FERC e gli audit CIP 2026: tre lacune ricorrenti nella sicurezza OT

Il 15 ottobre 2026 Industrial Cyber ha riportato i contenuti di un rapporto dell'Office of Electric Reliability della FERC, intitolato "Lessons Learned from Commission-Led CIP Reliability Audits". Il documento riguarda gli audit condotti dalla Commissione nell'anno fiscale 2026 su diversi soggetti statunitensi registrati presso NERC.

Il quadro generale è moderatamente positivo: la maggior parte dei processi e delle procedure di cybersecurity rispettava gli standard obbligatori CIP Reliability Standards. Lo staff ha però rilevato casi di potenziale non conformità e rischi per l'affidabile funzionamento del Bulk-Power System. Il rapporto è anonimo e include anche raccomandazioni volontarie che vanno oltre i requisiti CIP.

Lezione 1: registrazione e categorizzazione in ritardo

Alcuni proprietari di impianti di generazione non hanno registrato in tempo presso NERC le nuove risorse, né hanno identificato e categorizzato prontamente i relativi BES Cyber Systems (requisito CIP-002-5.1a R1). All'origine dei ritardi c'è stata un'interpretazione errata della "data di entrata in esercizio commerciale". Tra i casi figurano risorse basate su inverter che avevano avviato l'esercizio commerciale senza la valutazione di cybersecurity richiesta. Il risultato: protezioni inadeguate o assenti.

Lezione 2: sistemi di affiliate e terze parti

Alcuni soggetti non hanno considerato le funzioni di monitoraggio e controllo gestite da società affiliate e da appaltatori. In due casi, sistemi classificati singolarmente a impatto basso, presi insieme, soddisfacevano i criteri per l'impatto medio, ma restavano sotto controlli non proporzionati al rischio. L'indicazione della FERC è che i Generator Operator includano nella categorizzazione tutti i sistemi cyber di affiliate e terze parti usati per monitorare e controllare la generazione.

Lezione 3: strumenti di AI e controllo degli accessi

Gli auditor hanno osservato un uso crescente di strumenti di AI negli ambienti connessi alle reti CIP: chatbot, assistenti personali e sistemi analitici automatizzati. La fonte li definisce "super intelligence (SI)", un'etichetta insolita che potrebbe essere un errore del testo originale, quindi va trattata con cautela.

Il punto di sostanza è un altro: questi strumenti possono imitare il comportamento degli utenti, interagire con i sistemi e automatizzare attività. Senza monitoraggio, possono generare accessi non autorizzati e rischi di movimento laterale. Secondo CIP-004-7 R4, R5 e R6, l'accesso a BES Cyber Systems e a BES Cyber System Information deve essere autorizzato, riesaminato periodicamente e coperto dai framework di gestione del rischio esistenti.

Perché riguarda anche chi non è un'utility

Gli standard CIP sono specifici del settore elettrico nordamericano, ma le lacune descritte sono comuni a molti stabilimenti. Tre verifiche pratiche emergono dal rapporto:

Cosa controllare nel proprio impianto:

• Date di messa in servizio e valutazione di sicurezza: la valutazione deve precedere l'esercizio commerciale, e la definizione della data rilevante deve essere chiara e condivisa.
• Aggregazione del rischio: sistemi a basso rischio presi singolarmente possono, insieme, meritare una classe superiore. Conviene rivalutare la classificazione per gruppi di sistemi, non solo per singolo asset.
• Controllo di terzi e affiliate: il monitoraggio e il controllo gestiti da appaltatori vanno inseriti nell'inventario degli asset e nella classificazione del rischio.
• Assistenti AI come identità: vanno trattati come utenti con accessi autorizzati, rivisti nel tempo e monitorati, soprattutto se raggiungono reti OT.

Limiti di questa lettura

Questo articolo si basa sul resoconto di Industrial Cyber, non sul rapporto FERC integrale. Oltre alle tre lezioni, la fonte non fornisce numeri di audit né nomi dei soggetti coinvolti, quindi non è possibile valutare la diffusione effettiva di queste lacune.

Sistemi a basso impatto, presi insieme, possono richiedere controlli da impatto medio.