Il settore energetico è oggi al centro di minacce cibernetiche con impatto strategico. La crescente digitalizzazione delle infrastrutture energetiche, la convergenza degli ambienti IT e OT, l'ampliamento dell'accesso remoto e la crescente dipendenza da fornitori esterni e integratori di sistemi hanno reso le organizzazioni energetiche un bersaglio primario di attacchi motivati da ragioni economiche, politiche o di sabotaggio.

Nel settore energetico, gli effetti di un incidente informatico vanno rapidamente oltre l’ambiente IT e si traducono in rischi diretti per la continuità operativa, la sicurezza degli impianti e la stabilità dell’approvvigionamento energetico, oltre che per la fiducia del pubblico.

Negli ultimi anni si è registrato un aumento costante degli attacchi rivolti alle organizzazioni energetiche, sia per frequenza sia per gravità. Questi attacchi sono sempre più legati a contesti geopolitici e a obiettivi non finanziari come il sabotaggio, l'interruzione dei servizi o la dimostrazione di forza.

Allo stesso tempo si osserva una convergenza tra diversi tipi di attori — gruppi avanzati sostenuti da Stati (APT), hacktivisti e criminalità informatica organizzata guidata dal ransomware — che utilizzano tutti gli stessi punti di ingresso:

• accessi remoti non adeguatamente protetti,

• vulnerabilità non corrette con patch,

• catene di fornitura compromesse e protocolli industriali legacy privi di meccanismi di sicurezza integrati.

La Direttiva NIS2 cambia radicalmente il modo in cui questi rischi devono essere gestiti. Per le organizzazioni energetiche, la conformità non significa più semplicemente disporre di policy o misure preventive, ma avere la reale capacità di rilevare rapidamente gli incidenti, rispondere in modo coordinato e dimostrare, attraverso dati ed evidenze tecniche, che tali processi funzionano effettivamente. NIS2 introduce requisiti chiari in materia di governance, responsabilità della dirigenza, notifica rapida degli incidenti e controllo dei rischi cibernetici che possono influire sul funzionamento delle infrastrutture critiche.

Per la dirigenza, la direttiva introduce una responsabilità diretta e rischi significativi in caso di incidenti con impatto rilevante. Negli ambienti industriali, dove la prevenzione assoluta non è possibile, il tempo di risposta diventa il fattore decisivo. I requisiti di notifica rapida, governance e verificabilità trasformano la cybersicurezza in una questione di continuità operativa, e non solo in un problema tecnico.

Nella pratica, la maggior parte degli incidenti nel settore energetico rientra in pochi schemi ricorrenti:

• Gli attacchi wiper distruttivi o il sabotaggio OT puntano alla cancellazione irreversibile dei sistemi e all’arresto dei processi industriali, con il potenziale di causare blackout e un impatto rilevante sulla sicurezza.

• Gli attacchi ransomware a doppia estorsione combinano la cifratura dei sistemi con il furto di dati e costringono le organizzazioni a operare in modalità manuale, con ripercussioni su costi e reputazione.

• Gli attacchi tramite fornitori e catene di approvvigionamento compromessi restano un metodo efficace per ottenere un accesso persistente, mentre

• gli attacchi basati sull’abuso dell’accesso remoto – VPN, RDP e RMM – facilitano il controllo da remoto degli ambienti IT e OT tramite credenziali rubate, assenza di MFA e servizi esposti.

Allo stesso tempo, le campagne di sabotaggio, tra cui DDoS, hacktivismo o rumore OT, mirano a interrompere i servizi e ad amplificare l'impatto psicologico e reputazionale.

Un aspetto critico nel settore energetico è che gli incidenti IT e OT non possono più essere trattati separatamente. Nella maggior parte dei casi, l'impatto operativo, come un blackout, si verifica come risultato di una catena prevedibile:

• compromissione iniziale dell'ambiente IT,

• spostamento laterale verso le reti OT,

• uso di protocolli industriali per comandi non autorizzati, e

• degrado delle capacità di ripristino.

