Come proteggere una rete OT industriale nel 2025: segmentazione, VPN e conformità alla direttiva NIS2

· 9 minuti di lettura
9 min read
Lucas Moreau
Lucas Moreau
Ingegnere di rete OT/IT

Le reti OT (Operational Technology) sono state a lungo considerate "sicure grazie all'isolamento". Questo modello è ormai superato. Con la connettività LTE, la manutenzione remota e il monitoraggio via cloud, i vostri controllori e sistemi SCADA sono ora accessibili dall'esterno — volontariamente o meno.

La direttiva NIS2 (che entrerà in vigore nell'ottobre 2024) impone requisiti di sicurezza informatica agli operatori di importanza vitale e ai fornitori di servizi essenziali. Se gestite infrastrutture critiche, questa direttiva vi riguarda.

I 5 rischi più frequenti legati alla terapia occupazionale​

1. Porta 502 (Modbus TCP) esposta su Internet​

Basta una scansione Shodan per individuare decine di migliaia di dispositivi Modbus TCP accessibili direttamente da Internet. Senza autenticazione, chiunque può leggere — e talvolta scrivere — nei vostri registri.

2. Accesso diretto tramite RDP/SSH alle apparecchiature sul campo​

L'apertura di una porta RDP o SSH verso un HMI o un PLC per consentire la manutenzione remota espone l'apparecchiatura ad attacchi di tipo "force brute". I ransomware che prendono di mira i sistemi industriali spesso penetrano proprio attraverso questa porta.

3. Rete OT/IT non segmentata​

Una rete in cui i controllori, i PC di supervisione e i PC da ufficio condividono la stessa VLAN consente la diffusione laterale di un ransomware da una postazione da ufficio ai controllori di produzione.

4. Password predefinite​

I PLC, i router e le telecamere forniti con password predefinite dal produttore ("admin/admin", "1234") che vengono raramente modificate rappresentano un vettore di attacco banale.

5. Mancanza di monitoraggio delle connessioni​

Senza la registrazione degli accessi remoti, un'intrusione può passare inosservata per settimane.

Architettura di sicurezza consigliata​

Segmentazione OT/IT — la priorità assoluta​

L'area OT non deve mai essere accessibile direttamente da Internet o dall'area IT. Solo la DMZ può avviare connessioni verso l'area OT, previa autenticazione.

VPN OpenVPN/IPSec: l'accesso remoto sicuro​

OpenVPN è il protocollo VPN consigliato per gli ambienti industriali nel 2025. I suoi vantaggi:

  • Superficie di attacco controllata: stack TLS collaudato e autenticazione reciproca tramite certificato X.509
  • Crittografia moderna: AES-256-GCM, ECDHE, SHA-256
  • Autenticazione tramite chiave pubblica esclusivamente — impossibile da violare con attacchi di forza bruta
  • Resilienza: il tunnel si ripristina automaticamente in seguito a un'interruzione della connessione di rete
Regola d'oro per le VPN industriali

La VPN deve funzionare in modalità split-tunnel: solo il traffico diretto alle reti OT deve passare attraverso il tunnel. Il traffico Internet del tecnico non deve transitare attraverso la vostra infrastruttura.

Configurazione Eziwan — zero porte in entrata​

Eziwan adotta un modello di sicurezza esclusivamente in uscita: il router sul campo avvia una connessione crittografata verso i server cloud di Eziwan. Nessuna porta è aperta in entrata sulla rete locale.

# Verifica da un dispositivo sul campo:
$ netstat -an | grep LISTEN
# → Risultato atteso: nessuna riga contenente 0.0.0.0:* o :::*
# Il router non ascolta su nessuna porta in entrata proveniente da Internet

Questa architettura impedisce attacchi quali la scansione delle porte, lo sfruttamento di servizi esposti e la ricognizione della rete.

