Accesso remoto industriale: rischi e sicurezza OT

L’accesso remoto industriale è diventato parte integrante delle operazioni OT: OEM, system integrator, manutentori e team interni lo usano per assistenza tecnica, diagnostica, aggiornamenti, monitoraggio e manutenzione predittiva. Ogni connessione pensata per la manutenzione è però anche una superficie d’attacco potenziale.

Una VPN, un router industriale, un jump server, un account fornitore, un software di teleassistenza o un gateway IIoT possono trasformarsi in un punto di ingresso verso reti industriali, HMI, PLC, SCADA, DCS e sistemi di supervisione. La CISA evidenzia che gli ambienti ICS hanno esigenze specifiche di disponibilità e integrità che richiedono attenzione dedicata nella progettazione di soluzioni di accesso remoto sicure per i sistemi di controllo industriale.

La domanda utile non è “abbiamo una VPN?”, ma: cosa può fare davvero chi entra da quella VPN, da quel router o da quell’account remoto?

ISGroup interviene come partner tecnico-offensivo per verificare — con Remote Access Security Review, penetration test OT, security assessment, segmentation review, vulnerability assessment controllato e security auditing — se gli accessi remoti sono davvero limitati, tracciati e resistenti a scenari d’attacco realistici.

Perché l’accesso remoto è una delle superfici più critiche in OT

Negli ambienti industriali, l’accesso remoto nasce quasi sempre per motivi legittimi: ridurre i tempi di intervento, evitare trasferte, abilitare la teleassistenza, monitorare macchine in campo, aggiornare software e firmware, raccogliere dati di produzione o collegare sistemi legacy a dashboard moderne. Il problema è che una connessione pensata per la manutenzione può diventare una scorciatoia per un attaccante.

Le pratiche raccomandate dalla CISA per i sistemi ICS sottolineano che le vulnerabilità e le mitigazioni nei sistemi di controllo industriale richiedono approcci specifici, non sovrapponibili in modo automatico agli ambienti IT tradizionali.

In un contesto OT, un accesso remoto compromesso può avere impatti su continuità produttiva, disponibilità degli impianti, integrità dei parametri, configurazioni di macchine, accessi a PLC e HMI, qualità dei dati di telemetria, sicurezza degli operatori, supply chain, compliance e reputazione verso clienti e partner.

Perché la VPN da sola non è sufficiente

La VPN è uno strumento, non una garanzia di sicurezza. Cifra il canale, ma non risolve automaticamente account condivisi, MFA assente, privilegi eccessivi, accessi permanenti, mancanza di logging, mancata segregazione, regole firewall troppo ampie, jump server non hardenizzati, laptop del fornitore compromesso, assenza di approvazione temporale, credenziali non ruotate o mancata revisione periodica degli account.

Una Remote Access Security Review deve rispondere a domande concrete: chi può accedere, da dove, quando, con quale autenticazione, con quali privilegi, verso quali asset, con quale tracciabilità, per quanto tempo, tramite quale dispositivo, con quale segregazione, con quali procedure di revoca e con quale capacità di rilevare abusi.

Gli scenari di rischio più comuni

Account fornitore condiviso

Un unico account usato da più tecnici del fornitore, spesso per anni, senza tracciabilità individuale. Il rischio principale è l’impossibilità di attribuire azioni specifiche: la password viene condivisa via canali insicuri, non viene revocata quando cambia il personale, i privilegi sono troppo ampi e l’audit diventa impraticabile.

VPN permanente verso l’OT

La VPN sempre attiva è comoda, ma crea esposizione continua: l’accesso è disponibile anche quando non serve, la finestra temporale per un attacco si allarga, il movimento laterale diventa possibile e diventa difficile distinguere un accesso legittimo da un abuso, anche in caso di compromissione dell’endpoint del fornitore.

Router industriale esposto

Router o gateway industriali mal configurati possono esporre interfacce web, servizi di gestione, VPN, SSH, porte diagnostiche o configurazioni deboli. La compromissione del gateway apre l’accesso alla rete macchina e può essere sfruttata come pivot verso l’OT o per rendere persistente la presenza dell’attaccante.

