Chi lavora in ambito informatico conosce bene la regola d’oro della sicurezza: aggiorna presto e aggiorna spesso. In ufficio funziona quasi sempre, perché il riavvio notturno di un server di posta non fa danni a nessuno.
In fabbrica la stessa regola può invece trasformarsi in un problema serio, dato che un aggiornamento installato nel momento sbagliato rischia di bloccare una linea che lavora a ciclo continuo. Il patch management in ambito industriale nasce proprio da questa tensione, e il sistema MES ne rappresenta uno dei punti più delicati.
Indice degli argomenti
Patch management industriale: perché aggiornare richiede cautela
Nel mondo della tecnologia operativa, quella che gli addetti ai lavori chiamano OT, le priorità sono diverse da quelle dell’informatica tradizionale. La guida NIST SP 800-82, nella terza revisione pubblicata a settembre 2023, lo dice in modo esplicito quando ricorda che questi sistemi hanno requisiti di prestazione, affidabilità e sicurezza fisica del tutto particolari. Tradotto nella pratica di ogni giorno, significa che la disponibilità della macchina viene prima di quasi ogni altra cosa.
A questo si aggiunge un fattore che chi gestisce un impianto ha ben presente. Molti software industriali vengono qualificati dal fornitore su una specifica combinazione di sistema operativo e librerie, e un aggiornamento non previsto può far decadere il supporto oppure, peggio ancora, introdurre un comportamento inatteso nel controllo di processo. Ecco perché in tante aziende le patch restano in attesa per mesi, a volte per anni, lasciando aperte porte che un attaccante sa perfettamente come attraversare.
Le vulnerabilità del MES tra rete aziendale e impianto
Il Manufacturing Execution System è il software che traduce gli ordini del gestionale in istruzioni per il reparto, raccoglie i dati di produzione e tiene traccia di lotti, tempi e qualità. Nel modello di riferimento ISA-95 occupa il livello 3, lo strato che si trova a metà strada tra i sistemi aziendali e i controllori che muovono fisicamente le macchine.
Proprio questa posizione lo rende prezioso e allo stesso tempo esposto. Da un lato il MES dialoga con l’ERP e con la rete aziendale, dall’altro con PLC, sistemi SCADA e postazioni operatore. In genere poggia su server, database relazionali e applicazioni web che soffrono delle stesse vulnerabilità di qualunque altro sistema informatico, e chi riesce a comprometterlo si ritrova in mano un ponte verso il cuore dell’impianto. Trattarlo come un semplice applicativo d’ufficio, oppure, al contrario, come una scatola nera da non toccare mai significa quindi commettere due errori speculari.
Inventario degli asset e priorità delle patch in fabbrica
Il primo passo non consiste nell’installare qualcosa ma nel sapere con precisione cosa c’è in rete. Un inventario aggiornato degli asset, che riporti versioni software, firmware e dipendenze, ti permette di capire quali bollettini di sicurezza ti riguardano davvero e quali puoi archiviare senza perdere tempo.
Vulnerabilità sfruttate e contesto operativo
Una volta chiarito cosa possiedi, devi decidere da dove cominciare, perché nessuna fabbrica può correggere tutto e subito. Un riferimento molto utile è il catalogo KnownExploitedVulnerabilities della CISA, l’agenzia statunitense per la cybersicurezza, nato con la direttiva operativa BOD 22-01 del 3 novembre 2021. Raccoglie soltanto le vulnerabilità per le quali esistono prove affidabili di sfruttamento reale, e incrociarlo con il tuo inventario ti indica dove il rischio è concreto e non semplicemente teorico. La stessa CISA suggerisce di usarlo come uno degli elementi di un sistema di priorità più ampio, non come unico criterio.
Il punteggio di gravità, infatti, racconta solo una parte della storia. Una falla critica su un server MES raggiungibile dalla rete aziendale pesa molto più di una vulnerabilità analoga su una macchina isolata e accessibile solo fisicamente, ed è il contesto del tuo impianto a dover guidare le scelte.
