L’episodio accaduto lo scorso mese nelle catene di supermercati francesi offre una lezione che il mondo delle infrastrutture critiche non può permettersi di ignorare. Quello che è accaduto ai congelatori dei supermercati può accadere, con conseguenze ben più gravi sui sistemi critici su cui poggia il funzionamento quotidiano dei nostri paesi.

Va detto che la normativa europea si è già mossa in questa direzione, e in modo significativo. La direttiva NIS2 impone oggi alle entità ritenute critiche ed essenziali un vero e proprio regime di gestione del rischio, con obbligo di notifica degli incidenti entro ventiquattro ore e requisiti tecnici di protezione ben definiti. A questa si affianca la direttiva CER, che individua le entità critiche e ne prescrive la resilienza, mentre il Cyber Resilience Act estende gli obblighi di sicurezza all’intero ciclo di vita dei prodotti che incorporano elementi digitali.

Eppure, la lettura dei fatti dimostra che la distanza tra la norma scritta e la realtà resta notevole. I rischi più noti negli apparati di telecontrollo oggi in esercizio sono infatti noti da tempo: password di default che non vengono mai cambiate, oppure che non possono proprio essere modificate sui dispositivi più datati; interfacce di gestione di PLC e RTU esposte direttamente su Internet, rintracciabili con semplici motori di ricerca; protocolli nati per reti isolate, come Modbus, DNP3 e IEC 60870-5-104, che viaggiano senza autenticazione né cifratura; firmware non aggiornabile o addirittura non più supportato dai produttori; accessi remoti di manutenzione gestiti senza autenticazione a più fattori e senza alcuna registrazione delle attività; vulnerabilità note e pubblicamente documentate che restano scoperte per mesi.

Di fronte a questo quadro, alcune misure appaiono ormai imprescindibili. La prima è il divieto assoluto di esposizione diretta a Internet dei sistemi di controllo: nessuna interfaccia critica dovrebbe poter essere raggiunta dalle reti pubbliche, e le tecnologie per farlo esistono già, dalle reti dedicate agli accessi VPN con autenticazione a più fattori fino alla segmentazione rigorosa tra ambienti operativi e informatici. La seconda riguarda i tempi di reazione: le vulnerabilità critiche devono essere corrette, oppure almeno isolate, entro pochi giorni dalla scoperta, non rimandate al successivo ciclo di manutenzione programmata. La terza investe direttamente i produttori, che dovrebbero vedere l’obbligo di correggere le falle entro scadenze definite quale condizione stessa per poter vendere i propri dispositivi agli operatori critici.