Si può costruire un inventario degli asset OT — macchine, controllori, sensori e dispositivi di linea — senza lanciare scansioni attive sulla rete di produzione: si combinano documentazione già esistente, registri dei sistemi autorizzati e osservazione passiva del traffico, raccogliendo per ogni macchina poche informazioni essenziali e assegnando a una persona il compito di tenere la scheda aggiornata. Questa guida spiega quali metodi usare, quali dati servono davvero e come il monitoraggio continuo mantiene il quadro vivo nel tempo.
Perché le scansioni attive sono rischiose in OT
Nel mondo IT è normale "scoprire" i dispositivi interrogandoli uno a uno con strumenti di scansione. In ambito OT (Operational Technology, la tecnologia operativa che controlla macchine e processi fisici) questa abitudine può creare problemi. La guida NIST SP 800-82 revisione 3, dedicata proprio alla sicurezza OT, mette in primo piano prestazioni, affidabilità e sicurezza fisica (safety) come requisiti peculiari di questi ambienti. In più, tra chi gestisce impianti è cautela operativa diffusa che un controllore di linea, un PLC (Programmable Logic Controller, il computer industriale che pilota la macchina) o un vecchio terminale possa reagire male a traffico di rete inatteso, fino a rallentare o bloccarsi.
Il punto non è che la scansione sia "vietata", ma che in produzione ogni pacchetto non previsto va valutato: il costo di un fermo linea supera quasi sempre il beneficio di una scoperta più rapida. Per questo la mappatura iniziale conviene farla con metodi che non toccano i dispositivi.
Metodi passivi e documentali di mappatura
Le informazioni sugli asset di stabilimento esistono già, distribuite in più punti. Un inventario serio nasce mettendole in fila, non interrogando le macchine. Le fonti tipiche:
- Documentazione di progetto e di acquisto. Ordini, schemi elettrici, manuali di installazione, contratti di manutenzione: indicano modello, fornitore e data di messa in servizio.
- Registri di rete già disponibili. I server DHCP (il servizio che assegna gli indirizzi di rete), i registri dei firewall e le console dei gestionali di fabbrica elencano dispositivi collegati e comunicazioni, senza generare traffico verso le macchine.
- Interviste a chi lavora in reparto. Capi linea e manutentori sanno quali macchine esistono davvero, quali sono state spostate e quali computer di bordo macchina "non si toccano mai".
- Osservazione passiva del traffico. Dove l'impianto lo consente, un punto di osservazione che si limita ad ascoltare il traffico (senza inviare richieste ai dispositivi) mostra chi comunica con chi. La copertura dipende dalle integrazioni possibili sul singolo impianto: va concordata, non data per scontata.
- Sopralluoghi mirati. Un giro in reparto con la bozza dell'inventario alla mano chiude i dubbi residui: etichette, porte di rete, convertitori dimenticati.
La stessa logica — raccogliere da fonti autorizzate anziché interrogare direttamente i sistemi — è quella descritta dalla pagina OverZeus per fabbriche e laboratori, dove il discovery avviene nel perimetro concordato con il cliente.
I campi essenziali della scheda asset
La tentazione è raccogliere tutto. Un inventario che nessuno aggiorna, però, è peggio di un inventario corto ma vivo. Per ogni macchina o dispositivo bastano pochi campi, scelti perché servono nelle decisioni di tutti i giorni:
- Identità: nome parlante, modello, numero di serie, posizione fisica (reparto, linea).
- Proprietario: la persona o il ruolo da chiamare per quell'asset, dentro l'azienda e presso il fornitore.
- Ruolo nel processo: cosa produce o controlla, e cosa succede se si ferma.
- Collegamenti: a quali reti è attaccato e con quali sistemi scambia dati (raccolta produzione, gestionale, teleassistenza del fornitore).
- Stato del supporto: versione del software o firmware nota, fine del supporto del fornitore, eventuali limiti di aggiornamento. Qui nascono le schede delle macchine legacy da proteggere con misure di compensazione.
- Note di vincolo: finestre di manutenzione, divieti operativi, dipendenze fisiche (aria compressa, alimentazioni condivise).
Se un campo non ha un proprietario che lo userà, probabilmente non serve. Meglio iniziare con questi sei gruppi di informazioni e aggiungere solo quando emerge un bisogno concreto, per esempio in preparazione di una verifica o di un progetto di segmentazione tra ufficio e produzione.