Come pianificare gli aggiornamenti senza fermare le linee
Ridurre le vulnerabilità e garantire la continuità produttiva non sono obiettivi in conflitto, a patto di avere un metodo. Il riferimento internazionale è la serie IEC 62443, e in particolare il rapporto tecnico IEC TR 62443-2-3, dedicato proprio alla gestione delle patch negli ambienti di automazione industriale. Il documento distingue le attività che spettano al fornitore, chiamato a sviluppare e comunicare le informazioni sugli aggiornamenti, da quelle che competono a chi possiede l’impianto, al quale tocca invece pianificarne la distribuzione e l’installazione.
Il collaudo delle patch in un ambiente di test
Il NIST raccomanda di distribuire le patch di sicurezza nel modo più rapido possibile, ma solo dopo averle provate in condizioni di campo su un sistema di test. Per un MES questo significa disporre di un ambiente di collaudo che replichi con fedeltà quello di produzione, magari sfruttando la virtualizzazione per contenere i costi. Lì puoi verificare che l’aggiornamento non comprometta le interfacce con l’ERP, non rallenti le interrogazioni al database e non alteri la comunicazione con le macchine.
Finestre di manutenzione, ridondanza e ripristino
Superato il collaudo, conviene agganciare l’installazione ai fermi già previsti, come i cambi formato, le manutenzioni programmate o le chiusure stagionali. Se il MES gira in configurazione ridondata, con un nodo attivo e uno di riserva, puoi aggiornare un server alla volta spostando il carico sull’altro, e la produzione non se ne accorge nemmeno. È una scelta progettuale da fare quando si acquista o si rinnova il sistema, perché introdurla in un secondo momento costa molto di più.
Prima di ogni intervento resta indispensabile un backup completo e verificato, accompagnato da una procedura di ripristino già sperimentata. Sapere di poter tornare indietro in pochi minuti cambia radicalmente il modo in cui affronti un aggiornamento.
I controlli compensativi quando la patch deve attendere
Capita che l’aggiornamento non sia disponibile, oppure che il fornitore non lo abbia ancora qualificato. In questi casi entrano in gioco i controlli compensativi, misure che abbassano il rischio senza toccare il software vulnerabile. Una rete suddivisa secondo il modello a zone e condotti della IEC 62443 limita i movimenti di un eventuale intruso, mentre regole di firewall che lasciano passare solo il traffico strettamente necessario riducono la superficie d’attacco. Se a tutto questo affianchi accessi remoti ben controllati e un monitoraggio passivo del traffico industriale, puoi attendere in sicurezza la finestra giusta per intervenire.
Gestione delle vulnerabilità industriali e obblighi NIS2
Per molte aziende italiane il tema non è più soltanto tecnico. Il decreto legislativo 4 settembre 2024, n. 138, che recepisce la direttiva europea NIS2, comprende tra i settori interessati diverse attività manifatturiere e chiede ai soggetti coinvolti misure adeguate di gestione del rischio informatico, inclusa la gestione delle vulnerabilità. Un processo di patch management documentato e ripetibile diventa così anche una prova concreta di diligenza.
Dalla singola patch alla manutenzione continua della sicurezza
Alla fine, la differenza non la fa il singolo aggiornamento ma la continuità del processo. Se conosci i tuoi asset, dai la precedenza alle vulnerabilità realmente sfruttate, provi ogni patch prima di installarla e sfrutti le finestre di fermo già in calendario, puoi ridurre l’esposizione del tuo MES senza sacrificare un solo turno di produzione. In fondo la sicurezza in fabbrica funziona proprio come la manutenzione preventiva, e costa sempre meno di qualsiasi guasto.
Bibliografia
National Institute of Standards and Technology, Guide to Operational Technology (OT) Security, NIST SP 800-82 Rev. 3, settembre 2023. csrc.nist.gov e testo integrale.
International Electrotechnical Commission, IEC TR 62443-2-3:2015, Security for industrial automation and control systems. Part 2-3: Patch management in the IACS environment, giugno 2015. webstore.iec.ch.
Cybersecurity and Infrastructure Security Agency, BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, 3 novembre 2021. cisa.gov.
Decreto legislativo 4 settembre 2024, n. 138, recepimento della direttiva (UE) 2022/2555 (NIS2). diritto.it e Assolombarda.
Partecipa alla community