Per decenni, la strategia di sicurezza predefinita per un sistema di controllo industriale è stata semplice: non collegarlo a nessuna rete esterna. Questo isolamento fisico si chiama air gap, e per molto tempo ha effettivamente funzionato — non perché fosse una difesa sofisticata, ma perché un sistema non connesso è molto meno esposto agli attacchi remoti.
Perché l’air gap ha smesso di essere sufficiente
La trasformazione digitale industriale ha reso l’isolamento assoluto sempre meno praticabile: i dati di produzione devono salire verso sistemi MES ed ERP per ottimizzare i margini, abilitare la manutenzione predittiva e coordinare la catena di fornitura, come descritto in un’analisi di Cyber Security 360 sulla convergenza IT/OT. E anche quando un air gap esiste formalmente, la realtà operativa lo aggira di continuo: una chiavetta USB per trasferire un file di configurazione, un tecnico di manutenzione remota che si collega per un intervento urgente, un laptop diagnostico collegato temporaneamente per un test.
Il caso più noto che dimostra questo limite è Stuxnet: il malware, scoperto nel 2010, ha raggiunto i sistemi PLC di un impianto di arricchimento dell’uranio fisicamente isolato dalla rete anche attraverso supporti rimovibili come una chiavetta USB — la dimostrazione più citata al mondo che un air gap è forte quanto la disciplina umana che lo mantiene, non quanto la sua progettazione teorica.
L’air gap non è mai stato “tutto o niente”
Nella pratica, pochissimi ambienti industriali sono davvero isolati al 100%. Esistono gradi diversi di air gap: totale (nessuna connessione, nemmeno indiretta), logico (connessione fisica presente ma bloccata da controlli software), temporaneo (isolamento normale, con finestre di connessione pianificate per manutenzione o trasferimento dati). Trattare un air gap logico o temporaneo come se offrisse lo stesso livello di isolamento di un air gap fisico è uno degli errori di postura più comuni — e più pericolosi — nella sicurezza OT.
Le alternative moderne: dalla separazione fisica alla segmentazione governata
- Segmentazione di rete a più livelli (spesso basata sul modello Purdue), con zone demilitarizzate (DMZ) tra il dominio IT e quello OT che filtrano e ispezionano ogni comunicazione consentita.
- Monitoraggio passivo del traffico di rete OT, capace di rilevare comportamenti anomali senza introdurre rischi per la disponibilità del sistema controllato.
- Controllo rigoroso dei supporti rimovibili (USB, dispositivi diagnostici), spesso la via di compromissione più concreta anche in ambienti formalmente isolati.
- Gestione controllata degli accessi remoti per manutenzione, con sessioni tracciate, autorizzate caso per caso e monitorate in tempo reale invece di connessioni permanenti.
Il punto: non abbandonare l’isolamento, ma non fidarsi ciecamente di esso
L’air gap resta una misura di sicurezza legittima e utile, specialmente per i sistemi più critici. Il problema non è il principio, ma l’illusione che basti da sola: un impianto che considera l’isolamento fisico l’unica linea di difesa smette di investire in monitoraggio, segmentazione e controllo degli accessi — proprio le misure che servono quando quell’isolamento viene aggirato o attraversato da esigenze operative reali.
Le risposte che cerchi: FAQ su Air gap OT
È l’isolamento fisico di un sistema di controllo industriale da qualsiasi rete esterna, incluso internet, come misura di protezione contro attacchi remoti.
L'air gap protegge davvero al 100%?
No. Anche i sistemi formalmente isolati vengono spesso raggiunti tramite supporti rimovibili (USB), interventi di manutenzione o connessioni temporanee — come dimostrato dal caso Stuxnet, che raggiunse un impianto air-gapped tramite una chiavetta USB.
Quali sono le alternative moderne all'air gap totale?
Segmentazione di rete a più livelli con zone demilitarizzate tra IT e OT, monitoraggio passivo del traffico, controllo rigoroso dei supporti rimovibili e gestione tracciata degli accessi remoti per manutenzione.
L'air gap va abbandonato del tutto?
No, resta una misura utile soprattutto per i sistemi più critici. Il problema è considerarla sufficiente da sola: va sempre affiancata da monitoraggio e controlli complementari.
