di Daniele Curto — Fondatore e Amministratore, DC Consult SRL · 22 agosto 2026 · lettura 11 min
Lo stesso cavo, due logiche opposte
In molte PMI manifatturiere il PC dell'amministrazione e il sistema di comando di una linea sono sulla stessa rete piatta, spesso collegati allo stesso switch. Non è una scelta: quando il macchinario è arrivato serviva un collegamento al gestionale, e la rete che c'era era quella.
Il problema non è che i due mondi siano collegati. È che sono governati con lo stesso criterio, e quel criterio è nato per l'ufficio.
La differenza di fondo è nota: in ufficio la priorità è la riservatezza del dato, in produzione sono la continuità del processo e la sicurezza fisica delle persone. È il punto di partenza, non l'oggetto di questa guida: l'abbiamo trattato nella guida sull' inventario degli asset di rete. Qui si parla di cosa fare quando quei due mondi convivono già.
Le tre incompatibilità che contano
| Ambito | Rete d'ufficio | Rete di produzione | Conseguenza pratica |
|---|---|---|---|
| Aggiornamento del software | Attività ordinaria, pianificabile, reversibile. | Incide sul sistema con cui il macchinario è stato collaudato; può coinvolgere costruttore, condizioni di assistenza e conformità dell'insieme. | Non è una decisione tecnica interna: è una decisione che va concordata. |
| Interruzione del servizio | Un riavvio è un disagio di minuti. | Un riavvio può significare fermo linea, perdita di lotto, ripristino di condizioni di processo e, in alcuni casi, implicazioni di sicurezza per gli operatori. | Le finestre di intervento non le decide l'IT: le decide la produzione. |
| Ciclo di vita | Sostituzione in pochi anni, obsolescenza gestita per rinnovo. | Impianti in servizio per decenni, con componenti non più supportati ma perfettamente funzionanti dal punto di vista meccanico e produttivo. | L'obsolescenza non si risolve sostituendo: va gestita come condizione permanente. |
L'implicazione è decisiva: se le decisioni su queste tre voci vengono prese con i criteri dell'ufficio, il danno non è teorico. È un fermo provocato da un intervento fatto in buona fede.
Perché «aggiornare tutto» non è la risposta
Nella rete d'ufficio la risposta all'obsolescenza è l'aggiornamento, e funziona: il ciclo è breve, l'intervento è reversibile, il fornitore del software lo prevede.
In produzione l'aggiornamento è spesso indisponibile, e non per negligenza. Il software di comando è parte di un insieme collaudato, il costruttore può non rilasciare più aggiornamenti per una versione in servizio da anni, e l'intervento può ricadere sulla responsabilità di chi lo esegue.
Il quadro va letto dal lato del costruttore. Il Regolamento (UE) 2023/1230 relativo alle macchine disciplina i requisiti che il fabbricante deve rispettare per l'immissione sul mercato, inclusi aspetti connessi ai sistemi di comando e alle modifiche che possono incidere sulla conformità. Per l'azienda utilizzatrice la conseguenza pratica è indiretta ma concreta: intervenire su un sistema di comando non è un'operazione neutra e va verificata con il fabbricante. L'inquadramento del singolo caso dipende dalla configurazione dell'impianto e va valutato con il costruttore.
Se non si può aggiornare, l'unica leva che resta è ridurre l'esposizione. Cioè: non rendere raggiungibile ciò che non si può correggere.
Separare invece di aggiornare
Il criterio è semplice da enunciare: raggruppare i sistemi in base a cosa devono comunicare davvero, e consentire fra i gruppi solo i collegamenti necessari, espliciti e documentati. Un sistema di comando che deve inviare dati di produzione al gestionale non ha bisogno di raggiungere Internet, né di essere raggiungibile dalla rete degli uffici.
Questo approccio è formalizzato in due riferimenti tecnici internazionali: la serie IEC 62443, che organizza i sistemi in zone con collegamenti controllati fra zone, e la linea guida NIST SP 800-82 per i sistemi di controllo industriale. Vale la pena ripeterlo: sono riferimenti tecnici e buone pratiche, non obblighi di legge.
Come si guarda una rete che non si può toccare
Per decidere cosa separare serve sapere chi comunica con chi. Ma gli strumenti di scoperta pensati per le reti d'ufficio interrogano i dispositivi, e i dispositivi di automazione rispondono a logiche di comunicazione deterministiche: una richiesta inattesa o un carico anomalo possono causare malfunzionamenti o blocchi. Non eseguire scansioni attive su segmenti di produzione con impianto in marcia.
La risposta tecnica è la rilevazione passiva. Consiste nell'osservare una copia del traffico che già transita sulla rete, senza generare alcun pacchetto verso i dispositivi. Si ottiene tipicamente da una porta di mirroring dello switch o da un punto di derivazione passivo. Il sistema di analisi ricostruisce quali dispositivi comunicano, con quali protocolli e verso quali destinazioni, senza mai interrogare nulla e senza inserirsi nel percorso delle comunicazioni.
