File verificati ma non più affidabili: il rischio nascosto in OT

Il 9 novembre 2026 IIoT World ha pubblicato un articolo di OPSWAT sul tema della distribuzione dei file negli ambienti OT. Si tratta di contenuto sponsorizzato che riprende un articolo del blog del fornitore: non è quindi un'analisi indipendente. La tesi, però, riguarda una pratica diffusa negli stabilimenti e merita attenzione.

Il varco tra approvazione e installazione

Nella maggior parte dei siti OT i file vengono scansionati e approvati al momento dell'ingresso. Parliamo di firmware dei fornitori, patch portate dai manutentori esterni, aggiornamenti di configurazione. Le approvazioni vengono registrate. Dopo quel punto, però, i team di sicurezza perdono visibilità fino a quando il file raggiunge un PLC o un HMI.

Il problema, secondo l'articolo, è che un file modificato dopo la scansione, per errore o per manomissione volontaria, appare identico a uno non modificato. Il registro della scansione e il log di approvazione restano validi. Una scansione dimostra che il file era pulito in un dato momento, non che sia lo stesso file al momento dell'installazione.

Perché i dispositivi legacy sono esposti

L'articolo indica alcune limitazioni tipiche di PLC, HMI e postazioni di engineering datate:

• non possono eseguire agenti EDR;
• non sono in grado di verificare che il file ricevuto corrisponda a quello approvato;
• quando un supporto o un dispositivo viene collegato, i file sono accessibili per impostazione predefinita.

Affidarsi al fatto che ogni operatore segua ogni passaggio in ogni sito è un'ipotesi di processo, non un controllo di sicurezza.

Il modello proposto: verifica continua fino al deployment

OPSWAT propone di passare da «scansiona una volta e distribuisci» a «verifica in modo continuo fino all'installazione». Nella sua soluzione, MetaDefender Drive con Smart Touch usa un archivio protetto (Secure File Storage): i file copiati da dispositivi di fornitori o appaltatori restano isolati e non distribuibili finché non superano la verifica tramite MetaDefender Kiosk. Se un file verificato viene modificato prima dell'installazione, viene bloccato e nascosto automaticamente fino a una nuova verifica. È il sistema a imporre la regola, non la diligenza dell'operatore nei singoli siti.

Tra gli altri requisiti di sicurezza per i dispositivi OT l'articolo elenca:

• scansione dei dispositivi di appaltatori e supply chain prima del collegamento ai sistemi OT;
• politiche di ispezione coerenti sui siti distribuiti, con gestione centralizzata;
• gestione della distribuzione del firmware in ambienti air-gapped;
• visibilità centrale e registrazioni pronte per gli audit.

Cautele di lettura

L'articolo non riporta dati su incidenti né statistiche, non cita standard e indica come soluzione solo i prodotti di OPSWAT. Le affermazioni vanno quindi considerate il punto di vista del fornitore. Il ragionamento di fondo, tuttavia, è indipendente dal prodotto: l'integrità di un file va garantita lungo tutto il percorso, non solo all'ingresso.

Cosa fare in pratica

Responsabili IT/OT e direttori di stabilimento possono verificare se i flussi di firmware e patch prevedono controlli di integrità tra approvazione e installazione. Alcune domande utili: dove sono conservati i file approvati e chi può modificarli? Il file installato su PLC o HMI è dimostrabilmente quello approvato? I log reggono un audit? Il tema è più rilevante negli impianti multi-sito che dipendono da fornitori e appaltatori esterni, e per chi opera in settori regolamentati o nella produzione alimentare, dove la tracciabilità delle modifiche è parte della conformità.