Jump server non hardenizzato

Il jump server dovrebbe essere un punto controllato; spesso, invece, diventa un collo di bottiglia debole: password riutilizzate, patch mancanti, MFA assente, log insufficienti, strumenti amministrativi abusabili e accesso a più segmenti industriali.

Accesso remoto diretto a HMI o PLC

In alcuni ambienti il fornitore può raggiungere direttamente HMI, PLC o sistemi di supervisione, con la possibilità di modificare parametri, accedere a logiche operative, abusare di funzioni amministrative, interrompere processi o causare impatti sulla sicurezza funzionale senza lasciare traccia.

Teleassistenza tramite strumenti generici

Software di remote desktop o remote administration possono essere usati anche in contesti industriali senza controlli specifici. La CISA definisce il remote access software come software che consente di connettersi e accedere da remoto a computer, server o reti, distinguendo soluzioni di remote administration e remote monitoring and management con funzioni amministrative e di monitoraggio continuo. Il rischio include accesso non segmentato, credenziali deboli, agent persistenti, difficile controllo centralizzato e esposizione della supply chain.

Gateway IoT come ponte tra macchina e cloud

Un gateway edge o IIoT può collegare macchina, cloud, API, dashboard, rete OT e fornitore. I rischi tipici includono compromissione del firmware, API esposte, credenziali hardcoded, aggiornamenti non sicuri, pivot verso l’OT, manipolazione della telemetria e abuso dell’accesso cloud-device.

Mappa degli scenari: rischio e verifica consigliata

Scenario	Rischio principale	Verifica consigliata
VPN fornitore permanente	Esposizione continua e movimento laterale	Remote Access Security Review, segmentation test
Account condiviso	Assenza di accountability	Identity review, access control test
Router industriale esposto	Compromissione gateway	Vulnerability assessment controllato, hardening review
Jump server debole	Pivot verso segmenti OT	Penetration test mirato, logging review
Accesso diretto a HMI/PLC	Modifica parametri o funzioni operative	Privilege review, test autorizzazioni
Strumento di teleassistenza generico	Abuso sessioni e agent remoti	Configuration review, access monitoring test
Gateway cloud/edge	Ponte tra cloud, macchina e OT	Firmware assessment, API security testing
VPN senza MFA	Accesso con credenziali rubate	MFA validation, account abuse scenario
Regole firewall ampie	Segmentazione inefficace	Firewall rule review, path validation
Log insufficienti	Incapacità di ricostruire incidenti	Logging and detection review

Accesso remoto e segmentazione IT/OT

La segmentazione è il controllo che trasforma un accesso remoto da porta aperta a canale controllato. Un accesso remoto ben progettato dovrebbe permettere di raggiungere solo gli asset strettamente necessari e solo per il tempo necessario.

Negli assessment OT emergono invece spesso situazioni critiche: VPN che entra direttamente nella rete OT, assenza di DMZ industriale, regole firewall permissive, fornitori che raggiungono più macchine del necessario, jump server con accesso a segmenti multipli, mancanza di logging centralizzato, asset legacy raggiungibili da remoto e utenti IT che possono accedere a sistemi OT.

La serie ISA/IEC 62443 è uno dei riferimenti principali per la sicurezza dei sistemi di automazione e controllo industriale: adotta un approccio olistico che collega OT, IT, safety e cybersecurity e fornisce un metodo per valutare le prestazioni di sicurezza. Nel contesto dell’accesso remoto, questo significa verificare non solo il canale, ma l’intero percorso: remoto → autenticazione → jump server → rete → zona OT → asset raggiungibile → privilegi → log.

Accesso remoto, NIS2 e supply chain

La Direttiva NIS2, articolo 21, richiede misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi cyber. Tra le misure minime figurano supply chain security, sicurezza nell’acquisizione, sviluppo e manutenzione, vulnerability handling, access control, asset management e uso di MFA o autenticazione continua dove appropriato.

