Come aggiorniamo i sistemi senza fermare la produzione?
Ogni giorno escono nuove vulnerabilità, ma non si può aggiornare tutto subito. Serve un metodo per decidere cosa, quando e con quali rischi.
Il problema
Il fornitore del macchinario dice di non toccare il PC di controllo. Il gestionale funziona solo con una versione vecchia del database. Il firewall si aggiorna "quando c'è la finestra". Intanto le vulnerabilità si accumulano, e alcune vengono sfruttate pochi giorni dopo essere state pubblicate.
Come capire se ti riguarda
- Ci sono sistemi che non si aggiornano da anni, "perché funzionano".
- Non sapete quali vulnerabilità critiche sono presenti in azienda oggi.
- Le eccezioni non sono scritte: le conosce solo chi le ha decise.
- Gli apparati di rete e i dispositivi di produzione sono fuori da ogni ciclo di aggiornamento.
Il primo passo
Separate ciò che è esposto a Internet da tutto il resto. Le vulnerabilità critiche sui sistemi esposti hanno la precedenza assoluta.
Come risolverlo
- Inventario e criticità. Ogni sistema ha un responsabile e una criticità ereditata dal servizio che supporta. *Evidenza: inventario aggiornato.*
- Tempi per categoria. Critiche ed esposte: giorni. Critiche interne: settimane. Le altre: ciclo mensile. *Evidenza: politica di aggiornamento.*
- Ambienti di prova. Aggiornate prima un gruppo pilota, poi il resto. Per i sistemi delicati, un test dopo ogni aggiornamento.
- Eccezioni scritte e compensate. Se un sistema non si può aggiornare, va isolato in rete, monitorato e la decisione va approvata e rivista. *Evidenza: registro delle eccezioni.*
- Fuori dall'ufficio non vuol dire fuori dal ciclo. Firewall, switch, NAS, telecamere, dispositivi OT: tutti hanno firmware da aggiornare.
- Seguite gli avvisi. Iscrivetevi agli avvisi di CSIRT Italia e dei vostri fornitori principali.
Come evitare che si ripeta
Misurate un numero solo: il tempo medio tra la pubblicazione di una vulnerabilità critica e la sua chiusura. Portatelo in direzione ogni trimestre.
Quando chiedere aiuto
Per gli ambienti di produzione (OT) coinvolgete il costruttore dei macchinari e mettete per iscritto nei contratti chi aggiorna cosa e con quali tempi.
Dal libro
«Anche se non cambiate niente, il contesto cambia.»
— *NIS2. La carta che guida*, capitolo 11
Uno spunto in più
Scegliete un giorno fisso al mese per gli aggiornamenti e comunicatelo a tutta l'azienda. Quando diventa routine, smette di essere un'emergenza.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.