Acquedotti, reti energetiche e impianti industriali sono infrastrutture fisiche, ma una parte crescente del loro funzionamento dipende oggi dal digitale. I sistemi informatici permettono di controllare processi complessi, monitorare le apparecchiature e intervenire a distanza, rendendo più efficiente la gestione dei servizi essenziali. Questa evoluzione ha però cambiato anche il significato della cybersecurity, perché la sicurezza digitale fa parte della resilienza delle infrastrutture e della capacità di assicurare la continuità del servizio. Per le utility come Iren la sfida consiste nel continuare a sfruttare le opportunità offerte dalla digitalizzazione, costruendo allo stesso tempo sistemi capaci di prevenire gli incidenti, limitarne gli effetti e reagire rapidamente quando si verifica una minaccia.

Con il tempo, una quantità crescente di funzioni è stata digitalizzata. Parallelamente è aumentata la necessità di gestire gli impianti da remoto, anche per consentire attività di manutenzione e assistenza senza richiedere sempre la presenza fisica dei tecnici. È un’evoluzione che offre vantaggi operativi, ma che amplia inevitabilmente la superficie di attacco, cioè l’insieme dei punti attraverso i quali un soggetto esterno potrebbe tentare di entrare in un sistema. Ogni nuova connessione deve quindi essere progettata e gestita tenendo conto anche della sicurezza.
 

A rendere più complesso lo scenario contribuisce la durata delle tecnologie industriali. Un normale computer aziendale può essere aggiornato o sostituito con relativa frequenza, mentre intervenire sul software che governa un impianto può richiedere il fermo delle attività e verifiche approfondite prima della ripartenza. Di conseguenza, all’interno delle infrastrutture possono convivere sistemi di generazioni diverse, alcuni dei quali devono allo stesso tempo essere raggiungibili da remoto. Una combinazione che richiede un livello di protezione molto più articolato rispetto al passato.
 

Cambiano anche le conseguenze di un eventuale incidente. Se viene compromesso un sistema aziendale tradizionale, l’impatto può riguardare informazioni, attività amministrative o strumenti di lavoro. Nel mondo OT, invece, l’attacco può interferire con il processo fisico governato dal sistema. In una utility questo può tradursi in scenari differenti: un problema informatico potrebbe causare un disservizio percepibile direttamente dagli utenti oppure rendere indisponibile un singolo impianto che, pur senza produrre un’interruzione della fornitura, comporta effetti operativi ed economici per il gestore. A fare da cornice a questo quadro tecnologico c’è il contesto internazionale: negli ultimi anni le infrastrutture energetiche e i servizi essenziali hanno acquisito una crescente rilevanza nello scenario delle minacce cyber legate alle tensioni geopolitiche. La maggiore attenzione normativa verso la sicurezza di questi settori riflette la necessità di rafforzarne la capacità di prevenzione e risposta.

La crescente esposizione alle minacce cyber non significa che la soluzione debba essere rinunciare alla digitalizzazione o tornare a impianti completamente isolati: la questione è, piuttosto, stabilire come mantenere il rischio entro livelli gestibili. Nel campo della cybersecurity, infatti, non è realistico immaginare di eliminare completamente la possibilità di un incidente. Bisogna invece comprendere quali sistemi siano più critici, quali conseguenze potrebbe avere una loro compromissione e quali misure siano necessarie per proteggerli. Ecco perché, accanto alla prevenzione, assume un ruolo centrale il monitoraggio continuo del traffico di rete. I sistemi di sicurezza possono osservare ciò che accade nell’infrastruttura e individuare comportamenti che si discostano dal normale funzionamento. Gli strumenti basati sull’intelligenza artificiale possono contribuire a riconoscere queste anomalie, confrontando le attività osservate con i profili abituali.

Un accesso effettuato a un orario insolito, l’utilizzo inatteso di privilegi amministrativi o un comportamento differente da quello normalmente associato a una determinata utenza possono essere rilevati automaticamente e generare un allarme. Ciò non significa che sia davvero in corso un attacco: l’attività potrebbe essere legittima. La segnalazione consente però agli specialisti di verificare rapidamente che cosa stia accadendo e, dove previsto, al sistema stesso di bloccare temporaneamente l’azione sospetta. Un software può rilevare migliaia di eventi, ma servono comunque persone capaci di interpretarli, distinguendo una falsa segnalazione da un incidente e stabilendo quali azioni intraprendere. La protezione diventa quindi un processo continuo: le minacce cambiano, gli impianti evolvono e nuove connessioni modificano periodicamente il perimetro da presidiare. La sicurezza deve seguire questa trasformazione, senza diventare un ostacolo all’innovazione.

Il personale responsabile dell’infrastruttura deve poter valutare, per esempio, se sia possibile passare a una modalità di funzionamento manuale oppure isolare una parte dell’impianto senza produrre conseguenze più gravi. Il Security Operations Center (SOC) svolge in questo modello una funzione fondamentale di presidio e prima analisi.

Il valore di questa organizzazione emerge soprattutto nella gestione del fattore tempo. Durante un attacco cyber, attendere di conoscere ogni dettaglio prima di intervenire può essere dannoso, perché consente alla compromissione di propagarsi. Contenere rapidamente l’incidente diventa quindi una priorità, anche quando significa prendere decisioni operative importanti sulla base delle informazioni disponibili in quel momento. Per questo la cybersecurity richiede procedure che definiscano in anticipo responsabilità e margini di intervento. Chi si trova a gestire un’emergenza deve poter prendere decisioni tempestive senza che l’incertezza organizzativa rallenti la risposta. È una logica simile a quella utilizzata in altri contesti di emergenza: prima si contiene il problema, poi si analizzano nel dettaglio cause e conseguenze. Su questo fronte, l’addestramento ha un ruolo determinante. Le squadre di sicurezza possono esercitarsi attraverso piattaforme che ricreano scenari realistici di attacco, mettendo alla prova capacità tecniche e tempi di reazione. Le competizioni nelle quali i partecipanti devono affrontare specifiche sfide informatiche rappresentano un altro strumento per allenare competenze che devono rimanere costantemente aggiornate.

La gestione di una crisi cyber supera i confini dei reparti tecnologici. Un incidente significativo può richiedere il coinvolgimento di altre funzioni aziendali, dalla gestione del rischio agli aspetti legali fino alla comunicazione. Preparare in anticipo procedure e modalità di coordinamento permette di evitare che decisioni fondamentali debbano essere definite mentre l’emergenza è già in corso. È un modello che si costruisce progressivamente e che richiede investimenti continuativi, perché la resilienza digitale non coincide con l’installazione di un singolo strumento di sicurezza. Dipende dalla capacità di far lavorare insieme tecnologie, competenze e procedure, adattandole all’evoluzione delle infrastrutture e delle minacce. Per le utility questa capacità diventa parte integrante della qualità stessa del servizio. Man mano che reti idriche, sistemi energetici e impianti diventano più intelligenti e interconnessi, la cybersecurity accompagna necessariamente il loro sviluppo. Proteggere il digitale significa contribuire a proteggere anche ciò che quel digitale controlla: infrastrutture fisiche e servizi essenziali su cui ogni giorno fanno affidamento persone, città e territori.