Per l’accesso remoto OT la lettura pratica è diretta: il fornitore è parte del rischio, gli accessi vanno governati, i privilegi devono essere limitati, l’efficacia delle misure va verificata, MFA e logging devono essere controllabili e i sistemi usati per manutenzione remota devono essere inclusi nel risk assessment. La domanda operativa è: se un fornitore viene compromesso, quanto in profondità può arrivare nell’ambiente OT?

Accesso remoto e modifica del profilo di rischio della macchina

Aprire un accesso remoto su una macchina, installare un gateway o abilitare la teleassistenza può cambiare il profilo di rischio della macchina stessa. Quando l’accesso remoto permette di modificare parametri, aggiornare software, inviare comandi, raggiungere componenti critici o incidere sul comportamento della macchina, il rischio introdotto va valutato con attenzione.

Le domande tecniche rilevanti sono: l’accesso remoto può modificare impostazioni operative o raggiungere funzioni safety-related? Può caricare firmware o software, alterare ricette, soglie o parametri, raggiungere altre macchine, diventare persistente? È tracciato e revocabile? Il valore dell’assessment non è dichiarare se una modifica sia sostanziale in senso giuridico, ma misurare il rischio tecnico introdotto.

Come si verifica: Remote Access Security Review

Una Remote Access Security Review è una verifica tecnica mirata agli accessi remoti industriali. Può essere autonoma o integrata in un più ampio IoT/OT Security Assessment.

Mappatura degli accessi

Si identificano VPN, router industriali, jump server, strumenti di teleassistenza, account fornitori e interni, firewall, gateway, cloud, API, asset raggiungibili, regole di accesso e log disponibili.

Analisi dei ruoli e dei privilegi

Si verifica se ogni account ha solo i permessi necessari: gli account sono nominali o condivisi? Esistono privilegi amministrativi non necessari? Gli accessi sono temporanei? Gli account inattivi vengono rimossi? Il fornitore può raggiungere asset non di sua competenza?

Verifica MFA e autenticazione

Si controlla se l’autenticazione è robusta: MFA presente e applicata a tutti gli accessi remoti, bypass possibili, gestione delle credenziali, password policy, certificati, chiavi VPN e account di emergenza.

Segmentazione e raggiungibilità

Si verifica cosa può essere raggiunto da ogni accesso: una VPN permette accesso a tutta la rete OT? Il jump server limita davvero i percorsi? Il fornitore può fare movimento laterale? La DMZ filtra i flussi? Le regole firewall sono coerenti? I protocolli industriali sono accessibili solo dove necessario?

Logging e rilevamento

Si verifica se l’organizzazione può ricostruire cosa è successo: login, logout, indirizzo sorgente, account usato, asset raggiunti, comandi eseguiti, file trasferiti, modifiche di configurazione, alert, conservazione dei log e correlazione con SIEM o SOC.

Test controllati

Dove autorizzato, si eseguono test mirati per validare scenari realistici: uso di credenziali deboli, accesso con privilegi non necessari, tentativi di raggiungere segmenti non previsti, verifica MFA, verifica del percorso verso HMI/PLC, validazione firewall, test di logging e verifica della possibilità di pivot.

Fasi operative della review

Fase	Attività	Output
Kick-off	Definizione perimetro, accessi, vincoli, referenti	Regole di ingaggio
Mappatura	Identificazione VPN, gateway, account, asset raggiungibili	Mappa accessi remoti
Analisi configurativa	Analisi MFA, privilegi, firewall, log, segmentazione	Finding preliminari
Modello di minaccia	Scenari di abuso realistici	Percorsi d’attacco prioritari
Test controllati	Validazione tecnica dei percorsi	Evidenze di rischio
Report	Sintesi esecutiva e report tecnico	Piano di remediation
Re-test	Verifica delle correzioni	Evidenza finale

Checklist: l’accesso remoto OT è davvero sotto controllo?

