Teleassistenza delle macchine industriali: chi si collega ai tuoi impianti e da dove

  • Armadio di rete industriale a bordo linea in uno stabilimento manifatturiero

Quando un impianto si ferma, il costruttore della macchina si collega da remoto e in venti minuti risolve. È il motivo per cui la teleassistenza delle macchine industriali esiste, ed è un buon motivo. Il problema è un altro: in quasi tutte le fabbriche che visitiamo, nessuno sa dire con precisione quanti accessi remoti esistono, chi li possiede e cosa raggiungono. Non è un problema di VPN. È un problema di proprietà dell’accesso.

In sintesi: la teleassistenza entra in fabbrica da quattro strade diverse, e solo una passa dal tuo firewall. L’architettura corretta non vieta l’accesso, lo incanala in un punto solo, dove si vede chi entra, dove può andare e cosa ha fatto. Il resto è ciclo di vita delle credenziali e un paio di clausole nel contratto di manutenzione.

Il perimetro che non è in nessun inventario

C’è un oggetto che si trova in quasi ogni stabilimento e non compare in nessuna mappa di rete: il router cellulare montato a bordo macchina dal costruttore, con la sua SIM, collegato direttamente al PLC.

Quel router non passa dal firewall aziendale, non è nel dominio, non ha una scheda nell’inventario IT. Chi lo gestisce è il fornitore. Chi ne risponde, se qualcuno lo usa per entrare, è l’azienda.

La conseguenza pratica è che il perimetro della fabbrica non finisce dove finisce la rete: finisce dove finisce l’ultimo contratto di manutenzione. E la prima attività di un progetto serio non è tecnica, è un censimento: quante macchine hanno una connettività propria, di chi è la SIM, chi ha le credenziali, cosa raggiunge quella connessione una volta dentro.

Le quattro strade con cui la teleassistenza entra davvero

Non esiste “la VPN del manutentore”. Esistono quattro modi diversi, con rischi diversi, e in una fabbrica media convivono tutti e quattro contemporaneamente.

Come entra Chi controlla l’accesso Il rischio che porta
VPN aziendale con credenziali nominali L’azienda Basso, se la VPN non sbuca direttamente nella rete di produzione
Portale in cloud del costruttore Il fornitore Dipende dalla sicurezza di un sistema che non gestisci e non verifichi
Router cellulare a bordo macchina Il fornitore, in modo esclusivo Alto: scavalca il firewall e non lascia traccia nei tuoi log
Software di controllo remoto sull’HMI Chi ha installato il software Alto: spesso resta attivo dopo il collaudo e nessuno lo disattiva

Le ultime due sono quelle che si trovano più spesso e che nessuno ha deciso di avere: sono arrivate insieme alla macchina. Il censimento serve esattamente a farle emergere.

L’architettura corretta: un solo punto di ingresso

L’obiettivo non è impedire al manutentore di entrare. È fare in modo che entri sempre dalla stessa porta, che quella porta sia la tua, e che da lì possa raggiungere solo la macchina su cui deve lavorare.

Il modello di riferimento è quello a zone e condotti della IEC 62443: la rete si divide in aree con requisiti di sicurezza omogenei (zone) e i passaggi tra un’area e l’altra sono canali dichiarati e controllati (condotti). L’accesso remoto è un condotto, e come tale va progettato, non subito.

Il jump host, cioè la porta unica

In pratica il manutentore non arriva mai sulla macchina. Arriva su una postazione intermedia, il jump host, che vive in una rete isolata, una DMZ dedicata alla manutenzione, separata sia dalla rete uffici sia dalla rete di produzione. Da quella rete non si va da nessuna parte se non verso un indirizzo IP e una porta definiti in anticipo: quelli della macchina su cui si deve intervenire.

Cambia tre cose insieme. La visibilità: una sola porta da sorvegliare invece di dodici accessi sparsi. Il confinamento: la regola sul firewall autorizza un solo indirizzo e una sola porta, quindi dal jump host non si arriva né alla rete uffici né al resto della produzione, e un accesso compromesso non diventa una passeggiata nella rete. La tracciabilità: la sessione passa da un punto dove si può registrare cosa è successo.

