La sicurezza OT e IT è diventata una delle sfide più urgenti per le aziende manifatturiere e per chi gestisce infrastrutture critiche. Con l’avanzare dell’Industria 4.0, i sistemi operativi che controllano macchinari, impianti e linee di produzione sono stati progressivamente connessi alle reti aziendali — e con questa connessione sono arrivati rischi prima sconosciuti. Un attacco informatico che un tempo poteva bloccare un server oggi può fermare un’intera linea produttiva, danneggiare fisicamente un impianto o mettere in pericolo le persone. Capire come funziona questa convergenza — e come difenderla — è oggi una priorità strategica, non un dettaglio tecnico.
IT e OT: due mondi con priorità diverse
Per affrontare il problema con concretezza, è utile chiarire la differenza tra i due domini. L’Information Technology (IT) comprende tutti i sistemi dedicati alla gestione e trasmissione delle informazioni: server, PC, applicativi gestionali, reti aziendali. L’Operational Technology (OT) riguarda invece i sistemi che controllano direttamente i processi fisici: PLC, SCADA, DCS, sensori industriali, attuatori.
Le priorità dei due mondi sono storicamente diverse — e spesso in tensione. L’IT privilegia la riservatezza e l’integrità del dato. L’OT privilegia la continuità operativa e la disponibilità del processo: fermare una macchina per applicare una patch può avere costi enormi, o essere semplicemente impossibile senza compromettere la sicurezza fisica dell’impianto.
Questa differenza di cultura e priorità è alla radice di molte difficoltà nell’integrare le due discipline. I team IT e OT spesso parlano linguaggi diversi, usano protocolli diversi e hanno orizzonti temporali diversi: l’IT ragiona in cicli di aggiornamento di mesi, l’OT in cicli di vita di macchine che durano decenni. Portarli a collaborare in modo strutturato è il primo passo per costruire una difesa efficace.
Perché la convergenza IT/OT apre nuovi rischi
I sistemi OT sono stati progettati per operare in isolamento — la cosiddetta strategia dell’air gap. Finché restavano disconnessi dalla rete aziendale e da Internet, erano relativamente al sicuro. La trasformazione digitale ha cambiato tutto. Oggi gli impianti industriali comunicano con i sistemi gestionali, i fornitori, le piattaforme cloud e i centri di manutenzione remota. Questa connettività porta vantaggi reali — efficienza, manutenzione predittiva, ottimizzazione dei processi — ma espone al tempo stesso infrastrutture che non sono mai state progettate con la sicurezza informatica in mente.
Come ha sintetizzato efficacemente un esperto di Cefriel, «gli attacchi non distinguono più tra IT e OT, ma attraversano entrambi i domini». Un ransomware che entra dalla casella email di un dipendente può propagarsi fino ai sistemi di controllo dell’impianto, causando danni che vanno ben oltre la perdita di dati.
I vettori di attacco più comuni negli ambienti OT
I punti di ingresso più sfruttati dai cybercriminali negli ambienti industriali sono tre. Il primo è l’accesso remoto non protetto: le VPN consumer o i software di controllo remoto usati per la manutenzione sono spesso configurati male e privi di autenticazione a più fattori. Il secondo è la supply chain: un fornitore di software o hardware con accesso ai sistemi OT diventa un vettore indiretto di attacco. Il terzo sono le credenziali compromesse: secondo studi recenti, il 45% degli attacchi alla sicurezza industriale deriva proprio dallo sfruttamento di credenziali rubate o deboli.
I numeri degli attacchi industriali in Italia
I dati disponibili per il 2025 fotografano un quadro preoccupante. Nei primi sei mesi dell’anno, in Italia si sono verificati 1.549 eventi informatici con un incremento del 53% rispetto allo stesso periodo dell’anno precedente, secondo il rapporto ACN — Agenzia per la Cybersicurezza Nazionale. Di questi, 346 hanno avuto un impatto operativo concreto.
Sul fronte industriale, il rapporto Clusit segnala che nei primi sei mesi del 2025 si sono registrati 213 attacchi noti contro imprese industriali, un numero che si avvicina già al totale dell’intero 2024. Il settore manifatturiero è stato globalmente il più colpito, rappresentando il 26% degli incidenti cyber mondiali, con un costo medio per violazione che ha superato i 5,5 milioni di dollari.
