Quando il digitale mette a rischio il fisico: il nuovo fronte della sicurezza integrata

di Donatella Ardemagni

La mattina in cui una grande filiera alimentare ha visto bloccarsi i sistemi di ordinazione e distribuzione, gli scaffali vuoti non erano soltanto un disagio per i consumatori: erano il sintomo visibile di una vulnerabilità invisibile.

Non si trattava di un guasto meccanico, né di un errore umano tradizionale. Era la dimostrazione plastica che le reti digitali, quando cedono, producono effetti concreti sulla vita quotidiana — sulle catene logistiche, sui servizi essenziali, sulla capacità di un’organizzazione di continuare a operare e sulla reputazione aziendale Episodi di questo tipo si sono moltiplicati negli ultimi anni, e ciascuno di essi porta con sé una lezione che il settore non può più permettersi di ignorare: la sicurezza degli edifici e delle infrastrutture non può essere pensata separatamente dalla cybersecurity.

Un confine che non esiste più

Per decenni, la sicurezza fisica e quella informatica hanno convissuto come discipline parallele, con responsabilità distinte, linguaggi diversi e, spesso, budget separati.
I sistemi di controllo degli accessi, le telecamere di sorveglianza, i sensori ambientali e le infrastrutture operative degli edifici in precedenza erano dispositivi chiusi, isolati, difficili da raggiungere dall’esterno.
Oggi quella separazione è scomparsa, perché con il diffondersi dell’uso della tecnologia Over IP — ovvero la capacità di far comunicare qualsiasi dispositivo su reti basate su indirizzamento IP — ogni elemento di un edificio moderno è potenzialmente connesso alla rete aziendale, dialogante con piattaforme centralizzate, aggiornabile da remoto e, per questa stessa ragione, esposto.
Questa trasformazione porta vantaggi straordinari: interoperabilità tra sistemi, scalabilità degli impianti, possibilità di telemanutenzione e di analisi predittiva. Un facility manager può monitorare consumi energetici, verificare lo stato degli impianti e ricevere alert in tempo reale da qualsiasi luogo. Purtroppo, però, è la stessa architettura che apre una superficie d’attacco che, se non presidiata con cura, può trasformare la connettività in vulnerabilità.

Quando una compromissione informatica diventa un rischio fisico

Il rischio non è teorico. Una violazione del sistema di controllo accessi non espone soltanto dati: rivela planimetrie, orari e credenziali, e può aprire accessi — anche fisici — a intrusioni. La manipolazione dei comandi operativi di un impianto può alterare parametri critici, disattivare sistemi di sicurezza o causare malfunzionamenti in infrastrutture come l’HVAC, gli ascensori o, nei casi più gravi, i sistemi antincendio. Un attacco che blocchi controller o piattaforme cloud può rendere inagibili interi ambienti. Le stesse telecamere e i sensori, che raccolgono dati sensibili su persone e comportamenti, diventano punti di esposizione con conseguenze legali e reputazionali significative.
Studi e analisi del settore confermano che la superficie d’attacco cresce proporzionalmente con la convergenza tra sistemi IT e OT, e che molte delle vulnerabilità più serie nascono proprio nei punti di integrazione, laddove domini diversi si incontrano senza che siano state predisposte adeguate contromisure. In altre parole, non è la tecnologia il problema: è l’assenza di una visione integrata nella sua gestione.

