NSA e zero trust per l'OT: 26 attività adatte anche agli impianti legacy

Il 12 ottobre 2026 Industrial Cyber ha riportato la pubblicazione, da parte della NSA, di una scheda informativa dal titolo "Hardening Department of War Critical Operational Technology Environments with Zero Trust Principles". Il PDF risulta datato 8 ottobre 2026 nell'URL. Il documento descrive 26 attività zero trust ad alto impatto per gli ambienti OT critici del Dipartimento della Guerra (DoW).

Nota metodologica: questo articolo si basa sul riepilogo di Industrial Cyber e non sul PDF originale. Il testo che abbiamo potuto consultare si interrompe a metà della sezione sul controllo degli accessi basato su policy, quindi l'elenco completo delle 26 attività non è disponibile.

Un approccio pensato per i sistemi legacy

L'aspetto più rilevante è la priorità data a misure che funzionano su sistemi datati, incapaci di supportare nativamente i moderni controlli di sicurezza, e che non richiedono interventi hardware estesi. È la condizione tipica di molti impianti: PLC e HMI con anni di servizio, difficili da sostituire o aggiornare.

Le aree prioritarie indicate sono:

• accesso remoto sicuro
• protezione dei dati OT
• inventario degli asset OT
• maggiore visibilità
• uso di threat intelligence specifica per l'OT
• hardening dei controllori intelligenti
• segmentazione e monitoraggio di rete
• messa in sicurezza di workstation di engineering e HMI
• hardening di Active Directory e domain controller
• verifica sicura dei controlli zero trust

Le raccomandazioni concrete

Tra le indicazioni specifiche riportate:

• rimuovere, dove possibile, le connessioni dirette tra OT e internet
• per l'accesso remoto, usare MFA resistente al phishing, privilegi minimi e gestione degli accessi privilegiati (PAM)
• esaminare con attenzione le connessioni di terze parti e dei fornitori
• cifrare le comunicazioni OT sensibili
• monitorare l'attività di rete

Testare senza fermare il processo

Un punto di attenzione per chi gestisce impianti è l'approccio alla verifica. I test attivi possono disturbare sistemi rilevanti per la sicurezza, quindi l'NSA privilegia valutazioni passive: audit delle configurazioni, analisi dei log e monitoraggio di rete. I test attivi vanno eseguiti solo quando necessari e in finestre di manutenzione approvate.

Il contesto delle minacce

La guida richiama attori statali e hacktivisti che hanno compromesso sistemi idrici, di trattamento delle acque reflue ed energetici sfruttando configurazioni errate dell'accesso remoto, debolezze di dispositivi legacy e password predefinite. In particolare, attori affiliati all'Iran hanno preso di mira PLC nel settore idrico sfruttando dispositivi esposti a internet e credenziali amministrative di default.

Secondo il documento, misure come MFA, macro e microsegmentazione, accesso remoto sicuro e verifica continua possono interrompere diverse fasi della SANS ICS Cyber Kill Chain.

Perché conta anche fuori dal DoW

Le indicazioni sono scritte per il DoW, ma offrono una checklist pratica e compatibile con il retrofit per qualsiasi stabilimento con PLC e HMI brownfield, oltre a un metodo di valutazione OT attento alla sicurezza di processo.

Cosa fare ora

Come punto di partenza, in attesa di leggere il documento completo:

• verificare se esistono dispositivi OT raggiungibili da internet e se usano credenziali di default
• rivedere gli accessi dei fornitori e introdurre MFA e privilegi minimi
• costruire un inventario degli asset tramite monitoraggio passivo e audit di configurazione
• pianificare i test attivi solo nelle finestre di manutenzione