Questi numeri non riguardano solo le grandi corporation. Le PMI manifatturiere italiane sono esposte quanto — e spesso più — delle aziende strutturate, perché combinano una crescente digitalizzazione con risorse di sicurezza ancora limitate. E in un tessuto produttivo come quello italiano, fatto di filiere interconnesse, la vulnerabilità di un fornitore può diventare rapidamente il problema di tutta la catena.
Come costruire una strategia di sicurezza OT efficace
Non esiste una soluzione unica, ma esistono principi consolidati che guidano le organizzazioni più mature. Il punto di partenza è sempre la visibilità sugli asset: non si può proteggere ciò che non si conosce. Censire tutti i dispositivi OT connessi, mappare i flussi di comunicazione tra reti IT e OT e identificare le vulnerabilità di ciascun componente è il prerequisito di qualsiasi strategia.
Il secondo pilastro è la segmentazione della rete. Lo standard IEC 62443 — il principale riferimento internazionale per la sicurezza dei sistemi industriali — prevede la suddivisione dell’infrastruttura OT in zone e condotti, ciascuno con specifici livelli di rischio e regole di comunicazione. L’obiettivo non è bloccare tutto, ma consentire solo le comunicazioni strettamente necessarie, riducendo la superficie di attacco senza compromettere l’operatività.
Il terzo elemento è la gestione degli accessi privilegiati (PAM, Privileged Access Management). Ogni accesso ai sistemi OT — da parte di operatori interni, manutentori o fornitori — deve essere autenticato con più fattori, tracciato e soggetto a revoca immediata in caso di anomalia. L’accesso remoto in particolare va trattato come una zona ad alto rischio, con strumenti progettati specificamente per ambienti industriali, non soluzioni VPN generiche.
Infine, la risposta agli incidenti deve essere progettata separatamente per l’ambiente OT. Un piano di incident response IT non è trasferibile direttamente agli impianti: occorre conoscere i protocolli industriali, i vincoli di sicurezza fisica e le conseguenze operative di ogni azione di contenimento.
Il quadro normativo: NIS2, IEC 62443 e Cyber Resilience Act
Il contesto normativo si è fatto significativamente più stringente. La Direttiva NIS2, recepita in Italia, estende gli obblighi di sicurezza informatica a un numero molto più ampio di settori e aziende rispetto alla precedente NIS, includendo esplicitamente la manifattura, l’energia, i trasporti e le infrastrutture digitali. Le organizzazioni in scope devono adottare misure di gestione del rischio, notificare gli incidenti gravi e garantire la sicurezza della supply chain.
Il Cyber Resilience Act (CRA), entrato in vigore a dicembre 2024, introduce invece obblighi diretti per i produttori di hardware e software con componenti digitali — compresi i dispositivi industriali. La responsabilità si sposta sul produttore, che deve garantire la sicurezza del prodotto per tutto il suo ciclo di vita. Per le aziende che acquistano o integrano componenti OT, questo significa poter fare domande più precise ai fornitori sulla loro postura di sicurezza.
Sul piano tecnico, lo standard IEC 62443 rimane il framework di riferimento per la progettazione e la gestione della sicurezza nei sistemi di controllo industriale. Non è una normativa cogente, ma è sempre più citato come baseline nei contratti di fornitura e nei requisiti dei bandi pubblici. Adottarlo proattivamente è una forma di vantaggio competitivo, oltre che di riduzione del rischio.
Conclusione
La sicurezza OT e IT non è più una questione che i responsabili di impianto possono delegare al reparto informatico, né un tema che l’IT può gestire senza coinvolgere chi conosce i processi produttivi. Richiede un approccio integrato, che metta insieme competenze diverse e costruisca una governance condivisa tra i due domini.
Le aziende che stanno affrontando questa sfida in modo strutturato — investendo nella visibilità degli asset, nella segmentazione delle reti e nella formazione degli operatori — non si limitano a ridurre il rischio di incidenti. Stanno costruendo una resilienza operativa che diventa un fattore competitivo: con le banche che iniziano a valutare il livello di protezione cyber come indicatore di affidabilità, e con normative sempre più stringenti che premiano chi è già pronto.
Il momento di agire non è dopo il primo incidente. È adesso.
