Accesso remoto sicuro a PLC e SCADA: architettura, VPN e conformità NIS2

· 17 minuti di lettura
17 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

Nel 2025, oltre il 78% dei guasti ai controllori industriali potrà essere diagnosticato e risolto da remoto, senza che sia necessario l’intervento di un tecnico. Eppure, la maggior parte delle aziende manifatturiere continua a inviare un tecnico in loco per interventi della durata di 15-30 minuti che costano da 800 a 2.000 € ciascuno. Il principale ostacolo: il timore (legittimo) di esporre la propria rete OT a Internet.

Questa guida risponde alla domanda che si pongono tutti i responsabili dell'automazione e dell'IT industriale: come consentire l'accesso remoto ai propri controllori senza creare una vulnerabilità nella propria rete OT? Architettura tecnica, protocolli VPN, controllo degli accessi, audit trail, conformità NIS2: tutti questi aspetti sono trattati.

Perché l'accesso remoto OT non è come l'accesso IT​

I vincoli specifici delle reti OT​

Le reti di tecnologia operativa (OT) presentano vincoli radicalmente diversi rispetto al mondo IT tradizionale. Ignorarli significa o rinunciare all'accesso remoto o creare una grave vulnerabilità.

Protocolli legacy non sicuri per definizione:

  • Modbus TCP/RTU: nessuna autenticazione, nessuna crittografia — progettato nel 1979 per reti chiuse
  • S7comm (Siemens): protocollo proprietario, porta 102, vulnerabile agli attacchi man-in-the-middle in assenza di un livello di crittografia esterno
  • EtherNet/IP (Rockwell): porta 44818, protocollo CIP — nessuna sicurezza nativa nelle versioni storiche
  • PROFINET: protocollo in tempo reale Siemens/Ethernet, latenza critica, incompatibile con i proxy applicativi standard

Vincoli di tempo reale e disponibilità: Un controllore che gestisce una linea di produzione non può essere riavviato per l'applicazione di una patch di sicurezza. Le finestre di manutenzione vengono pianificate in anticipo, spesso con cadenza mensile o annuale. Qualsiasi interruzione non pianificata — anche di soli 30 secondi — può avere gravi conseguenze fisiche o finanziarie.

Apparecchiature obsolete in produzione: È comune trovare in produzione controllori logici programmabili (PLC) Siemens S5, Schneider Premium o Allen-Bradley SLC 500 con 15-25 anni di vita. Nessuna crittografia integrata, nessuna autenticazione moderna — solo RS485 e Modbus.

Conseguenze molto diverse in caso di intrusione: Un'intrusione nella rete IT compromette i dati. Un'intrusione nella rete OT può causare l'arresto di una linea, innescare un guasto di sicurezza o, nel peggiore dei casi, provocare un incidente fisico (come nell'incidente alla rete elettrica ucraina del 2015 o nell'attacco Triton/TRISIS del 2017 contro un sistema di sicurezza strumentato).

La trappola più pericolosa: il port forwarding diretto​

La tentazione è forte: aprire la porta 102 (S7) o la porta 80 (interfaccia web) sul router della sede e accedere al PLC da qualsiasi luogo. Veloce, senza alcuna configurazione… e disastroso.

Nel 2024, il motore di ricerca Shodan indicizza costantemente oltre 45.000 controllori industriali direttamente esposti su Internet in Francia. Un PLC Siemens accessibile sulla porta S7-comm viene rilevato dagli scanner automatici in meno di 48 ore. Le conseguenze documentate includono:

  • Manomissione dei programmi dei controllori logici da parte di soggetti malintenzionati
  • Interruzioni volontarie della produzione (ransomware OT)
  • Esfiltrazione di know-how (programmi, ricette, parametri di produzione)
  • Sabotaggio dei sistemi di sicurezza strumentata (SIL)
Non esporre mai una porta OT direttamente su Internet

Nessun controllore (Siemens, Schneider, Rockwell, ABB, Omron) deve essere accessibile direttamente da Internet. Anche se protetto da password, anche su una porta non standard. L'unica architettura sicura si basa su una VPN o su un sistema di tipo Zero Trust Network Access.

Le 3 architetture di accesso remoto sicuro​

Architettura 1: VPN da sede a ufficio — lo standard del settore​

Si tratta dell'architettura più diffusa e più adatta al 90% dei casi industriali. Un router industriale in loco mantiene costantemente attivo un tunnel VPN crittografato in uscita verso un hub cloud o il vostro data center. Il tecnico si connette tramite un client VPN dal proprio computer.