Cosa chiede la norma, tradotto in italiano

La serie IEC 62443 dedica ai fornitori di servizi una parte propria, la 2-4, che riguarda proprio i processi di sicurezza durante integrazione e manutenzione. Sul lato sistema, la 3-3 contiene requisiti che si traducono in scelte concrete.

Requisito Cosa significa in fabbrica
SR 1.13, accesso da reti non fidate Ogni connessione che arriva da fuori va controllata e delimitata: la rete del fornitore non è la tua rete
SR 1.1 RE 2, autenticazione a più fattori da reti non fidate La password del manutentore non basta. La norma la richiede dal livello di sicurezza 3; al livello 2, che è l’obiettivo tipico di una fabbrica, non è obbligatoria, ma per un accesso da rete esterna resta la scelta prudente
SR 2.6, chiusura della sessione remota La sessione si chiude da sola dopo inattività o al termine: non resta aperta tutta la notte
FR 5, flussi di dati limitati La segmentazione in zone e condotti non è un consiglio, è il modo previsto di costruire la rete

Il resto dell’architettura di rete industriale, dalla segmentazione IT/OT alla ridondanza, è nella nostra guida alla progettazione delle reti industriali IT/OT.

Registrare le sessioni: utile, ma va impostato prima

La registrazione della sessione remota serve a due cose molto concrete: capire cosa è successo quando dopo un intervento la macchina si comporta diversamente, e avere un’evidenza da mostrare in sede di verifica.

Va però impostata prima di accenderla, non dopo. Le sessioni contengono dati personali di persone identificabili, quindi servono informativa, base giuridica, tempi di conservazione definiti e controllo di chi può accedere agli archivi. E quando il manutentore è un dipendente e non un fornitore esterno, entra in gioco anche l’articolo 4 dello Statuto dei lavoratori, con le sue tutele.

Non è un ostacolo: è mezza giornata di lavoro con chi segue protezione dati e rapporti di lavoro, fatta all’inizio invece che dopo la prima contestazione.

Il ciclo di vita dell’accesso, che è dove si sbaglia

L’errore più comune non è dare l’accesso. È non toglierlo mai. Credenziali di un tecnico che ha cambiato azienda tre anni fa, ancora valide. Un accesso aperto per il collaudo del 2021, mai chiuso.

  1. Credenziali nominali, mai condivise. Un account per persona, non uno per fornitore: senza questo non si sa mai chi è entrato davvero.
  2. Abilitazione su richiesta. L’accesso è chiuso per impostazione predefinita e si apre quando serve, con una richiesta tracciata.
  3. Scadenza automatica. Ogni abilitazione ha una data di fine: se serve ancora, si rinnova.
  4. Revisione periodica. Due volte l’anno si guarda l’elenco e si chiede a chi di dovere se quelle persone lavorano ancora lì.
  5. Revoca alla chiusura del contratto. Va scritta nella procedura, altrimenti non la fa nessuno.

Le clausole che rendono tutto questo possibile

Buona parte di quello che serve non si configura, si negozia. Sono quattro punti da mettere nel contratto di manutenzione, meglio in fase di acquisto della macchina che dopo.

  1. Modalità di accesso concordata. Il fornitore entra dal canale dell’azienda. Se la macchina arriva con una connettività propria, va dichiarata e ricondotta a quel canale.
  2. Credenziali nominali e comunicazione dei cambi. Il fornitore comunica chi sono i tecnici abilitati e avvisa quando uno lascia l’incarico.
  3. Consenso alla registrazione delle sessioni e informativa ai tecnici, gestita dal fornitore verso i propri dipendenti.
  4. Tempi di intervento compatibili. Se il contratto promette il collegamento in dieci minuti, la procedura di abilitazione deve stare dentro dieci minuti, altrimenti verrà aggirata il primo giorno.

L’ultimo punto è quello che decide se il progetto sopravvive: una procedura più lenta del fermo che deve risolvere viene scavalcata, e si torna al router con la SIM.

Perché la NIS2 rende tutto questo un adempimento

Per le aziende nel perimetro della direttiva, il manutentore che accede da remoto è catena di fornitura ICT, e la sicurezza dei fornitori rientra fra le misure di gestione del rischio dell’articolo 24 del D.Lgs. 138/2024.