Perché è l'approccio corretto in produzione
- non altera il traffico e non introduce ritardi nei cicli di comunicazione;
- non richiede di fermare l'impianto per ottenere visibilità;
- non richiede di installare software sui sistemi di comando, cosa che in molti casi non è nemmeno consentita dal costruttore.
Cosa restituisce concretamente: l'elenco di ciò che comunica davvero, incluse le comunicazioni verso l'esterno che nessuno ricordava, e le dipendenze fra sistemi che rendono rischiosa una separazione fatta a occhio.
Cosa non risolve, detto esplicitamente: la rilevazione passiva mostra, non corregge. Restituisce visibilità, non sicurezza. Le decisioni su cosa separare, su quali accessi revocare e su quali priorità darsi restano decisioni aziendali.
È inoltre una capacità tecnica che richiede strumentazione e competenza specifica: a differenza dei passaggi documentali del censimento, non è un'attività che l'azienda esegue da sola. Su come erogiamo questa capacità in continuità: monitoraggio delle reti di produzione.
Chi decide cosa, quando i due mondi si incontrano
Il conflitto è strutturale: l'IT ragiona per aggiornamento e riduzione del rischio informatico, la produzione per continuità e rispetto dei tempi. Entrambi hanno ragione nel proprio perimetro. Il problema nasce perché nessuno dei due ha mandato sull'intersezione.
Quello che segue è un criterio di attribuzione osservato nella pratica, non un modello organizzativo da adottare così com'è.
| Decisione | Chi propone | Chi decide | Chi va informato |
|---|---|---|---|
| Intervento su sistema di comando di un macchinario | IT o manutenzione | Produzione, con parere del costruttore | Direzione |
| Finestra di fermo per manutenzione informatica | IT | Produzione | Direzione |
| Separazione di segmenti di rete | IT | Direzione, sentita la produzione | Manutenzione e fornitori interessati |
| Autorizzazione di un accesso remoto a un fornitore | Chi ha il rapporto col fornitore | Direzione | IT |
| Revoca di un accesso alla cessazione del rapporto | IT | Direzione | Fornitore |
Il punto non è quale schema si adotta: è che uno schema esista. In assenza, la decisione la prende chi interviene, nel momento in cui interviene, senza che nessun altro lo sappia.
Governance e ruoli di accesso
Governance
Per i soggetti che rientrano nell'ambito di applicazione del D.lgs. 4 settembre 2024, n. 138 (recepimento della direttiva NIS2), l'art. 23 attribuisce agli organi di amministrazione e direttivi il compito di approvare le misure di gestione dei rischi e di vigilarne l'attuazione, con responsabilità per le violazioni. Applicato al tema di questa guida: la scelta di mantenere collegati ambiti con esigenze incompatibili è una decisione di rischio, e come tale ricade su un livello che la norma individua nel vertice, non nel livello tecnico che la esegue.
Non tutte le imprese rientrano nell'ambito di applicazione del decreto. La verifica del proprio inquadramento va fatta caso per caso sulla base dei criteri dimensionali e settoriali previsti dalla normativa e delle determinazioni dell'Agenzia per la Cybersicurezza Nazionale; su questo passaggio interviene la nostra consulenza per l'adeguamento NIS2. Per chi non rientra, quanto descritto resta una misura di prudenza organizzativa e non un adempimento.
Trattamento dei dati personali
Quando sui segmenti di produzione transitano dati personali — sistemi che registrano l'attività degli operatori, controllo accessi, videosorveglianza di reparto — rilevano le previsioni del Regolamento (UE) 2016/679, su cui si innesta la consulenza GDPR:
- art. 32, che impone misure tecniche e organizzative adeguate al rischio, valutazione che presuppone di sapere quali sistemi esistono e cosa trattano;
- art. 29, che vincola chi tratta dati per conto del titolare a operare solo su istruzione documentata di quest'ultimo.
Ricaduta diretta: un costruttore o un manutentore che accede in remoto a un impianto e in quell'accesso tratta dati personali non è un soggetto neutro. Il rapporto va inquadrato e istruito, non tollerato perché necessario all'assistenza.
Da dove si comincia
- sapere cosa c'è collegato: è il prerequisito, ed è il metodo descritto nella guida sull' inventario degli asset di rete;
- sapere chi comunica con chi, con rilevazione passiva se si tratta di segmenti di produzione in marcia;
- stabilire chi decide cosa, prima di intervenire;
- solo allora separare, partendo da ciò che non può essere aggiornato.
L'errore più costoso non è avere una rete piatta. È intervenire su una rete piatta credendola una rete d'ufficio.
Riferimenti
- Direttiva (UE) 2022/2555 (NIS2) — EUR-Lex
- D.lgs. 4 settembre 2024, n. 138 — Gazzetta Ufficiale
- Regolamento (UE) 2016/679 (GDPR), artt. 29 e 32 — EUR-Lex
- Regolamento (UE) 2023/1230 relativo alle macchine — EUR-Lex
- Agenzia per la Cybersicurezza Nazionale — sezione NIS
- IEC 62443 (serie) — riferimento tecnico, non obbligo normativo
- NIST SP 800-82 — Guide to Operational Technology Security