Persino Anthropic è preoccupata per la tua sottostazione.
L'azienda specializzata in IA ha pubblicato nel giugno 2026 il proprio "Advanced AI Framework", un documento programmatico apparentemente volto a regolamentare lo sviluppo dell'IA all'avanguardia. Nascosta nella Parte 2, in una sezione dedicata alla resilienza informatica di fronte alle minacce legate all'IA, si trova una serie di raccomandazioni che sembrano più una lista dei desideri di un professionista della sicurezza OT (tecnologia operativa) che un documento programmatico sull'IA. Tre di queste raccomandazioni hanno attirato l'attenzione dei nostri team di prodotto:
1. Stabilire una frequenza vincolante per l'applicazione delle patch da parte degli operatori di infrastrutture critiche
2. Finanziare gli operatori affinché effettuino un inventario e isolino i sistemi che non possono più ricevere aggiornamenti di sicurezza
3. Costituire una riserva strategica di apparecchiature OT con tempi di consegna lunghi (relè di protezione, RTU, PLC) per gli operatori le cui apparecchiature potrebbero essere rese inutilizzabili da un attacco distruttivo
La raccomandazione di "isolare i sistemi che non possono più ricevere aggiornamenti di sicurezza" è la più grave perché:
1. Ha un impatto sulla maggior parte del parco macchine OT esistente
2. Si chiede un ritorno a quella che equivale a una soluzione di “air-gapping” per le reti OT.
Ma esiste un modo per isolare i sistemi in modo sicuro, mantenendo al contempo la connettività: i diodi di dati. Anthropic menziona esplicitamente i diodi di dati anche in precedenza, nella stessa sezione, tra le misure di prevenzione destinate agli operatori con risorse limitate: “ridurre l’esposizione a Internet della tecnologia operativa (tramite i diodi di dati)”.
Il problema dell’approccio “basta isolarlo”
Le apparecchiature OT giunte a fine vita sono ovunque. Si trovano controllori logici programmabili con firmware risalente al 2009, sistemi SCADA precedenti all’iPhone e persino server di archiviazione dati basati su Windows Server . Spesso questi sistemi non possono essere aggiornati perché il fornitore non esiste più, il contratto di assistenza è scaduto oppure l’aggiornamento richiederebbe un’interruzione della produzione della durata di giorni o settimane, non di minuti.
Il consiglio standard, valido in linea di principio, è quello di isolare il sistema. Rimuoverlo dalla rete, interrompere la via di attacco e circoscrivere l’area di impatto. Ma nella pratica, il semplice fatto di “isolarlo” crea a sua volta dei problemi:
- L'isolamento senza visibilità equivale a non vedere gli attacchi. Se il vostro sistema di archiviazione dati EOL smette di funzionare perché un attore malintenzionato lo ha compromesso o sta effettuando un movimento laterale, non ve ne accorgerete finché non sarà troppo tardi. Gli operatori che isolano fisicamente un sistema senza assicurarsi di poterlo comunque monitorare hanno semplicemente sostituito un rischio con un altro.
- L’isolamento senza flusso di dati interrompe le operazioni. La maggior parte dei sistemi OT che non possono essere aggiornati continua a svolgere un lavoro utile e talvolta critico. Generano letture dei sensori, registrano dati di processo, alimentano i dashboard su cui gli operatori fanno affidamento per le analisi, i controlli di stato, la conformità e la gestione efficace dell’impianto. Una disconnessione fisica dalla rete isola la superficie di attacco, ma interrompe anche il flusso dei dati operativi che garantiscono il funzionamento dell’impianto.
- L'isolamento senza prove di conformità è un'affermazione non verificata. I revisori e le autorità di regolamentazione richiederanno prove che dimostrino che un sistema sia effettivamente isolato, e non solo che si ritenga che lo sia. Una regola del firewall è un controllo software. Software possono fallire.
Cosa fanno effettivamente i diodi di dati in questo contesto
Un gateway unidirezionale implementato a livello hardware (un "diodo di dati") è il controllo di sicurezza che rende l'isolamento fattibile dal punto di vista operativo.