Lista di controllo per la conformità alla direttiva NIS2​

La direttiva NIS2 prevede in particolare:

  • Gestione degli accessi: autenticazione a più fattori su tutti gli accessi remoti
  • Registrazione: conservazione dei log di accesso per almeno 12 mesi
  • Segmentazione: isolamento delle reti OT dalle reti IT e da Internet
  • Crittografia: crittografia delle comunicazioni in transito
  • Gestione degli incidenti: notifica degli incidenti significativi entro 24 ore
  • Gestione dei soggetti terzi: audit della catena di approvvigionamento (fornitori, integratori)
  • Backup: piano di backup e di ripristino delle attività

Cosa copre Eziwan​

Requisiti NIS2Copertura Eziwan
Crittografia in transitoOpenVPN AES-256-GCM ✓
Registrazione degli accessiLog VPN con data e ora, conservati per 12 mesi ✓
Autenticazione forteChiavi pubbliche + certificati ✓
Isolamento OTZero porte in entrata, VLAN separata ✓
Hosting sovranoOVHcloud Francia, ISO 27001 ✓
Audit della configurazioneCronologia delle modifiche alla configurazione ✓

Verifica di sicurezza: 3 misure immediate​

1. Eseguire la scansione delle apparecchiature esposte​

# Dalla rete locale — identificare le porte aperte
nmap -sV -p 502,4840,102,20000 192.168.1.0/24

# Porta industriali comuni da controllare:
# 502  → Modbus TCP
# 4840 → OPC-UA
# 102  → S7 (Siemens)
# 44818 → EtherNet/IP

2. Verificare le password predefinite​

Consultate il database default-password.info con i dati di riferimento delle vostre apparecchiature. Modificate sistematicamente le password predefinite dal produttore.

3. Attivare gli avvisi di connessione​

Configurate Eziwan in modo che invii immediatamente un avviso in caso di connessioni VPN al di fuori degli orari abituali o provenienti da un indirizzo IP sconosciuto.

VPN industriale vs soluzioni improvvisate​

Molti siti “proteggono” il proprio accesso remoto con strumenti che non sono mai stati progettati per l’OT. La tabella seguente mette a confronto gli approcci riscontrati più frequentemente durante gli audit:

ApproccioEsposizione su InternetTracciabilitàSegmentazione OTVerdetto
RDP/VNC esposto + reindirizzamento delle portePorta pubblica sottoposta a scansione continuaNessunaNessunaDa evitare immediatamente
TeamViewer/AnyDesk su PC di supervisioneIndiretta (PC pivot)Parziale, fuori controlloNessunaTollerata per interventi di assistenza occasionali, mai in modo permanente
VPN in entrata su router/firewall del sitoPorta VPN pubblicaA seconda della configurazioneRaramenteMigliore, ma rimane una superficie di attacco
VPN industriale in uscita (Eziwan)Zero porte in entrataLog completo per ogni sessioneAccesso per dispositivoArchitettura raccomandata, conforme a NIS2

La differenza fondamentale sta nella direzione della connessione: nell'architettura outbound, è il gateway del sito ad avviare il tunnel crittografato verso il cloud. Dal punto di vista di Internet, l'installazione non esiste.

Esempio di architettura Eziwan senza porte in entrata​

PLC e apparecchiature OT (rete segmentata) → gateway Eziwan → connessione 4G/Ethernet in uscita solo → tunnel VPN crittografato (certificati X.509) → cloud Eziwan → tecnici autenticati (MFA), accesso per apparecchiatura, sessioni registrate.

Ogni elemento soddisfa un requisito di audit: la segmentazione isola l’OT dall’IT, il tunnel in uscita elimina la superficie di attacco, l’autenticazione a più fattori (MFA) elimina il rischio legato alle password condivise e la registrazione fornisce la prova richiesta dalla normativa NIS2.