Caratteristiche principali:

  • Nessuna porta in entrata sulla rete del sito — il firewall del sito blocca tutto il traffico in entrata
  • Il tunnel VPN viene stabilito dall'interno verso l'esterno (connessione in uscita dal gateway)
  • Tutti i protocolli OT transitano nel tunnel crittografato: S7comm, Modbus TCP, EtherNet/IP, PROFINET (Layer 2)
  • Il tecnico vede il PLC come se fosse collegato localmente alla LAN del sito
  • TIA Portal, Unity Pro, Studio 5000, FactoryTalk — compatibili senza modifiche

Configurazione: 20 minuti dal lato del sito (installazione del gateway), 5 minuti dal lato del tecnico (client OpenVPN o WireGuard).

Architettura 2: Jump server / bastione OT​

Negli ambienti caratterizzati da rigide politiche di sicurezza (industria chimica, nucleare, idrica) o in cui operano più team di operatori (fornitori di servizi, integratori, costruttori di macchinari), un server bastion rafforza l'isolamento.

Il bastione inoltra solo le connessioni esplicitamente autorizzate. Registra tutto il traffico, lo rifiuta per impostazione predefinita e concede l'accesso solo alle apparecchiature presenti nella lista bianca definita per ciascun tecnico.

Consigliato per: OIV, EE (NIS2), siti certificati ISO 27001, settori ad alto rischio (chimico, farmaceutico, energetico).

Architettura 3: Zero Trust Network Access (ZTNA)​

Per le grandi flotte (50+ sedi) con più team e partner esterni (produttori di macchinari OEM, integratori, subappaltatori), il modello Zero Trust è ormai imprescindibile. Il principio: non fidarsi mai, verificare sempre.

Ogni accesso viene valutato in base a:

  • Identità: chi si connette? (MFA obbligatoria, compatibile con LDAP/SSO)
  • Contesto: da quale dispositivo? A partire da che ora? Da quale località?
  • Diritti minimi: accesso solo alle risorse necessarie per lo svolgimento della missione, nient’altro
  • Tracciabilità: ogni comando, ogni flusso viene monitorato e può essere riprodotto
CriterioVPN tradizionaleBastionZTNA
Complessità di implementazioneBassaMediaElevata
Granularità dei dirittiRete/VLANApparecchiaturaVariabile/sessione
Audit e tracciabilitàConnessioni VPNComandi SSHTutte le azioni
Scalabilità (100+ sedi)MediaBuonaEccellente
Compatibile con NIS2 OIVSì (se configurato correttamente)SìSì (nativo)
Costo dell'infrastrutturaBassoMedioElevato

Guida pratica: accesso remoto a un PLC Siemens S7-1200​

Prerequisiti​

  • Gateway Eziwan installato sulla rete del sito (sottorete 192.168.1.0/24)
  • PLC S7-1200 all'indirizzo 192.168.1.10 (da confermare tramite TIA Portal in locale)
  • Account tecnico creato sulla piattaforma Eziwan
  • TIA Portal v17 o versione successiva installato sul PC del tecnico
  • Client OpenVPN o WireGuard installato

Fase 1 — Verificare la topologia di rete del sito​

Dalla dashboard di Eziwan → Sito → Configurazione di rete:

# Dall'interfaccia CLI del Gateway (SSH locale o console)
eziwan route list
# Risultato atteso:
# 192.168.1.0/24 via eth0 (LAN) → announced via VPN tunnel
# 0.0.0.0/0 via lte0 (WAN) → default route LTE

eziwan connectivity test 192.168.1.10
# Risultato atteso:
# Ping 192.168.1.10 OK (4ms)
# Port 102 (S7) : OPEN

Fase 2 — Creare un account tecnico sulla piattaforma​

Dashboard Eziwan → Accesso → Tecnici → Nuovo accesso:

  1. Inserire l'indirizzo e-mail del tecnico (invito automatico)
  2. Selezionare i siti autorizzati: Site-Lyon-Usine-A
  3. Definire la fascia oraria: Lun-Ven 7h-19h
  4. Selezionare le apparecchiature accessibili (opzionale): solo 192.168.1.10
  5. Data di scadenza dell'accesso (consigliata per i fornitori di servizi)
  6. Generare il profilo VPN — OpenVPN .ovpn o WireGuard .conf

Il tecnico riceve un'e-mail contenente il proprio file di configurazione crittografato e le istruzioni di installazione.