Chi mantiene aggiornato l'inventario nel tempo
Un inventario invecchia in fretta: arrivano macchine nuove, i fornitori collegano apparati per la teleassistenza, un sensore viene sostituito durante un fermo. La risposta organizzativa è semplice da dire e impegnativa da fare: un proprietario dell'inventario (spesso il responsabile IT/OT o il responsabile di manutenzione) e un momento di aggiornamento agganciato a eventi che già esistono, come l'accettazione di una nuova macchina, la fine di un intervento di manutenzione o la revisione annuale dei contratti.
Aiuta anche la regola del "dispositivo senza proprietario": ogni apparato rilevato dalle fonti autorizzate che non compare in inventario viene registrato come da identificare, con una persona incaricata di capire cosa sia. Non serve bloccarlo in automatico — in produzione un blocco frettoloso può fermare una linea — serve sapere che esiste e decidere con calma.
Esempio illustrativo: il convertitore dimenticato
Esempio illustrativo. Lo scenario seguente mostra un percorso possibile; non racconta un caso avvenuto presso un cliente.
Un'officina meccanica con tre linee di tornitura avvia l'inventario partendo dagli ordini di acquisto e dai registri del server DHCP. Dalla documentazione risultano 40 macchine; dai registri di rete, 43 dispositivi. I tre in più sono due stampanti di reparto — attese — e un convertitore seriale-Ethernet che collega in rete un trapano a colonna degli anni Novanta, installato anni prima per raccogliere i contapezzi e mai registrato.
Nessuno ha scansionato la rete: il dispositivo è emerso incrociando elenchi già disponibili. Il capo reparto conferma che il trapano è ancora in uso; l'inventario guadagna una scheda con modello del convertitore, proprietario (manutenzione), collegamento verso il server di raccolta dati e una nota: il fornitore del convertitore non rilascia più aggiornamenti. Quella nota diventerà utile quando si deciderà come separare la rete di produzione da quella dell'ufficio.
Come il monitoraggio continuo completa il quadro
L'inventario fotografa la situazione; il monitoraggio continuo segnala quando la fotografia non corrisponde più alla realtà: un dispositivo nuovo che compare nelle fonti autorizzate, una macchina che inizia a comunicare con una rete non prevista, un sensore che smette di inviare letture. Il tema è approfondito nella guida al monitoraggio passivo in officina.
In OverZeus questa parte coinvolge due agenti, con ruoli distinti e limitati:
- Daedalus mappa asset, servizi e dipendenze nel perimetro concordato ed evidenzia dispositivi nuovi e informazioni mancanti. Il discovery avviene solo sulle fonti autorizzate dal progetto: nessuna tecnica invasiva verso macchine e controllori. Le funzioni di sicurezza e il controllo di processo restano affidati ai sistemi dell'impianto e ai responsabili tecnici.
- Hephaestus porta il contesto operativo: collega la segnalazione al ruolo della macchina e alle sue dipendenze, così il responsabile valuta il caso conoscendo gli effetti sulla continuità della produzione.
Quando Daedalus rileva un dispositivo non associato a un responsabile, la proposta è mostrare posizione, informazioni disponibili e lacune, chiedendo l'identificazione dell'asset prima di estendere qualsiasi controllo. Se servisse una misura di contenimento, verrebbe preparata come proposta visibile con impatti e perimetro, e partirebbe solo dopo l'approvazione prevista: l'assenza di risposta non autorizza l'intervento. Le decisioni e il loro contesto restano tracciati, utili anche in fase di verifica o audit.
Da dove partire questa settimana
Tre passi pratici: raccogli la documentazione di acquisto e gli schemi delle linee principali; esporta gli elenchi dai registri di rete già esistenti e confrontali con la documentazione; assegna un proprietario all'inventario e aggancialo a un evento ricorrente. La mappa che ne esce è il prerequisito di ogni altro intervento — segmentazione, monitoraggio, gestione degli accessi — ed è costruita senza aver inviato un solo pacchetto non previsto verso le macchine.
Descrivi impianti, sensori e vincoli produttivi per definire il perimetro di una demo.
Contenuto realizzato con assistenza AI. Gli scenari descritti sono esempi illustrativi.