Attacchi informatici e arresto della produzione

Durante un attacco informatico, la produzione può arrestarsi anche se non c'è compromissione dei controller logici programmabili (PLC). Un arresto dei sistemi operativi industriali può causare l'interruzione immediata delle attività di produzione, spedizione e coordinamento. Questo articolo approfondisce i metodi di ripristino delle tecnologie operative (OT) nel 2026 e le strategie che i team industriali possono utilizzare per accelerare il recupero dei sistemi critici.

Quando la produzione rallenta o si ferma dopo un incidente informatico, è raro che l'interruzione operativa inizi con la compromissione di un PLC. Più spesso, inizia nei sistemi correlati al processo: un percorso di acesso remoto che non funziona, un'applicazione aziendale che smette di coordinare le attività, o un server da cui operatori e ingegneri dipendono per la visibilità e il controllo. Una volta che quei sistemi diventano indisponibili, l'effetto raggiunge rapidamente l'impianto di produzione. Gli ordini si bloccano, le spedizioni slittano, i team di ingegneria non hanno più contesto e gli operatori non possono più utilizzare le workstation e i sistemi di supervisione su cui fanno affidamento per mantenere la produzione attiva e in sicurezza.

In OT questa distinzione è importante: l'interruzione operativa non ha inizio solo quando viene colpito direttamente un controller, ma quando i sistemi responsabili della visibilità, delle configurazioni, del coordinamento e del ripristino non sono più disponibili. Ecco perché il dibattito sull'OT è passato dalla sola prevenzione a una domanda più pratica: quanto rapidamente possono essere ripristinati i sistemi di supporto alla produzione e con quanta prevedibilità le operazioni possono tornare a una condizione di sicurezza e stabilità?

Nel marzo 2026, Stryker ha annunciato una violazione della cyber security che ha colpito i sistemi Microsoft interni dell'azienda. Secondo Stryker, l'autore della minaccia ha utilizzato un file dannoso per eseguire comandi, consentendo di occultare l'attività all'interno dei propri sistemi e interrompendo l'elaborazione degli ordini. Questo evento mostra che basta interferire con i sistemi di produzione per ritardare in modo significativo output, evasione degli ordini e ripristino.

I dati su larga scala riflettono la stessa tendenza. Ad esempio, il report 2025 SANS State of ICS/OT Security Survey indica che oltre il 20% delle organizzazioni aveva subito un incidente di cyber security nell'anno precedente; nel 40% di questi incidenti si erano registrate interruzioni operative e quasi il 20% ha richiesto più di un mese per essere risolto. Nel febbraio 2026, Dragos ha segnalato un aumento annuo del 49% dei gruppi ransomware che hanno colpito le organizzazioni del settore industriale nel 2025, interessando 3.300 aziende in tutto il mondo.

Sebbene le organizzazioni industriali continuino ad affrontare un rischio crescente derivante dalle minacce informatiche, ancora non hanno risolto il problema della lentezza del ripristino quando si verificano incidenti. In questi contesti industriali, la resilienza è definita dalla rapidità con cui i sistemi essenziali possono tornare produttivi senza aggiungere ulteriori rischi operativi.

La maggior parte dei siti industriali dipende da sistemi HMI, historian, server SCADA, workstation di ingegneria e altri sistemi Windows o Linux che sono stati stabili per anni, spesso su piattaforme legacy a cui non è possibile applicare patch o che non possono essere sostituite con leggerezza. Questi sistemi sono affidabili per le normali attività, ma sono più complessi da mettere in sicurezza, ricostruire o riconfigurare rispetto ai sistemi IT più moderni nelle situazioni di maggior pressione. Siti remoti, segmenti isolati (air-gapped), intervalli di manutenzione limitati e un supporto IT locale insufficiente rallentano ulteriormente il processo. Di conseguenza, il ripristino è spesso ritardato dai vincoli fisici e operativi dell'ambiente stesso.

Questo spiega anche perché molte convinzioni tipiche dell'IT non reggono negli impianti di produzione. Nell'IT, reinstallare un endpoint guasto o avviare il reimaging di un server può essere scomodo ma gestibile. Nell'OT, lo stesso evento può arrestare la produzione, limitare la visibilità dell'operatore e avere ripercussioni a valle che incidono su qualità, consegne, conformità e sicurezza. I team industriali hanno quindi bisogno di processi di ripristino che funzionino nelle reali condizioni dell'impianto, non solo rispetto a flussi di lavoro IT centralizzati. Nella pratica, ciò implica che le capacità di ripristino devono essere progettate in base alle realtà degli ambienti OT, in modo che tengano conto dei sistemi esistenti, del supporto locale limitato e della necessità di ripristinare rapidamente le attività senza introdurre ulteriori rischi operativi.