Tutti gli accessi remoti sono censiti?
Ogni fornitore ha account nominali?
Gli account condivisi sono stati eliminati?
MFA è attiva su tutti gli accessi remoti?
Gli accessi sono temporanei o sempre attivi?
Ogni accesso ha un owner interno?
Le sessioni sono autorizzate e tracciate?
I fornitori possono raggiungere solo gli asset necessari?
La VPN termina in una DMZ o in una zona controllata?
Esistono jump server dedicati e hardenizzati?
Le regole firewall sono state riviste negli ultimi 12 mesi?
I log permettono di ricostruire cosa ha fatto un fornitore?
Gli account inattivi vengono rimossi?
I dispositivi dei fornitori sono considerati nel modello di rischio?
Gli accessi remoti sono stati testati da un punto di vista offensivo?
Dopo una remediation è stato eseguito un re-test?

Se più risposte sono “no” o “non lo sappiamo”, la postura di accesso remoto è probabilmente più debole di quanto sembri.

Caso operativo: teleassistenza fornitore come vettore d’ingresso

Un’azienda manifatturiera consente a un fornitore di collegarsi da remoto per manutenzione su una linea produttiva. La configurazione iniziale presenta VPN sempre attiva, account condiviso, MFA assente, accesso a più segmenti OT, jump server non dedicato, log non centralizzati, router industriale con configurazione storica e regole firewall create anni prima e mai riviste.

Il rischio concreto include compromissione delle credenziali del fornitore, accesso non autorizzato all’ambiente OT, movimento laterale, raggiungimento dell’HMI, accesso a sistemi non di competenza, assenza di tracciabilità individuale e difficoltà di incident response.

Le verifiche consigliate in questo scenario sono: Remote Access Security Review, MFA validation, privilege review, segmentation test, firewall rule review, logging review, penetration test OT mirato, piano di remediation e re-test. Gli output attesi includono mappa degli accessi, asset raggiungibili, privilegi effettivi, percorsi d’attacco, lacune di logging, remediation prioritaria ed evidenza della correzione.

Caso operativo: OEM con macchine connesse presso clienti

Un OEM vende macchine industriali con teleassistenza remota. Ogni macchina include router industriale, accesso VPN, HMI, PLC, firmware aggiornabile, dashboard cloud, account tecnico e logging locale. Il rischio riguarda sia l’OEM sia il cliente finale: l’OEM deve evitare di diventare vettore verso il cliente, il cliente deve verificare il rischio introdotto dal fornitore, l’accesso remoto deve essere limitato e tracciato, le eventuali modifiche software e firmware vanno verificate e il canale macchina-cloud deve essere sicuro.

Una review tecnica può verificare isolamento tra clienti, gestione delle credenziali per macchina, aggiornamenti sicuri, segmentazione presso il cliente, log degli accessi, privilegi del tecnico, hardening del router, sicurezza delle API e del cloud e firmware del gateway.

Controlli tecnici da validare

Controllo	Obiettivo	Come validarlo
MFA	Ridurre l’abuso di credenziali	Test bypass, copertura account
Account nominali	Garantire accountability	Revisione utenti e log
Privilegio minimo	Limitare l’impatto	Test privilegi e asset raggiungibili
Accesso temporaneo	Ridurre l’esposizione	Verifica abilitazione e revoca
Jump server	Controllare il punto d’ingresso	Hardening e path validation
DMZ industriale	Separare IT e OT	Segmentation test
Logging centralizzato	Ricostruire gli eventi	Detection e logging review
Firewall restrittivi	Limitare i flussi	Rule review e test raggiungibilità
Revoca account	Ridurre gli accessi dormienti	Identity lifecycle review
Re-test	Verificare la remediation	Test post-correzione

Errori ricorrenti da evitare

Pensare che la VPN risolva tutto. La VPN protegge il canale, non l’intero modello di accesso.

Lasciare account condivisi ai fornitori. Senza identità individuale non c’è tracciabilità reale.

Non limitare gli asset raggiungibili. Un fornitore dovrebbe raggiungere solo ciò che serve, non tutta la rete OT.

Non registrare le sessioni. Senza log, un incidente diventa difficile da ricostruire.

Non testare la segmentazione. La segmentazione va dimostrata, non solo disegnata.

