Monitoraggio delle reti di produzione: sapere cosa comunica, senza fermare gli impianti

    Servizio gestito di rilevazione passiva sui segmenti di rete dove transitano protocolli industriali. Visibilità continua su impianti che non si possono aggiornare né interrompere.

    Il problema, dal punto di vista di chi lo vive

    Impianti collegati alla rete aziendale che non si possono aggiornare, non si possono fermare e su cui non si può installare software. Accessi remoti di costruttori e manutentori di cui spesso nessuno ricorda l'origine. Nessuno strumento pensato per la rete d'ufficio è utilizzabile: interrogare un dispositivo di automazione può causare un malfunzionamento o un blocco.

    Il risultato è che il segmento più critico dell'azienda è anche quello meno osservato. Non per trascuratezza: perché gli strumenti disponibili non erano utilizzabili.

    Su come e perché i due domini divergono abbiamo scritto una guida dedicata: la rete della produzione non è la rete dell'ufficio.

    Cosa fa il servizio

    Rilevazione passiva continuativa. Il sistema osserva una copia del traffico che già transita sul segmento, prelevata da una porta di mirroring dello switch o da un punto di derivazione passivo. Non genera pacchetti verso i dispositivi, non si inserisce nel percorso delle comunicazioni, non richiede software installato sui sistemi di comando.

    Protocolli di automazione riconosciuti

    Riconosciuti a livello applicativo: Modbus e DNP3.

    Protocolli informatici riconosciuti sul segmento

    • SMB
    • RDP
    • SSH
    • VNC
    • Kerberos
    • LDAP
    • DNS
    • HTTP
    • TLS
    • SNMP
    • Syslog
    • FTP
    • SMTP
    • DHCP
    • RADIUS
    • SIP
    • NTP

    Più l'analisi dei certificati, dei tunnel, delle sessioni cifrate e dei trasferimenti di file.

    Il traffico che attraversa una rete di produzione non è solo traffico di automazione. È soprattutto traffico informatico: le sessioni con cui un manutentore esterno entra su un impianto, i collegamenti verso l'esterno di un sistema che nessuno sapeva ne avesse, i tunnel aperti per un'assistenza e mai chiusi. Sono proprio i protocolli con cui si accede da remoto — desktop remoto, condivisioni di rete, sessioni cifrate, tunnel — quelli che il monitoraggio osserva con maggiore dettaglio. La domanda «chi entra sui nostri impianti, quando e da dove» trova qui una risposta documentata, e non dipende dal protocollo di automazione che quel macchinario parla.

    Perimetro di interpretazione

    Dove un impianto usa un protocollo di automazione diverso da Modbus e DNP3, il monitoraggio non ne interpreta il contenuto applicativo, ma continua a rilevare che quel dispositivo comunica, con chi, con quale volume, con quale regolarità e verso quali destinazioni, incluse quelle esterne. La visibilità sulle relazioni di rete resta; l'interpretazione del contenuto industriale è limitata ai due protocolli indicati.

    Cosa restituisce

    • L'inventario di ciò che comunica davvero sul segmento, aggiornato nel tempo e non fotografato una volta.
    • Le comunicazioni verso l'esterno, incluse quelle che nessuno ricordava di aver autorizzato.
    • Le sessioni di accesso remoto: quando avvengono, da dove provengono e verso quali sistemi.
    • Le dipendenze fra sistemi, cioè l'informazione che rende progettabile una separazione di rete senza provocare un fermo.
    • Il rilevamento di comunicazioni anomale rispetto al comportamento osservato come ordinario su quel segmento.
    • Evidenze documentate e conservate nel tempo, utilizzabili a supporto delle valutazioni di rischio e delle richieste di un ente terzo, di un assicuratore o di un cliente in fase di audit di filiera.

    Cosa non fa

    • La rilevazione passiva mostra, non corregge. Restituisce visibilità, non sicurezza.
    • Non sostituisce la segmentazione della rete: la rende progettabile.
    • Non aggiorna né mette in sicurezza i sistemi di comando, e non interviene su di essi.
    • Non blocca il traffico: non si inserisce nel percorso delle comunicazioni, e questo è il motivo per cui è utilizzabile su impianti in marcia.
    • Non sostituisce le decisioni aziendali su cosa separare e quali accessi revocare: quelle restano in capo alla direzione.

    Come si attiva

    1. Ricognizione preliminare: quali segmenti, quali punti di prelievo del traffico sono disponibili, quali impianti sono coinvolti e chi va coinvolto nella decisione. Se esiste già un inventario degli asset si parte da lì.
    2. Installazione del punto di rilevazione. Non richiede fermo impianto se è disponibile una porta di mirroring; dove non lo è, la modalità va concordata con la produzione.
    3. Periodo di osservazione iniziale, necessario perché il sistema distingua ciò che è ordinario su quella rete da ciò che non lo è.
    4. Esercizio in continuità: monitoraggio, notifica degli eventi rilevanti, confronto periodico sulle evidenze raccolte.