Per i team OT, una preparazione efficace non è solo avere qualche copia di backup da qualche parte. Significa invece:

• essere in grado di ripristinare i sistemi Windows e Linux che supportano i livelli di supervisione e operativi, senza che il processo generi ulteriori interruzioni operative;
• disporre di un metodo di ripristino qualora non sia disponibile hardware sostitutivo identico;
• ridurre la dipendenza da esperti difficili da reperire, soprattutto in località remote o air-gapped dove l'attesa del supporto IT centrale può prolungare un'interruzione ben oltre l'incidente iniziale.

L'implementazione di soluzioni di ripristino efficienti consente al personale locale di rispondere tempestivamente, che abbia o meno accesso agli esperti IT o ai componenti sostitutivi. La capacità di ripristinare i sistemi sull'hardware disponibile riduce le interruzioni operative, preservando la continuità delle attività. Questa adattabilità è particolarmente critica negli impianti con le infrastrutture più datate, dove gli approcci di ripristino convenzionali potrebbero non essere adeguati e l'intervento rapido è essenziale per non interrompere la produzione.

Sono le condizioni di ogni sito a determinare il metodo di ripristino più adatto. Negli ambienti remoti, air-gapped o con personale insufficiente, attendere il supporto IT dalla sede centrale può significare ore o persino giorni di ritardo per il ripristino. Ecco perché, una volta iniziata l'interruzione, ai team OT serve qualcosa di più di una procedura di ripristino generica. Servono metodi di ripristino predefiniti, che prevedano le modalità di guasto più comuni e siano stati convalidati in anticipo rispetto alle reali condizioni del sito.

Quando il problema è circoscritto a un piccolo gruppo di file eliminati o danneggiati, l'opzione meno invasiva è di solito il ripristino dei soli elementi interessati e non la ricostruzione dell'intera workstation o del server. In OT, ciò può includere file di progetto, file di configurazione, report o altri artefatti necessari per ristabilire il normale funzionamento di un sistema senza introdurre modifiche non necessarie in un ambiente stabile.

Il rollback a un punto di ripristino valido è spesso il metodo meno rischioso se il sistema si avvia ma una patch, un aggiornamento del fornitore o una modifica alla configurazione hanno destabilizzato lo stack applicativo. In questo caso, l'obiettivo non è semplicemente annullare una modifica, ma riportare la workstation o il server a uno stato funzionante noto e affidabile per gli operatori e i tecnici.

Se una macchina non si avvia a causa di un guasto del disco, di un sistema operativo danneggiato o delle conseguenze di un ransomware, il ripristino a livello di file non è più sufficiente. In questi casi, ai team OT è necessario il ripristino basato su immagine tramite il supporto di ripristino, in modo che l'intero sistema, incluso il sistema operativo, le applicazioni, i driver e i dati, possa essere ripristinato a uno stato noto e affidabile senza ricostruzione manuale.

Negli ambienti industriali, spesso l'hardware di riserva identico non è disponibile quando una macchina legacy si guasta. Il ripristino su hardware diverso consente ai team di ripristinare un sistema protetto su hardware sostitutivo e di rimettere in funzione le applicazioni legacy senza attendere l'hardware identico.

Negli impianti air-gap, nelle sottostazioni, nelle strutture offshore e in altri ambienti in cui l'assistenza non può raggiungere il sito in tempi brevi, il ripristino locale guidato può ridurre in modo significativo le interruzioni operative.

Dopo un incidente malevolo, il metodo di ripristino non dovrebbe partire con un ripristino indiscriminato. Prima del ripristino, i team OT devono analizzare e convalidare i backup, per ridurre il rischio di rimettere in funzione un'immagine compromessa, soprattutto quando il sistema interessato serve per la visibilità, la configurazione o il coordinamento dell'impianto.