Fase 3 — Installazione del client VPN (tecnico)​

Windows (consigliato: OpenVPN GUI):

# Installation via winget
winget install OpenVPN.OpenVPN

# Importa il profilo (trascinalo nell'area di notifica di OpenVPN)
# oppure dalla riga di comando:
openvpn --config "C:\eziwan\site-lyon.ovpn" --daemon

Linux:

sudo apt install openvpn network-manager-openvpn-gnome
# Importare il profilo tramite NetworkManager
sudo nmcli connection import type openvpn file /home/user/site-lyon.ovpn
sudo nmcli connection up site-lyon

macOS (Tunnelblick):

# Installer Tunnelblick (tunnelblick.net)
# Fare doppio clic sul file .ovpn → importazione automatica

Fase 4 — Collegamento al PLC​

Una volta attivata la VPN, TIA Portal rileva il PLC come se fosse sulla rete locale:

TIA Portal → Online → Accessible devices
→ 192.168.1.10 — Siemens S7-1200 CPU 1212C DC/DC/DC
→ Firmware: V4.5
→ Connessione S7comm (porta 102) stabilita
→ Latenza del tunnel: 18 ms (accettabile per TIA Portal)

Cosa succede dal punto di vista tecnico:

Latenza totale tipica: da 15 a 35 ms su 4G LTE — più che sufficiente per TIA Portal, che funziona correttamente fino a 100 ms.

Compatibilità tramite software di programmazione PLC​

SoftwareProduttoreProtocolloCompatibile con VPN EziwanNote
TIA Portal v17+SiemensS7comm / PROFINET✅ NativoLatenza < 50 ms richiesta
Unity Pro / EcoStruxureSchneiderMODBUS TCP / UNI-TE✅ NativoM340, M580, Premium
Studio 5000 / FactoryTalkRockwellEtherNet/IP / CIP✅ NativoControlLogix, CompactLogix
Sysmac StudioOmronEtherNet/IP / FINS✅ NativoSerie NX, NJ
GX WorksMitsubishiMELSEC✅ NativoSerie Q, FX5
CODESYSMultifornitoreMODBUS TCP / OPC-UA✅ NativoRuntime CODESYS
Step 7 ClassicSiemens (legacy)S7comm✅ CompatibileS7-300/400, protocollo S7 v1
TIA Portal e latenza di rete

TIA Portal è sensibile alla latenza durante le sessioni di debug online. Oltre gli 80 ms, il comportamento può diventare irregolare (timeout di connessione, lentezza nella visualizzazione dei blocchi online). Il 4G LTE offre generalmente una latenza di 15–35 ms, il che è soddisfacente. Il 3G (se ancora disponibile), con una latenza di 80–150 ms, può causare problemi.

Accesso remoto a un'interfaccia utente e a un sistema SCADA​

Interfaccia uomo-macchina Siemens WinCC / KTP (tramite VPN)​

L'interfaccia uomo-macchina (IHM) si trova sulla rete locale del sito (ad es.: 192.168.1.20). Con la VPN attiva:

  • WinCC Runtime: accessibile direttamente tramite l'indirizzo IP locale
  • Simatic HMI: protocollo S7comm, stesso comportamento del PLC
  • Pannello KTP: accessibile tramite TIA Portal online

SCADA Wonderware AVEVA (proxy inverso HTTPS)​

Per i sistemi SCADA con interfaccia web (Wonderware, Ignition, WinCC OA), Eziwan può configurare un proxy inverso sicuro senza che sia necessaria una VPN da parte dell'utente:

# Configurazione del reverse proxy sul gateway Eziwan
proxy_rules:
  - name: scada-lyon
    description: "SCADA Wonderware System Platform — Usine Lyon A"
    internal: http://192.168.1.100:80
    external: https://scada-lyon.eziwan.com
    tls: true                   # HTTPS con certificato Let's Encrypt rinnovato automaticamente
    auth: eziwan_sso            # SSO Eziwan con MFA obbligatorio
    allowed_users:
      - superviseur@entreprise.fr
      - technicien-maintenant@entreprise.fr
    session_timeout: 30m        # Disconnessione dopo un periodo di inattività
    audit_log: true             # Tutte le azioni registrate

L'utente accede a https://scada-lyon.eziwan.com dal proprio browser, effettua l'autenticazione tramite SSO + MFA e raggiunge l'interfaccia SCADA — senza client VPN, da qualsiasi dispositivo.

