Architetture critiche: la fragilità nascosta

Nelle architetture critiche la resilienza non è più un’opzione, ma una necessità. L’evoluzione delle minacce, la convergenza tra IT e OT e il principio di “presunzione di compromissione” introdotto dalla direttiva NIS2 impongono un nuovo paradigma di sicurezza: autonomo, distribuito e capace di operare anche in isolamento. Questo articolo esplora come l’automazione e l’intelligenza locale possano trasformare la difesa delle infrastrutture critiche, garantendo continuità operativa anche nei contesti più estremi.

Resilienza e cybersecurity nelle architetture critiche

Nella cybersecurity delle infrastrutture critiche, c’è spesso un “tallone d’achille”: molte architetture sono progettate per funzionare “in sicurezza”, ma non per resistere in contesti di emergenza. La disponibilità di rete, la presenza di operatori qualificati, la connessione costante con un SOC, sono condizioni ideali, ma sempre più spesso non sufficienti per garantire la resilienza

Blackout, attacchi ransomware, incidenti fisici o scelte di isolamento volontario possono facilmente interrompere tali condizioni ed anche in scenari simili, un’infrastruttura deve poter garantire sopravvivenza autonoma.

IT/OT: la convergenza che divide

Promossa come opportunità di efficienza e data-driven operation, la convergenza tra IT e OT sta rivelando anche il suo lato conflittuale.

Se l’IT è fluido, patchabile e orientato al cambiamento, l’OT rimane deterministico, statico e spesso ancorato a sistemi legacy.

Questa convergenza è stata una promessa: efficienza, automazione, analytics, ma per molte organizzazioni si è trasformata in una collisione di linguaggi, cicli di vita e modelli di rischio.

Senza una governance integrata, questa divergenza genera una moltiplicazione della superficie d’attacco e blocca la capacità di risposta coordinata impattando pesantemente sulla resilienza, che, invece, richiede integrazione e non stratificazioni.

NIS2: il principio di “presunzione di compromissione”

Con la Direttiva NIS2, in vigore dal gennaio 2023 e da recepire entro ottobre 2024, cambia il paradigma regolatorio: non si tratta più solo di prevenire gli incidenti, ma di assumere che avverranno.

Il principio di “presunzione di compromissione” introduce un obbligo implicito di continuità operativa anche in condizioni di attacco.

Molte organizzazioni, tuttavia, interpretano ancora la resilienza come una funzione centralizzata di alert management o come il risultato dell’accoppiata SIEM + SOAR. Un modello troppo lento e dipendente da operatori, inadeguato per contesti distribuiti o isolati.

Autonomia operativa: il nuovo requisito implicito della resilienza

Reti energetiche, impianti industriali, ambienti navali e strutture sanitarie condividono oggi la stessa esigenza: garantire operatività anche in assenza di connettività o supporto umano.

Una piattaforma veramente resiliente deve:

• Operare anche offline
• Rilevare e mitigare localmente gli incidenti
• Applicare contromisure automatiche senza escalation
• Rigenerare il contesto post-evento

Questa capacità, se ben implementata, riduce a zero il tempo di contenimento e il fabbisogno di intervento umano, liberando risorse qualificate per l’analisi strategica e il miglioramento continuo della postura difensiva.

Dalla detection alla reazione distribuita

La detection comportamentale, da sola, non basta. La reazione deve essere distribuita, automatizzata e deterministica, eseguita da ogni singolo nodo dell’infrastruttura.

È qui che emerge il valore di soluzioni come Agger, la piattaforma italiana nata in ambito militare e pensata per ambienti a criticità estrema: impianti industriali isolati, sistemi OT legacy e non patchabili, strutture sanitarie che devono garantire continuità dei servizi o navi in mare senza connettività

Agger: architettura distribuita per scenari complessi

A differenza dei tradizionali sistemi SIEM/SOAR, Agger decentralizza l’intelligenza operativa portandola ai margini della rete.

• Agent autonomi che applicano in locale le regole di detection e reaction
• Sonde passive e attive che interrogano direttamente i PLC e gli apparati OT anche in modalità agentless
• Supporto completo ai protocolli industriali (S7, DNP3, Profinet, Modbus…)
• Motore AI che apprende il comportamento normale dell’infrastruttura
• Sistema di tagging e geolocalizzazione degli asset critici per prioritizzare le azioni

Il risultato: una difesa autonoma e distribuita, dove ogni nodo diventa capace di contenere un attacco anche in isolamento totale., capace di reagire anche in assenza di rete, operatori o SOC centrale.

Resilienza significa automazione

La crescita della complessità e dell’interconnessione tra domini IT e OT ha cambiato le regole del gioco; e la continuità del servizio – principio cardine della Direttiva NIS2 – deve poggiare su piattaforme capaci di garantire autonomia decisionale e tempi di reazione compatibili con la velocità delle minacce attuali.

La difesa distribuita, sostenuta da intelligenza locale e automazione deterministica, rappresenta oggi la via più solida verso la resilienza e le organizzazioni che adotteranno un modello operativo realmente autonomo potranno assicurare la sicurezza come funzione intrinseca del sistema, e non come servizio esterno alla sua operatività.