Chi è responsabile della sicurezza OT nella vostra azienda?

Chiedete a tre manager chi è responsabile della sicurezza della tecnologia operativa (OT) e potreste ricevere tre risposte diverse. L'IT dice che spetta all'ingegneria. L'ingegneria dice che spetta all'IT. Le operations danno per scontato che qualcuno se ne stia occupando.

Se la risposta richiede più di dieci secondi, il rischio è proprio quello.

Perché l'OT resta nella terra di nessuno

L'OT gestisce linee di produzione, sistemi energetici, acqua, trasporti e altri servizi essenziali. Non è l'IT d'ufficio. Spesso funziona con apparecchiature legacy mai progettate per le minacce di oggi; le patch sono limitate e talvolta impossibili senza fermare la produzione. Disponibilità e sicurezza fisica vengono prima di tutto, e la riservatezza arriva un lontano terzo posto.

I team IT conoscono la sicurezza ma non sempre conoscono lo stabilimento. I team di ingegneria conoscono il processo ma di solito non gestiscono strumenti o policy di sicurezza. Lo spazio tra i due è esattamente dove nessuno è responsabile (e dove agli attaccanti piace stare).

Cosa fa davvero un responsabile

Dare un responsabile alla sicurezza OT non significa creare un nuovo titolo. Significa far sì che vengano svolti cinque compiti:

1. Sa cosa è connesso. Non si può proteggere ciò che non si vede. Prima un inventario accurato degli asset, poi la segmentazione tra OT e IT per ridurre la superficie di attacco.

2. Classifica il rischio in base all'impatto operativo. Non tutte le vulnerabilità contano allo stesso modo. Una debolezza che potrebbe fermare una linea di produzione viene prima di una che non potrebbe. Date priorità a probabilità e gravità, non al numero di CVE.

3. Porta IT, ingegneria e compliance allo stesso tavolo. I team interfunzionali sono l'unico modo in cui la sicurezza OT funziona. Il responsabile rende reale quel gruppo, con riunioni periodiche e decisioni che vengono rispettate.

4. Mette le regole per iscritto. Governance significa policy, ruoli e responsabilità che le persone possano davvero trovare e seguire. Framework come NIST e ISA/IEC 62443 sono ottime guide; non serve adottare ogni controllo dal primo giorno.

5. Si prepara alla giornata peggiore. Un piano di risposta agli incidenti OT deve includere chi gestisce le operations, non solo il team di sicurezza. Testatelo prima di averne bisogno; un'esercitazione tabletop è un modo economico per scoprire chi chiama chi.

La cultura fa parte del lavoro

Il responsabile definisce anche il clima. Gli operatori devono sentirsi a proprio agio nel segnalare qualcosa di strano in stabilimento senza che diventi una caccia al colpevole. Da quello che ho visto, i migliori segnali di allarme arrivano da chi sa come "suona" la normalità sulla linea.

Da dove iniziare

Se oggi non riuscite a nominare il responsabile, iniziate da lì. Può essere un manager interno con il giusto supporto, oppure un CISO frazionale che faccia da ponte tra IT e ingegneria finché non sarete pronti ad assumere. In ogni caso, date al ruolo un nome, un mandato e un posto accanto alla direzione.

Se volete parlare di come potrebbe funzionare questa responsabilità nel vostro contesto, offro una call conoscitiva gratuita di 30 minuti per le organizzazioni idonee. Prenotate qui.

Dan Sorensen è un leader nella cybersecurity, collaboratore del Forbes Technology Council, membro del core team dell'OWASP AI Exchange e CISO frazionale.