Ignition (Inductive Automation)​

Ignition dispone di un gateway web nativo. Con Eziwan:

Ignition Gateway (192.168.1.50:8088)
→ Accesso tramite proxy inverso Eziwan con HTTPS + MFA
→ Oppure accesso diretto tramite VPN (porta 8088 locale)
→ Oppure tramite Ignition Cloud (se la licenza Ignition Cloud è inclusa)

Le 7 regole d'oro per la sicurezza dell'accesso remoto OT​

1. Nessuna porta in entrata esposta sul sito​

Regola assoluta. Il Gateway Eziwan blocca tutte le porte in entrata per impostazione predefinita. L'unica connessione consentita è quella in uscita (tunnel VPN verso il cloud). Anche la porta SSH per la gestione del Gateway è disattivata sul lato WAN.

2. Autenticazione a più fattori (MFA) sistematica su tutti gli accessi​

Non è consentito l'accesso a una connessione VPN, al portale Eziwan o al sistema SCADA senza l'autenticazione a due fattori. Metodi supportati: TOTP (Google Authenticator, Authy), chiave fisica FIDO2 (YubiKey), SMS (da evitare).

3. Accesso a durata limitata per i fornitori di servizi​

Un integratore che interviene sulla vostra linea di imbottigliamento per 2 giorni non ha bisogno di un accesso permanente. Create un accesso con data di scadenza e fascia oraria. L'accesso verrà revocato automaticamente.

4. Un accesso per persona, nessuna condivisione delle credenziali​

Un unico account VPN condiviso da tutto il team = nessuna tracciabilità. Ogni tecnico (interno o esterno) deve disporre di un proprio account nominativo. In caso di incidente, saprete esattamente chi era connesso e quando.

5. Registrazione completa e conservazione per almeno 12 mesi​

Ogni connessione VPN, ogni modifica alla configurazione e ogni accesso a un'apparecchiatura devono essere registrati indicando: data e ora, identità, indirizzo IP di origine e durata della sessione. Periodo minimo di conservazione: 12 mesi (la direttiva NIS2 impone 3 anni per gli OIV).

6. Rigorosa separazione tra OT e IT​

I controllori (rete OT) non devono trovarsi sulla stessa VLAN dei server IT. Il gateway Eziwan è in grado di gestire più interfacce LAN con rigide regole di firewall tra VLAN. L'accesso dalla rete IT alla rete OT avviene tramite una DMZ controllata.

7. Revoca immediata degli accessi in caso di dimissioni​

Protocollo di uscita: chiusura dell'account il giorno della partenza, disattivazione immediata del certificato VPN, verifica delle sessioni degli ultimi 30 giorni. Da documentare nella procedura delle Risorse Umane.

Conformità alle norme NIS2 e IEC 62443​

Requisiti previsti da NIS2 per l'accesso remoto​

La direttiva NIS2 (applicabile in Francia dall'ottobre 2024 tramite recepimento) impone alle entità essenziali e importanti misure specifiche in materia di accesso remoto:

Requisito NIS2ArticoloSoluzione Eziwan
Autenticazione forte (MFA)Art. 21 §2bMFA TOTP/FIDO2 su tutti gli accessi
Crittografia delle comunicazioniArt. 21 §2hOpenVPN AES-256-GCM o WireGuard ChaCha20
Registrazione degli accessiArt. 21 §2jLog completi, esportabili, conservazione configurabile
Gestione degli accessi di terze partiArt. 21 §2iAccessi temporanei, nominativi, revocabili
Notifica degli incidentiArt. 23Avvisi automatici in caso di accessi anomali
Gestione delle vulnerabilitàArt. 21 §2eFirmware del gateway aggiornato automaticamente

Mappatura della norma IEC 62443​

La norma IEC 62443 definisce i livelli di sicurezza (SL) per i sistemi di controllo industriali. L'architettura Eziwan comprende:

Livello di sicurezzaRequisiti soddisfatti da Eziwan
SL 1 — Protezione contro attacchi non intenzionaliAutenticazione di base, firewall, registri
SL 2 — Protezione contro attacchi intenzionali sempliciMFA, crittografia, audit trail, segmentazione
SL 3 — Protezione contro attacchi sofisticatiZTNA, segregazione di rete avanzata, rilevamento delle anomalie
sull'esportazione dei dati di conformità

La piattaforma Eziwan genera un rapporto di conformità NIS2 scaricabile (in formato PDF) che include: inventario degli accessi, registri degli ultimi 12 mesi, configurazione di sicurezza. Utilizzabile direttamente per gli audit ANSSI o per revisori esterni.

