Nei reparti OT di molte aziende industriali il rischio non si presenta sempre come la classica schermata rossa o con un allarme evidente. All’inizio c’è spesso qualcosa di molto meno visibile: un PLC mai censito, una postazione di engineering che risulta ancora raggiungibile, una connessione remota aperta per manutenzione, un asset che comunica con sistemi che nessuno controlla più davvero. Problemi invisibili, dicevamo, che spesso non si presentano in maniera evidente e quindi sembrano non rappresentare nemmeno un punto da attenzionare. La questione, però, diventa rilevante quando il rischio “emerge” e allora serve capire in fretta che cosa è esposto, quali dipendenze reggono la linea e quali interventi possono ridurre il rischio senza bloccare la produzione. Claroty xDome nasce per rispondere a questa esigenza: dare visibilità agli ambienti OT e cyber-fisici, collegando asset, comunicazioni, vulnerabilità, accessi e minacce in una vista operativa. Il lavoro di governance, segmentazione e gestione delle modifiche resta necessario; xDome lo rende più leggibile, perché porta alla luce ciò che negli impianti resta spesso disperso tra reti industriali, macchine, sistemi legacy e responsabilità condivise tra IT, OT, manutenzione e fornitori.
Perché il rischio OT è difficile da vedere
Negli ambienti IT tradizionali è già complesso mantenere un inventario affidabile. Nel mondo OT il problema si amplifica: gli asset hanno cicli di vita più lunghi, i protocolli sono meno uniformi, alcune macchine non possono essere interrogate liberamente e molte architetture sono cresciute per stratificazione. Una linea produttiva può contenere PLC, HMI, SCADA, workstation, historian, dispositivi IIoT e apparati di rete introdotti in anni diversi, con priorità progettuali diverse.
Asset industriali, protocolli proprietari e ambienti IT/OT convergenti
La convergenza IT/OT ha portato vantaggi evidenti: dati di impianto più accessibili, manutenzione da remoto, integrazione con sistemi gestionali, analisi in tempo reale. Ha però aumentato la superficie di esposizione. Il rapporto Clusit 2025 registra 3.541 incidenti cyber noti nel 2024, con una crescita del 27% rispetto al 2023; l’Italia pesa per il 10% degli attacchi censiti a livello globale, una quota molto superiore al suo peso demografico ed economico. Il dato non riguarda solo l’OT, ma fotografa il contesto in cui si muovono anche gli ambienti industriali: più interconnessione, più bersagli, più pressione sulle organizzazioni. In fabbrica la visibilità non può ridursi a un elenco di indirizzi IP. Serve sapere che cosa fa un asset, a quale processo è collegato, quanto è critico per la continuità produttiva, con chi comunica, quali vulnerabilità lo riguardano e quali accessi lo raggiungono. Senza questa lettura, il rischio resta una somma di segnali tecnici scollegati.
Disponibilità, safety e continuità come priorità operative
La sicurezza OT ha una grammatica diversa dalla sicurezza IT. In un ufficio si può isolare una macchina compromessa con relativa rapidità; in un impianto, lo stesso gesto può fermare una linea, interrompere una utility o creare effetti collaterali sulla safety. Le linee guida NIST SP 800-82r3 ricordano che nei sistemi di controllo industriale disponibilità, integrità, confidenzialità e safety devono essere valutate insieme, perché una misura tecnicamente corretta può essere sbagliata se ignora il processo fisico. Per questo la visibilità OT deve essere prudente e contestuale. Trovare vulnerabilità da solo non basta: il punto è capire se l’asset può essere aggiornato, quando può essere fermato, se esiste una compensazione possibile, quali comunicazioni sono legittime e quali richiedono attenzione.
Che cos’è Claroty xDome
Claroty xDome è una piattaforma SaaS per la sicurezza dei sistemi cyber-fisici. Il suo perimetro copre ambienti OT, IoT, IIoT e BMS, con funzioni pensate per trasformare l’inventario tecnico in una mappa di rischio più utilizzabile da security, operations e responsabili di impianto.
Piattaforma SaaS modulare per sicurezza dei sistemi cyber-fisici
Claroty xDome è una piattaforma per gestire esposizione, protezione della rete, accesso sicuro e rilevamento delle minacce nei sistemi cyber fisici (CPS). In termini pratici, riunisce in un unico contesto informazioni che di solito vivono separate: asset discovery, vulnerabilità, comunicazioni, accessi remoti, segmentazione, anomalie e priorità di mitigazione. È disponibile in modalità as-a-service, un aspetto rilevante soprattutto per organizzazioni distribuite, con più siti produttivi o infrastrutture geograficamente separate. Una vista centralizzata permette di confrontare esposizioni tra stabilimenti, standardizzare criteri di rischio e dare ai team centrali un quadro coerente senza perdere la specificità locale dell’impianto.