Da quest’anno c’è anche un passaggio formale: la determinazione ACN 127437/2026 richiede di elencare i fornitori rilevanti sulla piattaforma dell’Agenzia, nella finestra di aggiornamento annuale dal 15 aprile al 31 maggio. Sono rilevanti, fra gli altri, i fornitori la cui fornitura è di natura ICT, e la teleassistenza rientra a pieno titolo.

Il quadro completo degli obblighi è nella guida alla NIS2 per le PMI manifatturiere. E per capire dove si colloca la verifica di questi accessi rispetto agli altri strumenti di sicurezza, abbiamo scritto le differenze fra security assessment, vulnerability assessment e penetration test.

Da dove si parte

Da un censimento, non da un acquisto. Quante macchine hanno una connettività propria, di chi sono le credenziali, cosa raggiunge ciascun accesso una volta dentro. Nella maggior parte dei casi il numero che esce sorprende chi lo commissiona, ed è già metà del lavoro.

Netframe è un system integrator IT dell’Emilia-Romagna con sede a Modena: progettiamo la segmentazione IT/OT sulla rete aziendale, l’architettura degli accessi remoti e la loro tracciabilità, e ne verifichiamo lo stato con il security assessment. Scrivici a info@netframe.it o chiamaci allo 059 7134794.

Domande frequenti

Il costruttore può entrare nella mia rete senza che io lo sappia?

Se la macchina ha una connettività propria, sì. Un router cellulare a bordo macchina non passa dal firewall aziendale e non compare nei log di rete: tecnicamente è una porta sul PLC che si apre dall’esterno. Non è illecito, di solito è previsto dal contratto di manutenzione. Ma va conosciuto: il censimento delle connettività a bordo macchina è il primo passo di qualsiasi progetto su questo tema.

Devo vietare la teleassistenza?

No, e sarebbe controproducente. La teleassistenza riduce i fermi e i costi di intervento. L’obiettivo è che passi da un canale controllato dall’azienda invece che da canali diversi per ogni fornitore. La differenza non è meno accesso: è sapere chi entra, dove può arrivare e cosa ha fatto.

Che cos’è un jump host e perché serve?

È una postazione intermedia che vive in una rete isolata, una DMZ dedicata alla manutenzione, separata sia dalla rete uffici sia dalla rete di produzione: il manutentore si collega lì prima di raggiungere la macchina, e da quella rete la regola di firewall consente di uscire verso un solo indirizzo IP e una sola porta, quelli della macchina su cui deve intervenire. Serve a tre cose: avere un solo punto di ingresso da sorvegliare, limitare ciò che si raggiunge dopo l’accesso e rendere registrabile la sessione. È l’implementazione pratica del concetto di condotto della IEC 62443.

Posso registrare le sessioni dei manutentori?

Tecnicamente sì, ed è utile per capire cosa è cambiato su una macchina dopo un intervento. Va però impostato prima: le registrazioni contengono dati personali, quindi servono informativa, base giuridica, tempi di conservazione e controllo degli accessi agli archivi. Se i tecnici sono dipendenti dell’azienda si aggiungono le tutele dell’articolo 4 dello Statuto dei lavoratori. È una valutazione da fare con chi segue protezione dati e rapporti di lavoro.

La NIS2 dice qualcosa sugli accessi dei fornitori?

Sì. La sicurezza della catena di fornitura è fra le misure di gestione del rischio dell’articolo 24 del D.Lgs. 138/2024, e un fornitore che accede da remoto ai sistemi di produzione ne fa parte a pieno titolo. Dal 2026 c’è anche un adempimento formale: la determinazione ACN 127437/2026 richiede di elencare i fornitori rilevanti sulla piattaforma dell’Agenzia nella finestra annuale dal 15 aprile al 31 maggio, e le forniture di natura ICT come la teleassistenza vi rientrano.

Fonti

Fonti verificate il 17 agosto 2026. Le norme della serie IEC 62443 sono consultabili a pagamento presso IEC e gli enti nazionali di normazione.

By Published On: Agosto 17, 2026Categories: Guide tecniche, SecurityTags: , , , , , ,

Other Articles