Il punto sta proprio nella fisica. I diodi di dati trasmettono in un'unica direzione, grazie all'isolamento ottico integrato nell'hardware. Non vi è alcuna configurazione software che possa essere impostata in modo errato, nessuna regola da aggirare, nessun canale bidirezionale da sfruttare. Un malintenzionato che riesca a compromettere una rete OT o IT esterna non può accedere a una rete protetta passando attraverso il diodo di dati.
OPSWAT questa protezione grazie al MetaDefender Diode™, che assicura il trasferimento unidirezionale dei dati tramite un hardware appositamente progettato per gli ambienti OT. Optical Diode un flusso unidirezionale a livello fisico attraverso la trasmissione in fibra ottica: non esiste un percorso di ritorno poiché la luce non fluisce all’indietro attraverso il mezzo. In ambienti in cui le conseguenze di una violazione si misurano in termini di sicurezza pubblica, è necessaria la certezza, non la probabilità.
Se applicato alla raccomandazione n. 2 di Anthropic, questo cambia i termini del calcolo:
L'isolamento diventa "proteggere e osservare" anziché "proteggere e ignorare".
È possibile utilizzare un “diodo dati” collegato al sistema EOL per trasmettere log, dati di telemetria dei sensori e dati relativi agli eventi a una piattaforma SIEM (Security Information and Event Management) o a una piattaforma di monitoraggio OT. Il sistema è efficacemente isolato; nulla può rientrare al suo interno. Tuttavia, il SOC (Security Operations Center) può comunque monitorarlo. Le anomalie sono visibili e gli incidenti sono rilevabili.
La continuità operativa è garantita.
Lo storico continua a registrare; l’RTU (unità terminale remota) continua a trasmettere i dati. I dati da cui dipendono i sistemi a valle continuano a fluire verso l’esterno, in tutta sicurezza, attraverso hardware che non può essere compromesso. Gli operatori non si trovano di fronte alla falsa scelta tra sicurezza e operatività.
La prova della conformità è integrata nell'hardware.
L'isolamento è dimostrabile. Non si sta affermando che una politica di firewall protegga il sistema; si sta dimostrando che l'architettura fisica della rete rende impossibile il traffico in entrata verso quel sistema. È un discorso ben diverso da quello che si farebbe con un revisore.
Il problema delle scorte viene prima di tutto
La raccomandazione di Anthropic abbina specificatamente i termini “inventario” e “isolare”; non è possibile proteggere ciò di cui non si conosce l’esistenza.
Un inventario sistematico delle risorse EOL rappresenta il primo passo. Esso individua i sistemi che necessitano di protezione, ne determina l’esposizione di rete e crea la linea di riferimento rispetto alla quale vengono valutati i controlli di isolamento. L’approccio OPSWATalla protezione delle infrastrutture critiche parte proprio da qui: comprendere cosa è presente sulla rete prima di decidere come proteggerla.
Una volta creato l'inventario, i diodi di dati possono essere applicati con precisione chirurgica, proteggendo innanzitutto i sistemi EOL a più alto rischio e preservando al contempo i flussi di dati da cui dipendono le operazioni.
Un segnale politico da prendere sul serio
Anthropic non è un'azienda specializzata nella sicurezza delle tecnologie operative (OT). È proprio questo che rende interessante questo quadro di riferimento. Quando uno sviluppatore di IA impegnato nella creazione di modelli LMM formula raccomandazioni in materia di resilienza informatica che citano espressamente i "data diodes" e le RTU, ciò riflette un consenso più ampio che si sta consolidando: la sicurezza delle infrastrutture delle tecnologie operative rappresenta un rischio sistemico, non una questione di nicchia.
La raccomandazione di “finanziare gli operatori affinché censino e isolino i sistemi che non possono più ricevere aggiornamenti di sicurezza” sarà oggetto di discussione nei processi di approvvigionamento, nei requisiti normativi e nelle riunioni del consiglio di amministrazione dedicate alla gestione dei rischi. Gli operatori che hanno già risolto questo problema, che hanno censito le proprie risorse giunte a fine vita (EOL) e le hanno protette tramite isolamento garantito dall’hardware, saranno pronti ad affrontare tale discussione.
Coloro che non lo avranno fatto dovranno spiegare perché hanno permesso che i propri sistemi rimanessero esposti a rischi.
Rivolgetevi a un OPSWAT per discutere dell’implementazione di diodi di dati con protezione hardware sulle vostre risorse OT non aggiornabili.
