi episodi che hanno portato l'attenzione sul settore. In Europa, diversi operatori di acquedotto sono stati colpiti da ransomware che ha bloccato i sistemi di gestione pur senza compromettere direttamente i processi fisici. In Medio Oriente, attori state-sponsored hanno sondato le infrastrutture idriche come parte di campagne di ricognizione più ampie.

La preoccupazione principale non è sempre il danno immediato. Un attore con accesso persistente a un sistema di controllo idrico potrebbe semplicemente osservare per mesi, mappare i processi, identificare i momenti di vulnerabilità operativa, e agire solo in un momento di crisi più ampia. La deterrenza, in questi casi, viene dalla capacità di rilevamento, non dalla prevenzione.

Il quadro normativo europeo e NIS2

La Direttiva NIS2 include la distribuzione e il trattamento dell'acqua potabile tra i settori essenziali, così come la raccolta, il trattamento e la distribuzione delle acque reflue. Gli obblighi si applicano ai gestori che superano le soglie dimensionali definite dalla direttiva.

Questo significa, per gli operatori soggetti a NIS2: adottare misure proporzionate di gestione del rischio cyber, implementare procedure di incident response, notificare gli incidenti significativi all'autorità competente entro 24 ore, e garantire la sicurezza della supply chain.

Il recepimento nazionale della NIS2 in molti paesi europei ha incluso l'elaborazione di linee guida settoriali specifiche per il water, ma l'implementazione pratica rimane disomogenea. Molti piccoli gestori locali, che tecnicamente rientrano nello scope della direttiva, non hanno ancora avviato un programma strutturato di conformità.

Dalla visibilità alla risposta

Per un operatore idrico che vuole costruire un programma di sicurezza OT realistico, il percorso parte sempre dalla stessa domanda: cosa ho in rete?

Il passo fondamentale è l'inventario completo degli asset OT, inclusi i dispositivi di campo remoti. Negli ambienti idrici, questo è spesso più difficile che in un impianto manifatturiero perché l'infrastruttura è geograficamente distribuita su un territorio vasto, con stazioni di pompaggio e punti di misura sparsi in luoghi fisicamente isolati.

Una volta disponibile l'inventario, il passaggio successivo è la baseline del traffico: capire quali comunicazioni sono normali nell'ambiente e configurare il monitoraggio per rilevare le deviazioni. Nell'OT idrico, dove i processi sono ciclici e prevedibili, le anomalie di traffico sono segnali ad alto valore diagnostico.

Il terzo pilastro è la gestione degli accessi remoti. Gli impianti idrici dipendono massicciamente dal telecontrollo remoto: è la loro ragione di esistere come infrastruttura distribuita. Rendere sicuri questi accessi, con MFA, accesso just-in-time, session recording, è probabilmente l'intervento con il miglior rapporto costo/beneficio in termini di riduzione del rischio.

L'obiettivo non è la sicurezza perfetta, che non esiste. È ridurre la probabilità di un incidente grave, e garantire che quando qualcosa accade, si sappia cosa sta succedendo in tempo utile per intervenire.

L'angolo MON5

Per un gestore idrico il percorso indicato in queste pagine, prima inventario, poi baseline, poi controllo degli accessi, coincide con la metodologia in tre step di MON5. DISCOVER censisce gli asset OT anche su infrastrutture geograficamente distribuite, con discovery passiva che non disturba stazioni di pompaggio e telecontrollo. PROTECT aggiunge il monitoraggio continuo: nei processi idrici, ciclici e prevedibili, l'anomaly detection ML rende le deviazioni particolarmente evidenti.

La fase ANALYZE supporta inoltre la compliance NIS2, che per il settore water è un obbligo e non una scelta. Per avviare il percorso con risorse limitate, il punto di ingresso è un assessment OT modulare.