Gli errori più frequenti riscontrati durante gli audit​

  1. L'accesso «temporaneo» diventato permanente: un reindirizzamento di porta aperto per un intervento di assistenza da parte del produttore, mai chiuso.
  2. L'account condiviso: un identificativo unico utilizzato da tutto il team e dai fornitori di servizi — nessuna responsabilità attribuibile, nessuna possibilità di revoca.
  3. Il PC di supervisione con doppio collegamento: connesso sia alla rete OT che a Internet, bypassa l’intera segmentazione.
  4. Le password predefinite dal produttore rimaste invariate: PLC, interfacce utente e router forniti con «admin/admin», presenti nei database pubblici.
  5. L’assenza di revoca verificata: i certificati e gli account dei precedenti fornitori di servizi rimangono validi per anni dopo la scadenza del contratto.

Domande frequenti — Sicurezza delle reti OT e VPN industriali​

Qual è esattamente il ruolo di una VPN in una rete industriale?

Svolge tre funzioni: crittografare gli scambi tra il sito e l'esterno (riservatezza e integrità dei protocolli industriali, che circolano in chiaro per impostazione predefinita), autenticare entrambe le estremità tramite certificati e trasportare i flussi di telemanutenzione senza esporre le apparecchiature su Internet. La VPN costituisce la base; il controllo degli accessi per apparecchio e la registrazione degli eventi completano il sistema.

È indispensabile un firewall dedicato per separare l'OT dall'IT?

Un firewall dedicato è la soluzione consigliata per una segmentazione robusta (Fortinet FortiGate Rugged, Cisco IR, Stormshield). Tuttavia, per le PMI prive di un responsabile IT specializzato, una segmentazione tramite VLAN su uno switch gestibile (con regole inter-VLAN rigorose) rappresenta già un progresso significativo rispetto all’assenza di segmentazione. L’essenziale è che il traffico tra OT e IT sia filtrato e non instradato liberamente.

È sufficiente eseguire un audit delle porte da Internet per verificare che non vi siano porte esposte?

Questo è il primo passo. Utilizzare nmap -sV --open <IP_publique> o uno strumento online (Shodan, Censys) dall’esterno. Una porta 502 (Modbus), 102 (S7Comm), 44818 (EtherNet/IP) o 3389 (RDP) aperta sul proprio indirizzo IP pubblico costituisce un allarme immediato. L'audit deve essere ripetuto dopo ogni modifica alla configurazione di rete.

NIS2 richiede l'uso di una VPN specifica o di un particolare tipo di crittografia?

La direttiva NIS2 non prescrive una tecnologia specifica, ma richiede "misure adeguate" proporzionali al rischio. In pratica, i requisiti funzionali (autenticazione forte, crittografia in transito, registri di audit) sono soddisfatti da OpenVPN con AES-256-GCM + certificati X.509 + MFA. Gli algoritmi obsoleti (DES, RC4, MD5) devono essere disattivati.

Cosa fare se un PLC OT deve comunicare con un server ERP (IT)?

Progettare un flusso unidirezionale OT→IT tramite una DMZ: i dati OT vengono inviati a un server intermedio nella DMZ, al quale si collega l'ERP IT. La rete OT non riceve mai connessioni in entrata provenienti dall'IT. Un data diode rafforza questa unidirezionalità per gli impianti più critici.

La segmentazione OT/IT richiede l'interruzione della produzione per essere implementata?

Se la rete è attualmente "piatta" (OT e IT sullo stesso switch), la migrazione verso un'architettura segmentata richiede una finestra di manutenzione. È possibile prepararsi gradualmente: definire la topologia di destinazione, configurare le VLAN su uno switch di prova, pianificare il passaggio durante un'interruzione programmata. Per i sistemi operativi 24 ore su 24, 7 giorni su 7, un raddoppio temporaneo dell’infrastruttura può consentire una migrazione senza interruzioni.

La sicurezza informatica OT non è più facoltativa. La normativa NIS2 la rende obbligatoria, e i ransomware che prendono di mira il settore industriale lo confermano. Eziwan è progettato per consentirvi di conformarvi a tale normativa senza compromettere la disponibilità.

Hai domande sulla conformità alla direttiva NIS2? Parliamone con il nostro team.

Risorse aggiuntive​