Senza monitoraggio continuo e correlazione tra IT e OT, gli indicatori precoci di un attacco – movimento laterale, abuso di privilegi, sessioni sospette dei fornitori – vengono rilevati troppo tardi, quando gli effetti operativi si sono già verificati.

I blackout confermati sono rari, ma quando si verificano sono nativi OT (comandi inviati a interruttori / Modbus / SIS) e non solo ransomware IT. Quasi sempre l’attaccante ha avuto tempo per prepararsi e un accesso privilegiato (pivot da IT a OT ed esecuzione controllata).

Gli attacchi wiper combinati con un ripristino compromesso compaiono come schema comune nel sabotaggio: l’attacco punta al controllo e, allo stesso tempo, alla capacità di ripristino.

L’analisi degli incidenti nel settore energetico evidenzia diverse lacune ricorrenti che aumentano in modo significativo il rischio di impatti gravi. La più comune è un lungo tempo di rilevamento (MTTD). Senza un monitoraggio 24×7, molte organizzazioni scoprono gli incidenti giorni o persino settimane dopo la compromissione iniziale, quando l’attaccante ha già stabilito la persistenza e preparato l’impatto sugli ambienti OT. La visibilità limitata sull’infrastruttura industriale, i log incompleti e la mancanza di correlazione tra fonti IT e OT fanno sì che gli attacchi vengano percepiti in modo frammentario anziché come una catena coerente di eventi. Allo stesso tempo, l’accesso concesso a fornitori e team esterni è spesso controllato in modo insufficiente, con account permanenti, autenticazione debole e audit limitato.

Questi problemi sono amplificati dalle specifiche realtà degli ambienti OT:

• L'applicazione delle patch è spesso difficile o impossibile per motivi operativi, poiché può comportare il rischio di interruzione dei processi (PLC / RTU / IED, HMI/SCADA legacy, sistemi di sicurezza (SIS), router e apparecchiature certificati).

• I protocolli industriali molto diffusi non sono stati progettati pensando alla cifratura o all'autenticazione, e i comandi possono essere intercettati o iniettati (Modbus / Modbus-TCP, DNP3, IEC 60870-5-104 (IEC-104), OPC (legacy)).

• L'accesso remoto è necessario per la manutenzione e le operazioni, mentre le apparecchiature hanno spesso cicli di vita di 10–20 anni. Controlli minimi raccomandati: MFA, approvazione delle sessioni, registrazione completa degli eventi e limitazione del “raggio d'impatto”.

In questo contesto, un approccio basato esclusivamente sulla prevenzione è insufficiente. La chiave per ridurre il rischio è il rilevamento precoce e la capacità di rispondere rapidamente, prima che un incidente cibernetico si trasformi in una crisi operativa.

Una risposta efficace ai requisiti di NIS2 e ai rischi reali del settore energetico inizia con un piano pragmatico strutturato attorno ai primi 90 giorni. Questo periodo dovrebbe coprire le fasi critiche:

• Valutazione della maturità IT–OT e individuazione dei punti di pivot tra le reti

• Integrazione delle fonti di dati critiche

• Mappatura delle vulnerabilità e definizione delle priorità dei rischi operativi

• Attivazione del monitoraggio continuo 24×7 (SOC) con correlazione IT–OT

• Operatività dei processi di risposta agli incidenti

• Definizione dei processi di notifica e di escalation in linea con NIS2

• Valutazione dei fornitori e degli accessi remoti critici

L'obiettivo non è una trasformazione completa dell'architettura, ma la rapida riduzione dell'esposizione e un tempo di rilevamento (MTTD) più breve.

In questo contesto, gli approcci frammentati (uno strumento per le vulnerabilità, un SOC separato, un audit una tantum) creano spesso punti ciechi.