Considerare l’accesso remoto un tema solo IT. In OT, un accesso remoto può impattare produzione, safety, qualità e continuità operativa.

Non eseguire il re-test. Dopo la remediation, bisogna verificare che il rischio sia stato davvero ridotto.

Output di una Remote Access Security Review

Documento	Utilità
Sintesi esecutiva	Panoramica per CISO, OT manager e direzione
Mappa accessi remoti	VPN, gateway, account, fornitori, asset raggiungibili
Report tecnico	Evidenze tecniche e configurative
Analisi dei percorsi d’attacco	Percorsi realistici da accesso remoto ad asset OT
Revisione dei privilegi	Account, ruoli, privilegi, eccezioni
Validazione della segmentazione	Verifica dei confini IT/OT e vendor/OT
Revisione del logging	Capacità di ricostruire sessioni e azioni
Piano di remediation	Priorità di correzione
Report di re-test	Evidenza della mitigazione
Evidenze per audit	Materiale tecnico integrabile in NIS2, IEC 62443, audit interni o qualifica fornitori

Il ruolo di ISGroup nella verifica degli accessi remoti OT

ISGroup supporta aziende industriali, OEM, system integrator, utility e operatori OT nella verifica degli accessi remoti industriali. Le attività includono Remote Access Security Review, penetration test OT, IoT/OT Security Assessment, vulnerability assessment controllato, supplier access review, segmentation review, firewall rule review, access control testing, MFA validation, logging and detection review, firmware analysis su gateway, API security testing, security auditing, piano di remediation e re-test.

ISGroup non vende piattaforme di accesso remoto, non promette rischio zero e non sostituisce consulenti legali o organismi certificatori. Il valore è tecnico: verificare come un attaccante potrebbe abusare degli accessi remoti prima che diventino un incidente reale.

Richiedi una verifica di sicurezza degli accessi remoti OT

Se l’organizzazione dispone di VPN, router industriali, gateway, jump server, account fornitori, teleassistenza o manutenzione remota verso macchine e reti OT, vale la pena verificare cosa è davvero raggiungibile prima che un accesso legittimo diventi un percorso d’attacco.

ISGroup analizza accessi, privilegi, MFA, logging, segmentazione, gateway, cloud, firmware e superfici esposte con metodologie offensive controllate.

L’accesso remoto a una macchina industriale è pericoloso?
Non è pericoloso in sé, ma introduce una superficie d’attacco. Il rischio dipende da autenticazione, privilegi, segmentazione, logging, esposizione del gateway e gestione dei fornitori. Una VPN attiva con account condiviso e MFA assente è molto più rischiosa di un accesso temporaneo, nominale e segmentato.
Cos’è una Remote Access Security Review?
È una verifica tecnica degli accessi remoti industriali: VPN, router, jump server, account fornitori, privilegi, MFA, logging, segmentazione e asset raggiungibili. Serve a capire se un accesso legittimo può essere abusato e a misurare il rischio tecnico reale prima che diventi un incidente.
La NIS2 richiede di verificare gli accessi remoti OT?
La Direttiva NIS2, articolo 21, richiede misure tecniche adeguate per gestire il rischio cyber, includendo supply chain, access control, asset management, vulnerability handling e MFA dove appropriato. Gli accessi remoti OT rientrano tra le superfici da governare e verificare, soprattutto quando coinvolgono fornitori terzi.
È possibile eseguire un test senza fermare la produzione?
Sì, se il test è progettato correttamente. In OT si definiscono perimetro, regole di ingaggio, asset esclusi, finestre operative e test controllati. In molti casi si privilegiano review configurative, test passivi, simulazioni o ambienti di staging per evitare qualsiasi impatto operativo.
Chi è responsabile dell’accesso remoto del fornitore?
Dal punto di vista tecnico, l’organizzazione deve sapere chi accede, con quali privilegi, verso quali asset e con quale tracciabilità. La supply chain è parte del rischio cyber: se un fornitore viene compromesso, la profondità di accesso all’ambiente OT dipende dai controlli implementati dall’organizzazione stessa.

Accesso remoto industriale: rischi e verifiche di sicurezza OT