Proteggere l'accesso remoto OT

Introduzione: questioni di sicurezza relative all'accesso remoto OT​

L'accesso remoto alle reti OT (Operational Technology) è una necessità per la manutenzione e il monitoraggio industriale, ma costituisce anche il principale vettore di attacchi informatici contro le infrastrutture industriali. Secondo l'ANSSI, il 40% degli incidenti informatici sui sistemi industriali francesi comporta un accesso remoto compromesso.

La posta in gioco è altissima: una compromissione di una rete OT può causare interruzioni della produzione, rischi per la sicurezza delle persone, danni materiali alle apparecchiature e violazioni delle normative NIS2 o IEC 62443.

La presente guida descrive l'architettura di sicurezza di Eziwan e le migliori pratiche per un'implementazione conforme.

Architettura Zero Trust di Eziwan​

Eziwan implementa un modello Zero Trust (non fidarsi mai, verificare sempre) per tutti gli accessi remoti alle reti OT. L'architettura si basa su tre principi fondamentali:

  1. Zero fiducia implicita: ogni connessione viene verificata, anche se proveniente da una rete "affidabile"
  2. Privilegi minimi: ogni utente accede solo alle risorse strettamente necessarie per svolgere il proprio incarico
  3. Ispezione continua: tutte le sessioni vengono registrate e sono analizzabili

Zero Inbound Port: come funziona​

Il gateway Eziwan non richiede alcuna apertura di porte in entrata sul firewall perimetrale del sito industriale. Questo principio è fondamentale per la sicurezza.

Funzionamento tecnico​

Il gateway Eziwan avvia una connessione in uscita verso il cloud Eziwan all'avvio:

1. Gateway in avvio ──> Connessione UDP 1194 in uscita verso cloud.eziwan.com
2. Viene stabilito il tunnel OpenVPN (certificato X.509 + crittografia AES-256-GCM)
3. Keepalive Heartbeat ogni 25 secondi
4. Quando un tecnico si connette, il cloud instrada la sua sessione attraverso il tunnel già stabilito

Vantaggi operativi​

Metodo tradizionale (port forwarding)Eziwan Zero Inbound
Apertura della porta 3389 (RDP) sul firewallNessuna porta in entrata da aprire
Indirizzo IP pubblico fisso richiestoIndirizzo IP dinamico supportato
Visibile su Shodan/CensysInvisibile su Internet
Configurazione complessa del firewallZero configurazione di rete
Rischio in caso di configurazione errata del firewallSuperficie di attacco pari a zero sul lato del sito

Autenticazione 2FA: configurazione TOTP​

Attivazione dell'autenticazione a due fattori (2FA) per un utente​

Su tutti gli account Eziwan la 2FA è attivata di default. La procedura di registrazione:

  1. Accedere a Portale Eziwan → Utenti → [Nome utente] → Sicurezza
  2. Cliccare su "Configura l'autenticazione a due fattori"
  3. Scansionare il codice QR con un'app compatibile con TOTP:
    • Google Authenticator (iOS / Android)
    • Authy (iOS / Android / Desktop)
    • Microsoft Authenticator (iOS / Android)
  4. Inserire il codice di verifica a 6 cifre per confermare la registrazione
  5. Conservare i codici di recupero in un luogo sicuro (≠ smartphone)

Procedura di accesso sicura​

Configurazione avanzata della 2FA​

ParametroValore predefinitoRaccomandazione
Algoritmo TOTPSHA-1 (RFC 6238)Standard (non modificare)
Periodo di validità30 secondiStandard
Finestra di tolleranza±30 secondiCompensare il fuso orario
Codici di recupero8 codici monousoConservare al di fuori dello smartphone
Tentativi prima del blocco5Configurabile da 3 a 10
Durata del blocco15 minutiConfigurabile

Diritti di accesso: per tecnico, per attrezzatura, per fascia oraria​

Modello di autorizzazioni RBAC​

Eziwan utilizza un modello RBAC (Role-Based Access Control) a tre livelli:

Autorizzazione = Utente × Attrezzature × Orari × Livello di accesso

Livelli di accesso disponibili​

LivelloLetturaScritturaRiavvio dell'apparecchiaturaModifica della configurazione
MonitoraggioSìNoNoNo
ManutenzioneSìSìNoNo
EspertoSìSìSìNo
AmministratoreSìSìSìSì

Esempio di configurazione dei diritti​

{
  "user_email": "technicien.externe@prestataire.com",
  "display_name": "Jean Martin - ABC Maintenance",
  "access_level": "maintenance",
  "allowed_devices": [
    "PLC_Ligne_Embouteillage_1",
    "IHM_Ligne_Embouteillage_1"
  ],
  "schedule": {
    "allowed_days": ["monday", "tuesday", "wednesday", "thursday", "friday"],
    "allowed_hours_start": "08:00",
    "allowed_hours_end": "18:00",
    "timezone": "Europe/Paris",
    "allow_exceptions": false
  },
  "session_limits": {
    "max_duration_minutes": 120,
    "max_concurrent_sessions": 1,
    "idle_timeout_minutes": 30
  },
  "valid_from": "2026-01-01",
  "valid_until": "2026-12-31",
  "notes": "Contrat maintenance préventive annuelle"
}

Audit trail: registri delle sessioni​

Posizione dei log​

I log di audit sono accessibili nel Portale Eziwan alla voce Amministrazione → Audit Trail.