Una piattaforma integrata a 360°, come SIEMBIOT, consente la correlazione continua di vulnerabilità, esposizioni reali e segnali operativi su tutta l'infrastruttura, offrendo esattamente il tipo di controllo dimostrabile richiesto da NIS2.

SIEMBIOT – la piattaforma completa di cybersicurezza è progettata specificamente per questo modello operativo, offrendo visibilità a 360° sull'infrastruttura IT–OT e correlazione in tempo reale degli eventi provenienti da sistemi IT, apparecchiature industriali, soluzioni di accesso remoto e fonti esterne di intelligence sulle minacce.

La visibilità continua determina la velocità di risposta.

In assenza di un monitoraggio permanente (senza un SOC 24×7), i segnali precoci di un attacco passano spesso inosservati al di fuori dell’orario operativo – di notte, nei fine settimana o nei periodi con personale ridotto – e la compromissione viene scoperta solo dopo una segnalazione esterna o quando l’impatto si è già verificato. Al contrario, un modello SIEMBIOT con SOC/MDR 24×7 correla log, telemetria e alert da più fonti e consente un triage rapido degli eventi sospetti, riducendo il tempo di risposta da settimane a ore o giorni e limitando la diffusione degli incidenti negli ambienti OT.

Il tempo medio di identificazione e il tempo di permanenza restano indicatori critici dell'esposizione reale al rischio.

Le analisi mostrano che il tempo medio necessario per identificare una compromissione e il periodo in cui gli attaccanti restano non rilevati nell'infrastruttura (“tempo di permanenza”) possono variare da settimane a mesi in assenza di monitoraggio continuo.

Secondo il rapporto Mandiant, il 54% delle organizzazioni viene a conoscenza delle compromissioni da fonti esterne — partner, clienti, autorità o media — anziché dai propri meccanismi di rilevamento. Negli ambienti energetici, dove il movimento laterale verso l'OT può essere lento e discreto, questo intervallo offre agli attaccanti il tempo necessario per mappare i sistemi, aumentare i privilegi e preparare l'impatto operativo.

Nei primi 30 giorni, la piattaforma SIEMBIOT consente la centralizzazione dei log e l'individuazione delle esposizioni critiche. Nella fase successiva, il monitoraggio 24×7 e la correlazione intelligente riducono in modo significativo il tempo di rilevamento (MTTD) e migliorano la capacità di individuare movimenti laterali e tentativi di pivot verso gli ambienti industriali. Nella fase finale, l'organizzazione può testare e documentare le procedure di risposta agli incidenti, generare cronologie tecniche e produrre rapporti per la direzione allineati ai requisiti di NIS2.

Visibilità esterna: CTI e dark web

Un elemento spesso trascurato nel settore energetico è l’esposizione al di fuori dell’organizzazione. Credenziali compromesse, accessi VPN messi in vendita o riferimenti a fornitori possono comparire sul dark web prima del lancio di un attacco, consentendo di fatto a un attaccante di “comprare l’ingresso” nell’infrastruttura. L’integrazione di funzionalità di intelligence sulle minacce informatiche all’interno di una piattaforma unificata come SIEMBIOT consente di correlare le informazioni esterne con l’attività interna, offrendo un vantaggio decisivo nel prevenire l’escalation. La CTI non è un elemento obbligatorio, ma un acceleratore del rilevamento precoce.

Un elemento spesso trascurato nel settore energetico è l’esposizione al di fuori dell’organizzazione. Credenziali compromesse, accessi VPN messi in vendita o riferimenti a fornitori possono comparire sul dark web prima del lancio di un attacco, consentendo di fatto a un attaccante di “comprare l’ingresso” nell’infrastruttura. L’integrazione di funzionalità di intelligence sulle minacce informatiche all’interno di una piattaforma unificata come SIEMBIOT consente di correlare le informazioni esterne con l’attività interna, offrendo un vantaggio decisivo nel prevenire l’escalation. La CTI non è un elemento obbligatorio, ma un acceleratore del rilevamento precoce.