    Perché come servizio gestito e non come intervento una volta

    Una rilevazione eseguita una volta produce una fotografia che si disallinea al primo impianto nuovo, al primo fornitore che cambia, al primo accesso aperto per un'urgenza e mai chiuso. Il valore della rilevazione passiva non è nel referto iniziale: è nel fatto che qualcuno guardi quel segmento anche il mese successivo, quando nessuno ha chiesto niente.

    C'è una seconda ragione, tecnica: la capacità di distinguere un'anomalia da un comportamento ordinario dipende dall'osservazione accumulata nel tempo. Un intervento a termine non ha un riferimento con cui confrontare ciò che vede.

    È la stessa logica per cui il modello a chiamata non regge sulla continuità.

    Il quadro di riferimento

    • Per i soggetti che rientrano nell'ambito di applicazione del D.lgs. 4 settembre 2024, n. 138 (recepimento della direttiva NIS2), l'art. 23 attribuisce agli organi di amministrazione e direttivi il compito di approvare le misure di gestione dei rischi e di vigilarne l'attuazione, con responsabilità per le violazioni. Applicato a questo tema: una valutazione del rischio su un segmento di cui non si conosce il traffico si basa su un'ipotesi. Non tutte le imprese rientrano nell'ambito di applicazione: la verifica va fatta caso per caso sulla base dei criteri dimensionali e settoriali e delle determinazioni dell'Agenzia per la Cybersicurezza Nazionale. Si vedano la consulenza NIS2 e la guida NIS2 per PMI: perimetro e obblighi.
    • Dove sul segmento transitano dati personali — sistemi che registrano l'attività degli operatori, controllo accessi, videosorveglianza di reparto — rilevano l'art. 32 del Regolamento (UE) 2016/679, sulle misure tecniche e organizzative adeguate al rischio, e l'art. 29, che vincola chi tratta dati per conto del titolare a operare solo su istruzione documentata di quest'ultimo. Si veda la consulenza GDPR.
    • Sul servizio stesso: il monitoraggio osserva traffico di rete e, dove questo comporta il trattamento di dati personali, DC Consult opera in qualità di responsabile del trattamento su istruzione documentata del cliente. Il servizio non ha finalità di controllo dell'attività dei lavoratori.
    • IEC 62443 e NIST SP 800-82 sono riferimenti tecnici e buone pratiche che formalizzano l'approccio per zone e collegamenti controllati: non sono obblighi di legge.
    • Il Regolamento (UE) 2023/1230 relativo alle macchine è citato qui solo per spiegare perché intervenire su un sistema di comando non è un'operazione neutra e va verificata con il fabbricante.

    Contenuto con finalità tecnico-operative. Non costituisce consulenza legale né valutazione della posizione di conformità di una specifica impresa.

    Domande frequenti

    La rilevazione è passiva: il sistema osserva una copia del traffico e non genera pacchetti verso i dispositivi, non si inserisce nel percorso delle comunicazioni e non introduce ritardi nei cicli di comunicazione.

    Dove è disponibile una porta di mirroring sullo switch, l'installazione del punto di rilevazione non richiede un fermo impianto. Dove non è disponibile, la modalità di prelievo del traffico va concordata con la produzione.

    Una scansione interroga i dispositivi: su un segmento di produzione una richiesta inattesa può causare un malfunzionamento o un blocco. Il monitoraggio passivo non interroga nulla, si limita a osservare il traffico che già transita.

    Sì, perché non richiede software installato sui sistemi di comando e non interviene su di essi. È proprio la condizione in cui la rilevazione passiva è utilizzabile: impianti che non si possono aggiornare né interrompere.

    I protocolli di automazione interpretati a livello applicativo sono Modbus e DNP3. Su tutti gli altri dispositivi il monitoraggio rileva comunque le relazioni di rete — chi comunica con chi e verso quali destinazioni esterne — insieme all'intero traffico informatico che attraversa il segmento, che è dove passano gli accessi remoti dei fornitori.

    No. Fornisce visibilità ed evidenze a supporto delle valutazioni che la norma richiede; la conformità è un esito organizzativo che dipende da decisioni aziendali.

    No. Il punto di rilevazione si collega alla rete, non ai sistemi di comando: non è previsto alcun software da installare sui dispositivi di automazione o sulle postazioni che li governano.

    Hai impianti collegati e nessuna visibilità su cosa comunicano?

    Partiamo da una ricognizione dei segmenti e dei punti di prelievo disponibili, senza toccare gli impianti in marcia.

    Prenota una call →