Visibilità, exposure management, network protection, secure access e threat detection
La logica di xDome non si esaurisce nel censimento. L’inventario è il punto di partenza: sapere che cosa esiste, con quale identità, in quale segmento, con quali protocolli e quali relazioni. Da lì entrano in gioco exposure management e threat detection, cioè la capacità di leggere quali condizioni aumentano il rischio e quali comportamenti possono indicare attività anomale. Il report Claroty State of CPS Security 2025, basato sull’analisi di oltre 940.000 dispositivi OT, XIoT, IoT e IT in 270 organizzazioni, indica che il 12% delle vulnerabilità osservate negli ambienti OT appartiene al catalogo Known Exploited Vulnerabilities della CISA. Segnala inoltre che il 40% delle organizzazioni analizzate ha asset CPS comunicanti con indirizzi IP malevoli o sospetti. Sono numeri utili perché spostano il tema da “abbiamo molte vulnerabilità” a “quali vulnerabilità ed esposizioni meritano priorità perché toccano asset critici o comunicazioni rischiose”.
Come aiuta a mappare asset e comunicazioni
Un passaggio operativo importante è passare da una rete percepita a una rete osservata. Molte aziende industriali hanno schemi, file di progetto, documentazione di manutenzione e inventari parziali. Raramente questi elementi coincidono perfettamente con lo stato reale dell’impianto, soprattutto dopo anni di interventi, espansioni, sostituzioni e accessi di terze parti.
Discovery passiva, query controllate, Claroty Edge e analisi dei file di progetto
xDome lavora combinando più metodi di discovery. L’ascolto passivo del traffico permette di rilevare asset e comunicazioni senza interferire con i sistemi di controllo. Le query controllate aiutano ad arricchire le informazioni quando è possibile interrogare gli asset in modo sicuro. Claroty Edge consente discovery locale e raccolta di dettaglio in contesti dove serve aumentare la profondità dell’inventario. L’analisi dei file di progetto, infine, può far emergere asset e relazioni non immediatamente visibili dal solo traffico. Questa combinazione è utile perché l’OT non tollera approcci rumorosi o generici. Una scansione pensata per reti IT può creare problemi se applicata senza criterio in produzione. Un modello più adatto agli impianti deve riconoscere protocolli industriali, vincoli operativi e priorità di continuità.
Dal censimento degli asset alla comprensione del contesto operativo
Un asset OT non ha lo stesso peso in ogni punto della rete. Un vecchio terminale non aggiornato può essere trascurabile se isolato e irrilevante per il processo; può diventare critico se controlla una fase produttiva, se comunica con segmenti esterni o se viene usato per manutenzione remota. La qualità della visibilità si misura proprio qui: nella capacità di collegare il dato tecnico alla funzione operativa. Per questo un inventario utile deve mostrare tipo di dispositivo, vendor, firmware, protocolli, comunicazioni, vulnerabilità, esposizione, posizione logica e criticità. Solo così il team può scegliere se intervenire con patch, segmentazione, hardening, controllo degli accessi o compensazioni operative.
Dal rischio tecnico alla priorità di intervento
Trovare problemi non basta: il punto più delicato sta nel decidere quali affrontare prima senza mettere a rischio la produzione. Gli ambienti OT possono contenere migliaia di asset e molte vulnerabilità non sanabili subito. La priorità deve nascere dall’incrocio tra probabilità tecnica, impatto operativo e possibilità reale di mitigazione.
Vulnerabilità, impatto potenziale e criticità per la produzione
In un programma OT maturo, una vulnerabilità CVE non viene letta da sola. Conta se è sfruttata attivamente, se riguarda un asset esposto, se l’asset è raggiungibile da segmenti meno controllati, se gestisce un processo critico, se esistono finestre di manutenzione e se l’aggiornamento è compatibile con certificazioni o vincoli di vendor. xDome aiuta a costruire questa graduatoria, trasformando elenchi tecnici in percorsi di riduzione del rischio. L’effetto pratico è che si evita di disperdere energie su attività a basso impatto e si concentrano le decisioni su ciò che può ridurre davvero esposizione, movimenti laterali, accessi non controllati o comunicazioni anomale.
Quando valutare xDome in un percorso security-by-design
xDome diventa particolarmente interessante quando l’organizzazione ha bisogno di rendere visibile un ambiente industriale complesso prima di definire un piano di sicurezza più strutturato. Può trattarsi di un percorso NIS2, di un assessment OT, di un programma di segmentazione, di un progetto di secure remote access o di una strategia multi-sito.
Impianti regolamentati, infrastrutture critiche e percorsi di security-by-design
Nei settori regolamentati, nelle utilities, nel manufacturing ad alta continuità e nelle infrastrutture critiche, la sicurezza non può essere aggiunta alla fine. Va progettata partendo da asset, flussi, ruoli, accessi e priorità operative. Una piattaforma di visibilità come Claroty xDome serve quando, prima di installare un nuovo controllo, bisogna sapere con precisione dove applicarlo e con quale urgenza. Il punto da tenere a mente è questo: il rischio OT non si governa guardando solo le vulnerabilità, né affidandosi a una mappa statica dell’impianto. Si governa quando asset, comunicazioni, esposizioni e continuità produttiva diventano parte della stessa vista. Da quel momento la sicurezza smette di essere una lista di allarmi e diventa una sequenza di decisioni possibili.
