Separare la rete di produzione da quella degli uffici
In molti stabilimenti macchinari, gestionale, videosorveglianza e Wi-Fi degli ospiti convivono sullo stesso segmento di rete. È il risultato di anni di aggiunte, e trasforma qualsiasi incidente in un problema di produzione.
Come nasce una rete piatta
Nessuno progetta una rete in cui macchine a controllo numerico, gestionale, telecamere e ospiti condividono lo stesso segmento. Si arriva a quella situazione per accumulazione: un apparato aggiunto per una necessità urgente, un macchinario collegato dal tecnico del produttore, una telecamera installata da un fornitore diverso, un access point per il Wi-Fi dei visitatori. Ogni singola scelta era ragionevole nel momento in cui è stata fatta.
Il risultato è che tutto vede tutto. Un computer d'ufficio compromesso può raggiungere il pannello di una macchina; una telecamera con credenziali predefinite diventa un punto d'appoggio verso il gestionale; il dispositivo di un visitatore si trova sulla stessa rete dei sistemi che governano la produzione.
Il problema dei sistemi che non si possono aggiornare
Un controllo numerico può avere una vita utile di vent'anni. Il sistema operativo che lo governa è spesso fuori supporto da tempo, e aggiornarlo non è un'opzione: farebbe decadere le condizioni di assistenza del produttore e, in molti casi, non è tecnicamente previsto.
Su questi sistemi l'obiettivo realistico non è la protezione dall'interno ma l'isolamento. Si collocano su un segmento dedicato, si stabilisce chi può raggiungerli e da dove, si limita il traffico in uscita e si conserva un'immagine del sistema per rimetterlo in funzione rapidamente. È un approccio meno soddisfacente sulla carta e molto più efficace nella pratica.
Come si interviene su un impianto già in funzione
Il primo passo è sapere cosa c'è. Nella maggior parte degli stabilimenti non esiste un elenco completo dei dispositivi collegati, e la ricognizione porta quasi sempre alla luce apparati che nessuno ricordava: vecchi convertitori, sistemi di collaudo, stampanti di etichette, pannelli di macchinari dismessi ma ancora accesi.
Il secondo è raggruppare i dispositivi per funzione e per rischio: macchinari, gestionale e postazioni d'ufficio, videosorveglianza, ospiti. La separazione segue questi raggruppamenti, e le comunicazioni consentite tra un gruppo e l'altro vengono decise esplicitamente invece di essere permesse per difetto.
Il terzo è la sequenza, che in un'azienda che produce è il punto più delicato. Si procede per porzioni limitate, su finestre concordate, mantenendo per ogni passaggio la possibilità di tornare indietro. Una separazione applicata in blocco durante un turno produttivo è un rischio che non vale il tempo risparmiato.
Il Wi-Fi degli ospiti come caso esemplare
La rete per visitatori e per i dispositivi personali del personale è il caso in cui la separazione dà il massimo beneficio con il minimo sforzo. Va isolata dai sistemi aziendali, deve consentire l'accesso a internet e nulla di più, e non deve permettere ai dispositivi collegati di vedersi tra loro.
È anche l'intervento che si può realizzare in tempi brevi e senza fermare nulla, motivo per cui spesso lo proponiamo per primo: riduce subito un rischio concreto e non richiede di attendere una riorganizzazione complessiva.
Cosa cambia dopo
Il beneficio più immediato è il contenimento: un problema nato in ufficio resta in ufficio. Il secondo, meno atteso, è la diagnosi: su una rete segmentata e documentata capire dove si origina un malfunzionamento richiede molto meno tempo, perché il perimetro da esaminare è delimitato.
Il terzo riguarda i rapporti con i committenti. La separazione tra rete di produzione e rete d'ufficio è una delle domande ricorrenti nei questionari di sicurezza che i gruppi industriali inviano ai fornitori, e poterla documentare evita di dover rispondere con impegni futuri.
Domande frequenti
Vi serve aiuto su questo?
Reti stabili e protette per collegare persone, dispositivi e sedi senza rallentamenti.
Networking e reti aziendali