Risoluzione dei problemi: problemi comuni​

TIA Portal non rileva il PLC tramite VPN​

Possibili cause:

  1. Il percorso verso la sottorete del sito non viene inoltrato dalla VPN → verificare la configurazione dell'interfaccia tunnel (eziwan route list sul gateway)
  2. Il firewall di Windows blocca S7comm sulla rete "Pubblica" → modificare il profilo di rete VPN in "Privata"
  3. Timeout S7comm < latenza del tunnel → in TIA Portal, aumentare il timeout di connessione a 5.000 ms (Impostazioni → Interfaccia PG/PC)

Latenza troppo elevata per TIA Portal (> 80 ms)​

Verifiche:

# Test ping dal PC del tecnico al PLC (VPN attiva)
ping 192.168.1.10 -n 20

# Se la latenza è superiore a 80 ms, verificare:
# 1. Qualità del segnale 4G in loco (si raccomanda un valore RSRP > -100 dBm)
eziwan modem signal

# 2. Ubicazione del concentratore VPN (scegliere Europa/Francia)
# 3. Congestione della rete dal lato del tecnico (effettuare il test da un'altra rete)

Connessione VPN stabilita, ma il PLC non è accessibile​

# Verificare il percorso dal Gateway
eziwan route test 192.168.1.10
# In caso di timeout: controllare il cavo Ethernet tra il gateway e lo switch della sede

# Verificare che il controllore risponda in locale
eziwan ping 192.168.1.10 --source lan
# In caso di timeout: verificare la configurazione IP del PLC e lo stato fisico

Domande frequenti​

Quanti tecnici possono connettersi contemporaneamente? Nelle offerte standard di Eziwan non vi è alcun limite al numero di connessioni VPN simultanee. All’interno dello stesso sito, 2 tecnici possono lavorare contemporaneamente su controllori diversi. La larghezza di banda 4G (tipicamente 20–50 Mbps) viene condivisa tra tutte le connessioni attive.

È possibile utilizzare la nostra VPN aziendale esistente al posto di Eziwan? Sì, se la vostra VPN aziendale è in grado di interfacciarsi con un router che stabilisce un tunnel IPSec standard. Il gateway Eziwan supporta IPSec/IKEv2 come tunnel alternativo. Tuttavia, la perdita di audit trail, della gestione granulare dei diritti e dello ZTP è significativa per le flotte multisito.

È possibile registrare le sessioni di manutenzione remota (video)? La registrazione delle sessioni (screen recording) è disponibile nell'offerta Eziwan Enterprise tramite l'integrazione con strumenti PAM (Privileged Access Management) come CyberArk o Teleport. Non è una funzionalità nativa dell'offerta standard.

L'accesso remoto funziona con i controllori che utilizzano protocolli non IP (Profibus, HART)? Per Profibus: è necessario un gateway Profibus → Modbus TCP o Profibus → Ethernet in loco. Questo tipo di gateway (ad es.: Anybus X-gateway) è quindi accessibile tramite il tunnel VPN. Per HART: i trasmettitori HART sono generalmente accessibili tramite la loro interfaccia Modbus locale o tramite un multiplexer HART.

Come gestire un tecnico esterno che cambia azienda? La revoca è immediata tramite il portale Eziwan: account disattivato, certificato VPN revocato, accesso interrotto in un attimo. Il tecnico non può più connettersi anche se conserva il proprio file di configurazione VPN (il certificato revocato viene rifiutato dal concentratore).

L'accesso remoto interferisce con il funzionamento del PLC? No — il Gateway Eziwan è un dispositivo di rete passivo. Non interferisce con il bus di campo né con le comunicazioni tra PLC e HMI. Il PLC non "rileva" la connessione remota: riceve le richieste Modbus o S7comm come se fossero inviate dalla rete locale.

Per approfondire​

Nel 2025 l'accesso remoto sicuro ai vostri controllori non è più un lusso, ma una necessità operativa (riduzione dei costi di intervento) e normativa (NIS2). Con la giusta architettura, potrete ridurre da 3 a 5 volte i costi di manutenzione sul campo, rafforzando al contempo la sicurezza della vostra rete OT.

Hai bisogno di una verifica della tua attuale architettura di accesso remoto? Pianifica una demo tecnica — il nostro team effettuerà una diagnosi completa della tua sicurezza OT in 45 minuti.

Risorse aggiuntive​