Saper staccare la spina: la guida a quattro agenzie sull'isolamento dei sistemi vitali

Una capacità, non un interruttore

C'è una frase che ricorre in ogni conferenza sulla sicurezza industriale: in caso di attacco grave, stacchiamo. Detta così è rassicurante e vuota, perché nasconde la domanda vera — si può davvero? E se sì, cosa continua a funzionare mentre si è staccati?

Il 28 luglio 2026 quattro agenzie nazionali — la statunitense CISA, l'australiana ASD, il britannico NCSC e il Centro canadese per la cybersicurezza — hanno pubblicato un documento congiunto di sedici pagine intitolato «CI Fortify — Advice for isolating vital systems», che prende quella domanda sul serio.

La tesi è netta e sta in una riga che il documento scrive in forma prescrittiva: le organizzazioni devono costruire punti di isolamento fisico nei propri sistemi vitali, così da poter operare in stato di isolamento da tutte le altre reti e sistemi. Non "dovrebbero valutare": devono costruire.

Sei passi per arrivarci

1. 01
   1-2

   identificare i sistemi e le reti vitali, e i clienti critici
2. 02
   3

   stabilire livelli comuni di criticità e di fiducia per reti e host
3. 03
   4

   mappare le connessioni verso i sistemi vitali e i possibili punti di isolamento
4. 04
   5-6

   costruire separazione e punti di isolamento; scrivere e provare il piano

L'ordine non è decorativo. I primi tre passi sono di conoscenza, non di tecnologia, e sono quelli che quasi sempre mancano: la maggior parte delle organizzazioni non ha un elenco condiviso di cosa sia davvero vitale, né una scala di criticità che significhi la stessa cosa per l'ingegneria di processo e per l'IT.

Il quarto passo — mappare le connessioni — è quello che produce le sorprese. Nella pratica industriale le dipendenze fra ambiente d'ufficio e ambiente di impianto si accumulano per anni, una alla volta, ciascuna per una buona ragione locale, e nessuno tiene il conto complessivo.

Le otto dipendenze da recidere

Il documento è concreto proprio dove serve, elencando le aree tecnologiche in cui le due reti tendono a essere legate:

• routing e switching unificati;
• gestione documentale di configurazioni, firmware e binari;
• virtualizzazione condivisa;
• SAN e NAS condivisi;
• servizi di backup e ripristino;
• identità, DNS e DHCP comuni — tipicamente un unico Active Directory;
• PKI e servizi di certificati;
• sincronizzazione oraria (NTP/PTP) da fonti aziendali o da Internet.

Vale la pena soffermarsi sulle ultime due, perché sono quelle che passano più spesso inosservate. Un ambiente industriale che prende i certificati dalla PKI aziendale, o l'ora da un server NTP corporate, non è isolabile: nel momento in cui si stacca, i certificati non si rinnovano e gli orologi divergono. Sono dipendenze invisibili finché tutto funziona, e decisive esattamente nel momento in cui servirebbe l'autonomia.

Sulla separazione fisica il testo è categorico: per essere fisicamente separate, le reti OT non devono condividere alcuna infrastruttura attiva con le reti non-OT — nessuno switch, router, ripetitore, multiplexer o elemento di calcolo in comune.

Il piano graduato: cinque gradini, non un interruttore

L'idea più utile del documento, e quella che si applica anche fuori dal mondo industriale, è che l'isolamento non sia binario. L'esempio proposto — costruito su una società di trasmissione elettrica di fantasia — è una scala a cinque gradini:

1. Gradino 1
   Accesso remoto esterno

   Si disabilita l'accesso OT per i lavoratori da remoto.

2. Gradino 2
   Accesso remoto interno

   Si disabilita anche l'accesso remoto on-premise.

3. Gradino 3
   Confine IT/OT

   Si isolano tutte le connessioni fra rete non-OT e rete OT.

4. Gradino 4
   Peer a bassa priorità

   Si isolano le connessioni OT-OT verso peer meno critici.

5. Gradino 5
   Isolamento completo

   Ambiente OT e sistemi vitali completamente separati.

Il valore sta nel fatto che ogni gradino ha un costo operativo crescente e una protezione crescente, e che la decisione su quale gradino attivare può essere presa in base a quello che si sta osservando invece che in emergenza. Il documento chiede che i criteri di attivazione di ogni gradino siano definiti in anticipo e collegati al piano di risposta agli incidenti — e che del piano di isolamento esista una copia cartacea conservata offline. Dettaglio che sembra pittoresco finché non si pensa a dove si trova un piano digitale quando la rete è isolata o cifrata.

I rischi dichiarati dell'isolamento

Un punto di onestà del testo che merita di essere ripreso: isolarsi non è gratis, e le agenzie ne elencano tre conseguenze.

I sistemi escono dal ciclo delle patch. Isolati, non ricevono aggiornamenti. Il debito si accumula e va gestito.

Si riduce la visibilità esterna. Telemetria e monitoraggio centralizzati smettono di vedere quell'ambiente proprio mentre sta succedendo qualcosa.

Aumenta il rischio dai supporti rimovibili. Se la rete non è più una via di ingresso, la chiavetta USB torna a esserlo — e le postazioni di controllo dei supporti potrebbero a loro volta non ricevere aggiornamenti.

Ci sono altri due avvertimenti tecnici che vale la pena citare. Sui collegamenti forniti da operatori di telecomunicazione, il documento chiede di trattare qualunque servizio di carrier come non fidato e potenzialmente ostile, e di non usare la cifratura integrata nei dispositivi OT: serve un apparato dedicato. Su MPLS è esplicito: non fornisce garanzia di segregazione e non è sicuro per impostazione predefinita. VLAN, MPLS e liste di accesso IP sono considerati controlli amministrativi utili come misura provvisoria, sui quali però non ci si deve basare come soluzione di lungo periodo per una rete operativa realmente segregata.

I limiti, dichiarati

Il documento è scritto per operatori di infrastrutture critiche con ambienti OT. Applicarlo tale e quale a una PMI italiana di servizi sarebbe una forzatura, e va detto.

Il testo stesso ammette che l'isolamento fisico completo può non essere praticabile per organizzazioni le cui operazioni dipendono da servizi esposti su Internet o da siti geograficamente dispersi.

Contiene inoltre una nota che chiarisce lo statuto delle sue prescrizioni: le affermazioni con "must" rappresentano buone pratiche di sicurezza, e gli operatori devono comunque riferirsi agli obblighi regolamentari e giuridicamente vincolanti della propria giurisdizione. Non è un regolamento.

Infine: non contiene una sola statistica. Nessuna percentuale di efficacia, nessun dato di costo. È un documento che prescrive e non persuade, il che ne rende difficile la citazione a effetto e facile l'uso pratico.

Cosa portare in un'organizzazione qualunque

Anche senza un impianto industriale, tre idee si trasferiscono.

La domanda giusta non è "possiamo staccare" ma "cosa continua a funzionare se stacchiamo". È una domanda che si può porre a qualunque servizio interno, e la risposta rivela dipendenze che nessuno aveva messo per iscritto.

Identità, tempo e certificati sono dipendenze nascoste. Vale ovunque: un ambiente che dipende dal directory centrale per autenticare non sopravvive alla compromissione di quel directory.

Un piano di isolamento serve prima, e serve su carta. Con criteri di attivazione scritti quando si ragiona lucidamente, non alle tre di notte.

Il punto

Isolarsi si impara prima. Durante si chiama soltanto panico.