Laddove la virtualizzazione è già consentita e accettata a livello operativo, una VM in standby può accelerare il ritorno all'operatività mentre il sistema primario viene ripristinato e convalidato secondo le procedure del sito. Può rivelarsi utile quando la continuità del servizio è la priorità immediata.

La sola esistenza dei backup non dimostra di avere la necessaria preparazione al ripristino. I team OT devono inoltre controllare l'integrità, verificare l'avviabilità e convalidare in modo documentato il ripristino, in modo da garantire che il sistema possa essere ripristinato rispettando i requisiti operativi in caso di un'interruzione operativa.

Negli ambienti industriali, la preparazione al ripristino deve essere considerata come una strategia decisionale operativa e non come una singola capacità tecnica. I team devono definire in anticipo quale metodo di ripristino applicare alla perdita di file, agli aggiornamenti non riusciti, ai sistemi che non si avviano, all'hardware obsoleto, alle interruzioni operative dei siti remoti e agli incidenti legati al malware, e quindi convalidare ogni percorso specifico in base alle reali condizioni del sito. In questo modo, il ripristino non è solo un semplice approccio al backup ma si trasforma nella capacità comprovata di ripristinare i sistemi che supportano la produzione in modo sicuro, prevedibile e nel rispetto dei requisiti operativi.

È essenziale verificare che le procedure di ripristino per workstation di ingegneria, sistemi HMI, historian, server di supporto SCADA e postazioni operatore siano efficaci nelle condizioni reali dell'impianto. Le misure di protezione devono essere implementate senza interrompere la produzione, testate in scenari di ripristino realistici e convalidate nel contesto dell'hardware legacy, di reti segmentate e risorse IT locali limitate. I team non devono solo confermare l'esistenza dei backup, ma anche garantire che i processi di ripristino possano essere avviati rapidamente, localmente e in modo affidabile in caso di guasto.

Negli ambienti industriali, la resilienza digitale è fondamentalmente legata al ripristino operativo. Le organizzazioni che considerano la preparazione al ripristino come un'esigenza operativa prioritaria saranno in grado di eseguire il ripristino più rapido e di ridurre al minimo le interruzioni.

Acronis aiuta le organizzazioni del settore industriale a dotarsi di procedure pratiche e convalidate per ripristinare i sistemi che supportano la visibilità, la gestione e il funzionamento delle attività produttive.

Acronis Cyber Protect Local è concepito tenendo conto dei vincoli dei team industriali. Acronis supporta piattaforme Windows e Linux legacy ancora molto diffuse negli impianti OT, inclusi sistemi risalenti all'era di XP, ed è progettato per operare in ambienti air-gapped e con risorse limitate, dove i flussi di ripristino dell'IT convenzionali sono spesso troppo lenti o troppo invasivi. Inoltre, la soluzione esegue le operazioni di backup senza richiedere tempi di inattività pianificati, un aspetto essenziale per gli impianti in cui mettere fuori servizio i sistemi può costituire un rischio operativo.

Acronis Cyber Protect per OT supporta i diversi metodi di ripristino di cui i team industriali hanno bisogno nella pratica. La soluzione può ripristinare singoli file quando sono interessati solo dati limitati, eseguire il rollback dei sistemi a un punto di ripristino convalidato dopo un aggiornamento non riuscito o una configurazione errata, avviare un ripristino completo basato su immagine e bare-metal quando una macchina non si avvia ed eseguire il ripristino su hardware sostitutivo tramite la funzionalità Universal Restore quando l'hardware legacy identico non è più disponibile. Per siti remoti o con personale insufficiente, la funzionalità One-Click Recovery consente agli addetti locali addestrati di avviare il ripristino dei sistemi guasti senza attendere l'assistenza IT centrale.

Acronis coniuga backup e ripristino con funzionalità anti-malware e di sicurezza correlate, consentendo di analizzare e convalidare i backup prima del ripristino; i team possono così ridurre il rischio di reintrodurre immagini compromesse dopo un incidente correlato al malware. Oltre al ripristino, la soluzione fornisce visibilità centralizzata, inventario e funzionalità legate alle vulnerabilità, oltre ai dati forensi dai backup per supportare le indagini successive agli incidenti e le esigenze di conformità.

Acronis Cyber Protect Local è una piattaforma di resilienza orientata al ripristino, progettata per aiutare i team industriali a ripristinare in modo sicuro, prevedibile e con meno interruzioni operative i sistemi che supportano la produzione.