SCADA su siti remoti e non presidiati: lezioni dall'upstream oil & gas

Il 20 ottobre 2026 Industrial Cyber (Anna Ribeiro) ha pubblicato una feature su come gli operatori upstream del settore oil and gas proteggono i sistemi SCADA lungo collegamenti satellitari, cellulari e radio verso siti remoti. L'articolo raccoglie i contributi di dirigenti di Dragos e OMV Petrom e di un ex CISO del settore energetico. Questa sintesi si basa sulla prima parte del testo; la parte finale, con il commento di Roya Gordon sull'accesso remoto sicuro, non è stata consultata e non è riportata qui.

Il problema: distanza, pochi presidi, accesso remoto

Pozzi, sistemi di raccolta e piattaforme offshore dipendono da collegamenti di vario tipo, e molti siti hanno personale ridotto o nullo. Se un collegamento viene compromesso, un attaccante può intercettare, manipolare o interrompere il traffico SCADA e i dispositivi di campo, con poche persone in grado di accorgersene in loco.

Il punto più debole indicato è l'accesso remoto. Fornitori e appaltisti devono raggiungere siti incustoditi, e credenziali condivise, VPN permanenti e connessioni di terze parti non monitorate sono altrettante vie d'ingresso. Inoltre i centri operativi remoti centralizzati e i loro gateway diventano bersagli di grande valore: un singolo punto di accesso può incidere su molti pozzi insieme. I sistemi di sicurezza delle piattaforme, infine, devono restare isolati, soprattutto dove dati di produzione e controllo attraversano link con banda limitata.

I numeri citati

Si tratta di dati riportati dall'articolo e attribuiti a Dragos e Tosi; non abbiamo verificato i report originali.

• Secondo la rassegna OT/ICS 2026 di Dragos, una scarsa segmentazione IT/OT compare nel 29% dei casi oil and gas, il valore più alto fra i settori.
• La stessa rassegna descrive VOLTZITE che compromette gateway cellulari nelle infrastrutture oil and gas statunitensi e poi si sposta, senza essere rilevato, verso le workstation di ingegneria.
• In un sondaggio Tosi su 100 responsabili OT upstream e midstream negli USA, l'87% si dice sicuro di rilevare una violazione entro 24 ore, ma solo il 16% indica il monitoraggio OT continuo come base di questa fiducia.

Le indicazioni degli esperti

Michael Hoffman (Dragos) raccomanda una architettura difendibile, il secondo dei cinque controlli critici SANS per la cybersecurity ICS. In pratica: firewall tra server SCADA e outstation che limitino il traffico per IP, porta, protocollo e talvolta applicazione, firewall industriali presso le outstation, collegamenti cifrati (VPN, IPsec o SD-WAN) e autenticazione basata su certificati dove i protocolli la permettono. Le parti più difficili sono le RTU legacy e le reti radio progettate per l'affidabilità e non per l'autenticazione. Per Hoffman la visibilità è essenziale, perché i controlli preventivi prima o poi falliranno.

Albert Vartic (OMV Petrom) osserva che il SCADA remoto nei siti non presidiati serve soprattutto al monitoraggio. I comandi remoti dovrebbero limitarsi ad azioni sicure e predefinite, mentre gli arresti restano locali. Suggerisce limiti di allarme, controlli di plausibilità e verifiche incrociate tra strumenti e sistemi, con collegamenti che usino la cifratura nativa più VPN/IPsec. Le vere difficoltà, a suo dire, sono configurazioni di sito incoerenti, gestione debole del ciclo di vita delle credenziali, scarsa visibilità sui link intermittenti e accessi dei fornitori non controllati.

Ridurre al minimo il controllo remoto, massimizzare il monitoraggio affidabile e verificare rispetto a baseline approvate.

Dragos aggiunge l'autenticazione resistente al phishing, il monitoraggio attento delle sessioni e l'instradamento degli accessi attraverso zone segmentate e monitorate, anziché direttamente nelle reti OT.

Perché riguarda anche altri settori

La stessa dispersione e lo stesso personale ridotto caratterizzano oleodotti, reti di distribuzione, impianti idrici remoti e stabilimenti non presidiati. Chi gestisce operazioni edge-heavy può trarre da questa feature una checklist pratica.

Spunti operativi:

• progettare per un controllo remoto limitato, con comandi predefiniti e arresti locali;
• monitorare anche i link intermittenti, confrontando lo stato osservato con baseline approvate;
• gestire l'accesso dei fornitori con credenziali individuali, sessioni monitorate e zone intermedie al posto di VPN permanenti;
• trattare RTU e radio legacy come un rischio noto: segmentarle, filtrarle con firewall industriali e compensare con visibilità.