La CISA ha pubblicato una guida congiunta sull’adozione del modello **Zero Trust nelle reti OT**. Il documento, intitolato *Adapting Zero Trust Principles to Operational Technology*, impone agli operatori di infrastrutture critiche di smantellare la fiducia implicita nei sistemi operativi. Questa indicazione arriva in un momento di crescente pressione da parte di attori statali ostili.
—
## Perché la CISA Ha Emesso Questa Guida
### Il Contesto della Minaccia: Volt Typhoon
Il documento non nasce nel vuoto. La minaccia principale che ha spinto la CISA è **Volt Typhoon**, un gruppo sponsorizzato dallo Stato cinese. Già nel febbraio 2024, CISA, FBI e NSA avevano lanciato un allarme congiunto. Volt Typhoon si preposizionava su reti IT americane. L’obiettivo era spostarsi lateralmente verso i sistemi OT in caso di conflitto geopolitico.
Il gruppo ha continuato le sue operazioni. Ha sfruttato router obsoleti e vulnerabilità zero-day su piattaforme Versa Director. Ha rubato credenziali da provider internet statunitensi. La sua strategia non punta al furto immediato di dati. Punta a mantenere accessi persistenti per future disruption.
Questo rappresenta un cambio di paradigma. Non si tratta di cybercrime tradizionale. Si tratta di **geopolitica traslata nel dominio digitale**.
### Chi Ha Contribuito alla Guida
La guida non è un documento unilaterale. Hanno contribuito il Dipartimento della Difesa, il Dipartimento dell’Energia, il Dipartimento di Stato, l’FBI e il NIST. Questa coralità istituzionale sottolinea la gravità della situazione. Si applica a settori critici come energia, acqua, trasporti e automazione degli edifici.
—
## Zero Trust nelle Reti OT: I Principi Chiave
### Addio alla Fiducia Implicita
Il concetto centrale è chiaro: **nessun dispositivo o utente deve essere considerato affidabile per default**. Le reti OT storicamente operano su logiche opposte. Si presume che tutto ciò che è “dentro” la rete sia sicuro. Questa logica è oggi insostenibile.
La convergenza tra IT e OT ha creato nuove superfici di attacco. I sistemi operativi sono sempre più connessi alle reti aziendali e a servizi terzi. Ogni connessione è un potenziale vettore di intrusione.
### Le Sei Misure Difensive Raccomandate
La guida struttura le raccomandazioni seguendo il **NIST Cybersecurity Framework 2.0** e lo standard **ISA/IEC 62443**. Ecco le misure principali:
1. **Segmentazione della rete**: approccio a zone, con progressione verso la micro-segmentazione. Questo limita i movimenti laterali degli attaccanti.
2. **Controlli di identità e accesso**: separare Active Directory tra ambienti IT e OT in foreste o domini distinti. Evitare relazioni di fiducia dirette tra i due sistemi. Applicare l’autenticazione multi-fattore sui jump host.
3. **Gestione delle sessioni privilegiate**: registrare e archiviare le sessioni. Limitare gli accessi vendor con finestre temporali rigorose (*just-in-time access*).
4. **Visibilità degli asset**: è impossibile proteggere ciò che non si conosce. La mappatura completa dell’infrastruttura OT è prerequisito indispensabile.
5. **Gestione del rischio nella supply chain**: i fornitori terzi rappresentano un punto di ingresso critico spesso sottovalutato.
6. **Protocolli di comunicazione sicuri**: eliminare protocolli legacy non cifrati ancora largamente presenti nelle infrastrutture OT.
—
## Implicazioni per i CISO e i Manager delle Infrastrutture Critiche
### Un Problema che Va Oltre la Cybersecurity
Una compromissione OT non è un semplice incidente informatico. Può diventare rapidamente un problema operativo, di sicurezza fisica e di fiducia pubblica. Un attacco alla rete elettrica o all’acquedotto ha conseguenze tangibili sui cittadini.
In questo contesto, la guida raccomanda anche di definire **procedure di isolamento pre-autorizzate**. I team devono sapere esattamente come reagire prima che l’incidente accada. Le procedure di risposta devono essere calibrate sulle specificità degli ambienti OT, non mutuate dai playbook IT tradizionali.
### Testare i Controlli Contro Tattiche Reali
Inoltre, la CISA sottolinea un punto spesso trascurato. I controlli implementati devono essere **testati contro le tattiche reali degli avversari**. Non basta installare soluzioni tecniche. Bisogna verificare che funzionino in scenari di attacco concreti.
Vale la pena sottolineare che VPN esposte, firewall obsoleti e dispositivi edge legacy rimangono i principali punti di ingresso. Questi elementi devono essere priorità assoluta in qualsiasi piano di hardening.
—
## Conclusione
L’adozione del **modello Zero Trust nelle reti OT** non è più una scelta strategica opzionale. È una necessità imposta dall’evoluzione del panorama delle minacce. Volt Typhoon ha dimostrato che gli avversari statali giocano sul lungo periodo. Le organizzazioni devono fare lo stesso.
—
- *Fonti:**
- [CSO Online – Dismantle implicit trust in OT networks](https://www.csoonline.com/article/4165486/dismantle-implicit-trust-in-ot-networks-cisa-tells-critical-infrastructure-operators.html)
- [Industrial Cyber – New CISA Guidance on Zero Trust for OT](https://industrialcyber.co/zero-trust/new-cisa-guidance-outlines-zero-trust-roadmap-for-ot-environments-facing-legacy-constraints-and-growing-attack-surfaces/)
- [Shieldworkz – Decoding the Latest CISA Advisory on Zero Trust for OT](https://shieldworkz.com/blogs/decoding-the-latest-cisa-advisory-on-zero-trust-for-operational-technology)
- [IC3/CISA – Joint Advisory PDF](https://www.ic3.gov/CSA/2026/260429.pdf)
Fonte: Articolo originale
La guida CISA su Zero Trust per le reti OT evidenzia quanto sia urgente per gli operatori di infrastrutture critiche adottare strumenti di condivisione sicura della threat intelligence, specialmente in contesti multi-organizzazione. IsacChain risponde a questa esigenza permettendo la condivisione di indicatori di compromissione e tattiche avversariali in modo cifrato e verificato tramite blockchain, garantendo al contempo la tracciabilità richiesta dalla compliance NIS2 in modo automatizzato. Per i CISO che gestiscono ambienti OT, disporre di una piattaforma che integri questi requisiti riduce significativamente i tempi di risposta agli incidenti e semplifica gli obblighi normativi. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com