Question 1

La mia azienda è interessata dalla direttiva NIS2?

Accepted Answer

La normativa NIS2 si applica alle medie e grandi imprese operanti nei settori cosiddetti “essenziali” (energia, acqua, trasporti, sanità, alimentazione, infrastrutture digitali) e “importanti” (produzione, chimica, servizi postali, gestione dei rifiuti). Se gestite apparecchiature industriali connesse in questi settori, probabilmente siete interessati da questa normativa. Consultate il sito dell’ANSSI per l’elenco completo o richiedete una valutazione al nostro team.

Question 2

Il gateway Eziwan deve essere certificato CRA?

Accepted Answer

Sì. Il CRA (applicabile a partire da dicembre 2027) impone la marcatura CE per la sicurezza informatica su tutti i prodotti che contengono componenti digitali, compresi i router e i gateway IoT. Eziwan si impegna a seguire un piano di conformità completo al CRA prima della scadenza. Il gateway è già progettato secondo i principi «Secure by Design» richiesti dal regolamento.

Question 3

Che cos'è il "Zero Trust" applicato all'OT?

Accepted Answer

Il modello Zero Trust OT implica che nessun dispositivo sia considerato affidabile per impostazione predefinita, nemmeno all’interno della rete. In pratica, con Eziwan: nessuna porta aperta verso Internet (zero inbound port), autenticazione di ogni gateway tramite certificato asimmetrico, accesso degli utenti rigorosamente controllato (MFA, RBAC, scadenza) e segmentazione di ogni sito nel proprio tunnel VPN.

Question 4

Come documentare la conformità a Eziwan in vista del mio audit NIS2?

Accepted Answer

Eziwan Cloud fornisce report di audit completi: inventario delle apparecchiature, registri di accesso, eventi di rete, configurazioni VPN. Il nostro team è in grado di fornire un dossier di conformità tecnica conforme ai requisiti NIS2 e agli standard ANSSI. Contattate il nostro team di sicurezza per preparare il vostro audit.

Question 5

Qual è la corrispondenza tra Eziwan e la norma IEC 62443?

Accepted Answer

L'architettura Eziwan è conforme ai requisiti della norma IEC 62443-3-3 al Livello di Sicurezza 2 (SL2): autenticazione, crittografia, audit trail, controllo dei flussi, integrità del software. Per i clienti che desiderano raggiungere il livello SL3, sono disponibili configurazioni potenziate (isolamento fisico, autenticazione tramite token hardware).

Question 6

Come implementare la segmentazione della rete IT-OT nel mio stabilimento?

Accepted Answer

La segmentazione della rete IT/OT è la misura prioritaria raccomandata dalla norma IEC 62443 e dall’ANSSI per proteggere i sistemi industriali. L'architettura di riferimento è il modello di Purdue (ISA-95/ISA-99), che definisce 5 livelli: livello 0 (campo, sensori, attuatori), livello 1 (PLC, variatori), livello 2 (supervisione SCADA, HMI), livello 3 (MES, archiviazione dati storici), livello 4 (ERP, informatica d’ufficio). La regola fondamentale è che nessun flusso deve attraversare due livelli senza passare attraverso una DMZ (zona demilitarizzata) con filtraggio a livello di applicazione. In pratica, la segmentazione IT/OT viene implementata con un firewall industriale (Fortinet FortiGate, Palo Alto PA-400, Cisco FirePower) configurato in modalità applicativa per ispezionare i protocolli OT (Modbus, OPC-UA, EtherNet/IP). VLAN dedicate isolano ciascuna zona: VLAN 10 per i controllori, VLAN 20 per la supervisione, VLAN 30 per gli accessi remoti. Con Eziwan, la segmentazione è nativa: il gateway OT avvia una connessione OpenVPN in uscita verso il cloud (zero porte in entrata) e il tunnel VPN costituisce di per sé un canale isolato conforme alla norma IEC 62443-3-2. La rete OT non vede mai la rete IT aziendale: ogni sito Eziwan dispone di un proprio tunnel crittografato.

Question 7

Come si svolge un audit sulla sicurezza informatica dei sistemi industriali OT?

