Con il nuovo Regolamento macchine, la protezione contro le alterazioni dei sistemi informatici è diventata un Requisito Essenziale di Salute e Sicurezza (RESS) obbligatorio, unendo di fatto la cybersecurity alla sicurezza fisica (safety) dell’operatore.
Prassi UNI/PdR 199:2026: Rappresenta lo standard di riferimento per la cybersafety in Italia, classificando gli attacchi in accidentali o intenzionali per calibrare adeguatamente le contromisure di sicurezza.
Metodologia di Valutazione: Il rischio si calcola moltiplicando la Probabilità per l’Impatto, entrambi su una scala da 1 a 4. Un impatto “Grave” (valore 4) richiede sempre una mitigazione prioritaria.
Identificazione delle Vulnerabilità: Prima di analizzare i punti di accesso (Threat model), è obbligatorio redigere un inventario completo (Asset inventory) di hardware, software e macchine virtualizzate.
Strumenti Operativi: Il protocollo prevede una checklist di verifica multilivello.
Obblighi Legali e Responsabilità: È legalmente obbligatorio conservare i log di sistema per 5 anni e garantire l’integrità del software tramite checksum. La sicurezza informatica è inoltre una responsabilità condivisa tra il fabbricante, che deve redigere manuali accurati, e l’utilizzatore, responsabile della corretta manutenzione
Approfondimento: Protocollo Operativo UNI PdR 199:2026
Cybersafety-delle-macchine-UNIPdR-1992026 – alcune slide per capire meglio la Prassi UNI in merito alla valutazione del rischio “software” per le macchine
Descrizione del Caso di Studio per AIUTARVI
L’impianto in esame è un insieme complesso di macchine e quasi-macchine, al quale viene apposta un’unica marcatura CE generale, corredato dalla propria targa e da un manuale di istruzioni complessivo.
Il sistema è composto da un forno, nastri trasportatori in ingresso e in uscita (verso il magazzino), una macchina utensile per la stampa/serigrafia e un robot manipolatore per pezzi e scarti.
La sicurezza fisica è garantita da ripari mobili, moduli di sicurezza ed emergenze.
Dal punto di vista della cybersafety, l’impianto scambia continuamente dati: riceve le commesse dalla Direzione tramite rete, permette la manutenzione da remoto e dispone di porte fisiche (USB/RJ45).
I parametri critici per la sicurezza, come i limiti di velocità del robot o dei nastri, vengono richiamati automaticamente dalle commesse, ma la loro pre-impostazione è vincolata a un accesso con password.
Una compromissione informatica potrebbe alterare questi parametri di velocità o inibire l’intervento dei moduli di sicurezza all’apertura dei ripari mobili, generando un grave rischio fisico per gli operatori.
Ecco un esempio di come strutturare il paragrafo da inserire nel manuale, redatto in conformità al RESS 1.1.9 e 1.2.1 del Regolamento (UE) 2023/1230 e al capitolo 7.3.10 della UNI/PdR 199:2026.
Esempio di Paragrafo per le Istruzioni per l’Uso
Capitolo X. protezione dall’alterazione e sicurezza informatica (Cybersafety)
Il presente impianto è stato progettato integrando misure di protezione contro i rischi di natura informatica, affinché un’alterazione dei sistemi di comando non possa compromettere la sicurezza degli operatori (ad es. inibizione dei moduli di sicurezza, dei ripari mobili o alterazione delle velocità del robot e dei nastri). Di seguito sono riportate le informazioni necessarie per affrontare e mitigare i rischi di natura informatica durante l’impiego del prodotto.
- Requisiti della rete di comunicazione dati L’impianto riceve le commesse direttamente dalla Direzione di stabilimento. Per garantire la sicurezza, l’impianto deve essere collegato alla rete aziendale esclusivamente tramite una rete segmentata e protetta da firewall. È responsabilità dell’utilizzatore assicurare che il traffico industriale (IACS) sia isolato dal traffico aziendale standard, limitando gli accessi ai soli flussi dati necessari per l’invio delle commesse.
- Gestione delle credenziali e dei parametri di sicurezza I parametri di velocità massima, richiamati in automatico dalla commessa, sono parametri critici per il mantenimento dei Requisiti Essenziali di Sicurezza e di Tutela della Salute (RESS). La loro pre-impostazione e modifica sono protette da password.
- Le password di accesso devono essere complesse, strettamente personali e modificate periodicamente.
- È severamente vietato condividere le credenziali di livello “Manutentore” o “Amministratore” con il normale personale di linea.
- Porte USB e accessi fisici Le porte USB e di rete presenti a bordo quadro sono disabilitate per l’uso ordinario o protette fisicamente.
Il loro utilizzo è consentito esclusivamente al personale autorizzato per l’aggiornamento dei sistemi o il backup.
È fatto divieto di collegare chiavette USB o dispositivi esterni che non siano stati preventivamente scansionati e validati dai sistemi antivirus aziendali, per evitare l’introduzione di malware che potrebbero causare un’alterazione accidentale o intenzionale dei software fondamentali per la sicurezza.
- Modalità di connessione per la teleassistenza (manutenzione da remoto) L’impianto è predisposto per la manutenzione da remoto. Per prevenire accessi non autorizzati, la teleassistenza non è permanentemente attiva. Il collegamento remoto deve essere espressamente abilitato da un operatore presente sul posto (es. tramite un comando sull’HMI o selettore a chiave). La connessione è soggetta a terminazione temporizzata.
L’operatore in loco deve accertarsi che la macchina si trovi in uno stato sicuro prima di concedere l’accesso remoto.
- Aggiornamenti software e tracciabilità (Log) Qualsiasi aggiornamento del sistema operativo, del software del PLC, del firmware dei moduli di sicurezza o degli eventuali software di protezione (antivirus) deve essere eseguito seguendo le indicazioni del costruttore.
L’impianto raccoglie automaticamente le prove di ogni intervento, legittimo o illegittimo, sui software critici per la sicurezza.
Le versioni del software di sicurezza caricate sono tracciate in un log di sistema protetto, che l’utilizzatore è tenuto a non alterare e che il sistema conserverà per almeno 5 anni, a disposizione delle autorità nazionali competenti per dimostrare la conformità della macchina.
- Risposta ad attacchi informatici
Qualora si riscontrino comportamenti anomali imputabili a un attacco informatico (ad esempio: i parametri di velocità impostati dalla commessa cambiano autonomamente superando i limiti sicuri, l’interfaccia operatore non risponde ai comandi, o si notano accessi remoti non autorizzati), l’operatore deve:
- Premere immediatamente il pulsante di Arresto di Emergenza per interrompere l’alimentazione agli attuatori (robot, forno, nastri e macchina serigrafica) e portare l’impianto in uno stato sicuro.
- Disconnettere fisicamente il cavo di rete principale che collega l’impianto all’infrastruttura di stabilimento.
- Segnalare immediatamente l’evento al responsabile IT e al Responsabile del Servizio di Prevenzione e Protezione (RSPP).
- Non riarmare la macchina fino al termine delle verifiche diagnostiche da parte di personale informatico qualificato.