Progettare la sicurezza come sistema unico

La risposta a questa sfida è governarla con una strategia che concepisca la sicurezza — fisica e cyber — come un unico ambito integrato fin dalla fase progettuale. Questo significa, prima di tutto, disegnare l’architettura di rete degli edifici in modo che i diversi domini — IT aziendale, sistemi operativi, infrastrutture di sicurezza — siano logicamente separati attraverso firewall e controlli di accesso precisi, senza dimenticare i necessari cambi di organizzazione dei processi e delle responsabilità nel personale.
Il principio dello zero trust, applicato ai dispositivi Over IP, richiede che ciascun elemento della rete venga autenticato e monitorato in modo continuo, senza ritenere che la presenza sulla rete interna garantisca automaticamente l’affidabilità.
Altrettanto fondamentale è la gestione del ciclo di vita degli asset: mantenere un inventario aggiornato di tutti i dispositivi IP connessi, pianificare aggiornamenti controllati di firmware e patch, testare le modifiche in ambienti dedicati prima di distribuirle in produzione. Gli edifici moderni ospitano decine, a volte centinaia di dispositivi embedded — termostati, controller, sensori — che raramente ricevono la stessa attenzione dei server aziendali, eppure rappresentano altrettanti potenziali punti di ingresso per attori malintenzionati.
La telemetria centralizzata — la raccolta sistematica di log e metriche da sistemi fisici e digitali — consente di correlare eventi apparentemente disconnessi e di individuare anomalie prima che si trasformino in incidenti. Ma questa capacità tecnica vale poco senza procedure operative concrete: playbook congiunti, pensati per gestire scenari ibridi in cui una compromissione informatica produce effetti fisici e viceversa, sono lo strumento che traduce la consapevolezza del rischio in capacità di risposta.

Il modello organizzativo che fa la differenza

La convergenza tecnologica richiede una convergenza organizzativa altrettanto profonda. La best practice più efficace che emerge dalle esperienze del settore è la collaborazione strutturata tra CISO e CIO: il primo valuta e mitiga i rischi, il secondo guida l’evoluzione tecnologica, ma entrambi operano su indicatori condivisi e partecipano alle scelte architetturali fin dall’inizio. Questo approccio impedisce che la sicurezza venga considerata come un’aggiunta a posteriori — un problema da risolvere dopo che il sistema è già stato progettato e implementato.
Accanto a questa governance condivisa, la creazione di team misti IT-OT-Facility — con responsabilità chiare per la progettazione, il testing e la gestione degli asset — riduce le frizioni operative e accelera le decisioni nei momenti critici. Il CISO deve avere autorità sufficiente per imporre controlli di sicurezza e influenzare le scelte di architettura, ma la responsabilità operativa rimane condivisa: un equilibrio che evita colli di bottiglia e favorisce soluzioni praticabili nel contesto reale degli impianti.

Questo modello richiede anche nuove competenze. Chi lavora nella cybersecurity deve conoscere i protocolli operativi degli impianti e saper valutare l’impatto fisico di un incidente digitale. Il CIO deve integrare la gestione sicura dei dispositivi Over IP nella propria visione dell’infrastruttura. Il facility manager deve acquisire un’alfabetizzazione digitale sufficiente a gestire l’inventario IP e coordinarsi con i team IT nei processi di patching. La formazione congiunta — incluse simulazioni che riproducano scenari ibridi, come una compromissione del controllo accessi che evolve in un evento fisico — non è un lusso, ma lo strumento per testare processi e ruoli prima che la realtà li metta alla prova.

Misurare per migliorare

Il numero di vulnerabilità critiche risolte, il tempo medio di ripristino dei servizi, la percentuale di dispositivi Over IP inventariati e aggiornati sono indicatori che traducono la qualità della strategia di sicurezza in dati comprensibili anche per il top management. Ogni modifica a sistemi di building che impatti la rete dovrebbe passare per una valutazione congiunta tra IT, CISO e facility management: non come burocrazia aggiuntiva, ma come presidio sistematico del rischio nelle fasi in cui è più facile intervenire.
Investire oggi in processi, competenze e strumenti che uniscano sicurezza fisica e cyber non è una scelta difensiva: è la condizione per garantire continuità operativa, proteggere le persone che abitano e frequentano gli edifici, e mantenere la fiducia di chi vi affida dati, accessi e servizi essenziali. La prossima mattina in cui i sistemi si bloccheranno — e statisticamente accadrà — la differenza tra un incidente contenuto e una crisi estesa sarà tutta nella qualità della preparazione.