Accepted Answer

Un audit di sicurezza informatica OT si distingue fondamentalmente da un audit IT tradizionale per la necessità di non interrompere la produzione. La metodologia standard prevede quattro fasi. Fase 1 — Mappatura passiva (2-3 giorni): identificazione delle apparecchiature presenti sulla rete OT senza immissione di traffico attivo. Gli strumenti utilizzati sono Nmap in modalità passiva (ascolto esclusivo del traffico esistente), Claroty, Nozomi Networks Guardian o Dragos Platform, che analizzano il traffico di rete acquisito tramite la porta SPAN. Questa fase produce un inventario completo: controllori logici programmabili (PLC), interfacce uomo-macchina (HMI), workstation di progettazione, switch industriali, con le relative versioni del firmware. Fase 2 — Analisi delle vulnerabilità (3-5 giorni): incrocio dell’inventario con i database CVE (NVD, ICS-CERT) per identificare i CVE attivi sulle vostre apparecchiature. Esempi tipici: Siemens SINEMA (CVE-2022-43767, punteggio CVSS 9,8), Schneider EcoStruxure (CVE-2023-37196), Rockwell ControlLogix (CVE-2022-1159). Fase 3 — Test di intrusione controllati (opzionali, fuori produzione): test di penetrazione effettuati durante una finestra di manutenzione programmata per verificare l’effettiva sfruttabilità delle vulnerabilità CVE identificate. Fase 4 — Rapporto e roadmap (5-10 giorni): documento finale con criticità CVSS, mappatura dei flussi, raccomandazioni priorizzate e piano di correzione su 12 mesi. La durata totale di un audit OT completo varia da 4 a 8 settimane a seconda delle dimensioni dell’ambito (numero di siti, numero di controllori). Il costo varia tra 15.000 e 80.000 € a seconda della complessità.

Question 8

Quali controllori PLC sono oggi i più vulnerabili agli attacchi informatici?

Accepted Answer

I controllori logici programmabili (PLC) presentano importanti vulnerabilità strutturali, poiché sono stati progettati in un’epoca in cui la connettività non era una priorità. Le tre linee di prodotti più prese di mira nel periodo 2024-2025 sono le seguenti. Siemens S7-1500: la vulnerabilità CVE-2022-43767 (punteggio CVSS 9,8) consente l’esecuzione di codice da remoto tramite il server web integrato nelle versioni del firmware precedenti alla V2.9.4. La vulnerabilità CVE-2023-46280 interessa le comunicazioni OPC-UA. Schneider Electric Modicon M340: la vulnerabilità CVE-2022-45788 (CVSS 9,8) consente un attacco denial-of-service tramite la porta Modbus TCP 502 non autenticata. Anche le versioni del firmware precedenti alla V3.60 di Unity Pro sono interessate da vulnerabilità relative all’escalation dei privilegi. Rockwell Automation ControlLogix: le vulnerabilità CVE-2023-3595 e CVE-2023-3596 (CVSS 9,8), rese note nel luglio 2023, consentono la modifica non autorizzata dei programmi ladder dalla rete. Queste vulnerabilità sono state sfruttate in attacchi mirati all’infrastruttura critica statunitense. Il processo di aggiornamento del firmware raccomandato per tutti questi controllori è: (1) consultazione dei bollettini PSIRT (Product Security Incident Response Team) di ciascun produttore, (2) test del firmware in un ambiente di simulazione prima dell’implementazione in produzione, (3) implementazione durante una finestra di manutenzione programmata con un piano di ripristino, (4) verifica dell’integrità del firmware scaricato (hash SHA-256 pubblicato dal produttore). Eziwan si è abbonata ai bollettini PSIRT di Siemens, Schneider e Rockwell per avvisare i propri clienti interessati entro 24 ore dalla pubblicazione di un CVE critico.

Conformità in materia di sicurezza informatica
industriale integrata

Ciò che ogni normativa
richiede da parte vostra

6 livelli di sicurezza
Zero Trust OT

Porta in entrata zero

Crittografia end-to-end

Autenticazione forte

RBAC e controllo degli accessi

Separazione OT/IT

Firmware protetto e OTA

Eziwan copre i requisiti fondamentali

Certificata. Documentata.
Auditable.

Domande frequenti

Pronti a garantire la vostra conformità?
sicurezza informatica industriale?

Requisiti di sicurezza	CRA	NIS2	IEC 62443	ANSSI
Autenticazione forte (MFA)
Crittografia in transito (TLS 1.3)
Crittografia dei dati inattivi (AES-256)		—
Zero porte in entrata (Zero Trust)
RBAC granulare	—
Log di audit immutabili
Firmware firmato (OTA)		—		—
Gestione delle vulnerabilità (CVE)		—	—	—
Separazione OT/IT	—
Continuità (failover Dual SIM)	—		—
Hosting sovrano in Francia	—	—	—
Documentazione tecnica completa

Conformità in materia di sicurezza informaticaindustriale integrata

Ciò che ogni normativarichiede da parte vostra

6 livelli di sicurezzaZero Trust OT