È possibile filtrare per:

  • Utente
  • Dispositivo utilizzato
  • Intervallo di date
  • Stato (riuscito / fallito / avviso)
  • Indirizzo IP di origine

Struttura di una voce di log​

{
  "event_id": "evt_20260604_143200_00001",
  "event_type": "session_started",
  "timestamp": "2026-06-04T14:32:00.000Z",
  "user": {
    "id": "usr_00847",
    "email": "jean.martin@prestataire.com",
    "display_name": "Jean Martin"
  },
  "authentication": {
    "password_verified": true,
    "totp_verified": true,
    "ip_address": "82.64.xxx.xxx",
    "country": "FR",
    "user_agent": "Mozilla/5.0..."
  },
  "session": {
    "id": "sess_20260604_143200",
    "device": "PLC_Ligne_Embouteillage_1",
    "protocol": "modbus_tcp_proxy",
    "tunnel": "openvpn"
  }
}

Esportazione dei log ai fini della conformità​

I log possono essere esportati in formato JSON o CSV tramite l'API REST o l'interfaccia web.

# Export via API Eziwan (exemple curl)
curl -H "Authorization: Bearer VOTRE_API_TOKEN" \
     "https://api.eziwan.com/v1/audit-logs?from=2026-01-01&to=2026-06-04&format=csv" \
     -o audit_logs_2026.csv

Buone pratiche: 10 regole di sicurezza​

  1. Un account per persona: non condividere mai le credenziali tra tecnici o fornitori di servizi. Ogni accesso deve essere tracciabile individualmente.

  2. Autenticazione a due fattori (2FA) obbligatoria senza eccezioni: la 2FA è imprescindibile, anche per gli accessi di emergenza. Preparare i codici di recupero in caso di malfunzionamento dello smartphone.

  3. Durata limitata dei diritti dei fornitori: data di scadenza fissa (massimo 12 mesi), verifica trimestrale degli accessi attivi.

  4. Revoca immediata: procedura documentata per revocare un accesso in meno di 5 minuti. Un responsabile designato per eseguire le revoche.

  5. Principio del privilegio minimo: un operatore della linea 1 non ha accesso alla linea 2. Un tecnico di supervisione ha solo accesso in modalità "monitoraggio", non in modalità "manutenzione".

  6. Accesso durante l'orario di lavoro: salvo casi di reperibilità documentati, l'accesso da parte dei fornitori di servizi è limitato all'orario d'ufficio. Le connessioni notturne dall'estero devono attivare un allarme.

  7. Nessun accesso al di fuori degli interventi programmati: per i fornitori di servizi, attivare l'accesso solo durante le finestre di manutenzione. Disattivarlo tra un intervento e l'altro.

  8. Audit trail esaminato regolarmente: settimanalmente dal responsabile OT, mensilmente dalla direzione. Non aspettare che si verifichi un incidente per consultare i log.

  9. Verifica degli accessi di emergenza: simulare una manutenzione di emergenza ogni tre mesi per verificare che la procedura funzioni correttamente (contatto con il servizio di reperibilità, connessione, risoluzione del problema, disconnessione).

  10. Aggiornamento del firmware del gateway: attivare gli aggiornamenti automatici sul gateway Eziwan. Non ignorare mai le note di sicurezza.

Conformità alle norme NIS2 e IEC 62443​

NIS2 (Direttiva europea, recepita in Francia nell'ottobre 2024)​

I requisiti NIS2 applicabili all'accesso remoto OT per i soggetti essenziali e rilevanti:

Requisiti NIS2Implementazione Eziwan
Gestione degli accessi di terze partiAccount nominativi, diritti granulari, scadenza
Autenticazione forte2FA TOTP obbligatoria
RegistrazioneAudit trail completo, esportabile, conservato per 24 mesi
Notifica degli incidentiEsportazione dei log per la segnalazione all’ANSSI entro 24 ore
Gestione delle vulnerabilitàAggiornamento OTA automatico del firmware firmato
Continuità operativaPassaggio al 4G in caso di interruzione della connessione principale

IEC 62443 (Norma sulla sicurezza informatica industriale)​

Eziwan supporta la conformità alla norma IEC 62443:

Area IEC 62443Livello di sicurezzaMisure Eziwan
Area aziendale (L4)SL-1VPN TLS, autenticazione di base
Area operativa (L3)SL-22FA, RBAC, audit trail
Area di controllo (L2)SL-2Accesso tramite tunnel dedicato, diritti per dispositivo
Area campo (L1)SL-1Accesso Modbus/OPC-UA tramite proxy Eziwan

Per ottenere la documentazione completa relativa alla conformità (questionario sulla sicurezza, architettura di riferimento), contattate il team di Eziwan.

Domande frequenti​

Perché vietare qualsiasi accesso dall'esterno a un sito industriale?​

Ogni porta esposta (RDP, VNC, VPN in entrata) viene monitorata costantemente e costituisce la prima via di accesso per i ransomware che prendono di mira il settore industriale. L'architettura Eziwan non apre alcuna connessione: è il gateway stesso ad avviare autonomamente una connessione in uscita crittografata.

La doppia autenticazione è davvero necessaria per l'OT?​

Sì: una password da sola può essere rubata o condivisa. L'autenticazione a più fattori (MFA) subordina l'accesso alle apparecchiature di produzione a un secondo fattore, e questo è un requisito esplicito degli audit NIS2 e IEC 62443.

Come dimostrare chi ha fatto cosa durante un audit?​

Ogni sessione remota viene registrata: identità, data e ora, dispositivo di destinazione, durata, indirizzo di origine. Questi registri immutabili possono essere esportati per gli audit di conformità e le analisi post-incidente.

Questa architettura è conforme alla norma IEC 62443?​

Essa attua le misure chiave dei livelli da SL-1 a SL-2: segmentazione in zone e canali, autenticazione unica per utente, principio del privilegio minimo e tracciabilità. La tabella di corrispondenza riportata sopra illustra in dettaglio ciascun requisito.

Risorse correlate​