La sicurezza OT sta maturando, ma il rischio non rallenta

Nel corso degli ultimi anni la sicurezza OT è passata dall’essere una questione di competenza di pochi esperti a diventare una priorità aziendale di livello dirigenziale.

Le organizzazioni industriali, oggi, si affidano a sistemi interconnessi, accesso remoto, analisi basate sul cloud e ambienti IT e OT unificati per mantenere attiva la produzione. Eppure, sebbene questa connettività avanzata offra maggiore efficienza e resilienza, al tempo stesso amplia anche la superficie di attacco per i criminali informatici, i gruppi di ransomware e gli attori statali.

Il 2026 State of Operational Technology and Cybersecurity Report di Fortinet mostra che le organizzazioni stanno iniziando ad affrontare questi rischi con maggiore diligenza rispetto al passato. Il sondaggio globale, condotto su oltre 700 professionisti in ambito OT, illustra un mercato sempre più realistico riguardo alla maturità della cybersecurity OT, più attento alle intrusioni e maggiormente impegnato a soddisfare i futuri requisiti normativi.

La buona notizia, dunque, è che molte aziende stanno compiendo progressi. La sfida, invece, è che i livelli di maturità variano da una realtà all’altra, con molti ambienti OT che continuano ad affrontare gravi problemi di visibilità, segmentazione, accesso remoto sicuro, risposta agli incidenti e architetture di sicurezza standardizzate.

La responsabilità in materia di sicurezza OT è una priorità per i vertici aziendali

Uno dei segnali più evidenti circa la maturazione raggiunta dalla sicurezza OT negli ultimi anni è la crescente attenzione che i vertici aziendali le riservano. Il 60% degli intervistati ha dichiarato che la responsabilità finale in materia di sicurezza OT ricade sui CISO.

Questa percentuale è in calo rispetto al 69% registrato nel 2025, ma tale variazione non indica necessariamente una diminuzione dell’attenzione da parte dei dirigenti. Ciò che lo studio suggerisce è che alcune organizzazioni sono maturate abbastanza da trasferire la gestione del rischio OT ad altri dirigenti senior, in seguito al coinvolgimento dei vertici nella formalizzazione della strategia, dei finanziamenti e della governance.

Laddove questo passaggio non sia già avvenuto, l’81% degli intervistati prevede di assegnare la cybersecurity OT al CISO entro il prossimo anno; un dato in aumento rispetto all’80% del 2025.

Il messaggio è chiaro: la gestione del rischio OT non è più di esclusiva competenza dei gruppi operativi o degli ingegneri responsabili, bensì richiede una gestione coordinata che coinvolga sicurezza, operatività, gestione del rischio, compliance e direzione esecutiva.

La valutazione dei livelli di maturità sta diventando più realistica

Il report rivela un cambiamento significativo nel modo in cui le organizzazioni valutano la maturità della propria cybersecurity OT. Negli anni precedenti, gli intervistati tendevano ad assegnare punteggi più elevati ai propri programmi. Oggi, invece, grazie ai maggiori finanziamenti ottenuti dai team IT e OT, all’implementazione di nuovi strumenti e al miglioramento della visibilità, molte aziende riescono a individuare con maggiore precisione dove le proprie difese richiedono interventi migliorativi.

Questo cambiamento si riflette chiaramente nei dati. Gli intervistati classificati al Livello 0, corrispondente ai processi di cybersecurity disorganizzati o non documentati, sono passati dall’1% nel 2025 al 5% nel 2026. Il Livello 1 è cresciuto dal 5% al 17%, mentre il Livello 2 è salito dal 13% al 27%. Al contrario, il Livello 4, che indica i programmi di cybersecurity più avanzati, ha registrato un calo significativo dal 49% al 17%.

A primo impatto, ciò potrebbe sembrare un passo indietro; in realtà, è meglio interpretarlo come una correzione di rotta. Man mano che i team acquisiscono maggiore esperienza, accedono a strumenti più efficaci, promuovono una collaborazione più eterogenea tra la sicurezza IT e quella OT, emergono lacune precedentemente nascoste. Per molte aziende, la maturità inizia proprio da una valutazione più onesta del rischio.

Lo stesso andamento si riscontra nella maturità delle soluzioni di sicurezza OT. Il Livello 4 è sceso dal 19% al 14%, mentre i Livelli 0 e 1 sono cresciuti. Ciò evidenzia una sfida comune: molte realtà stanno ancora stabilendo i fondamentali della sicurezza OT, come la visibilità degli asset, la segmentazione della rete, l’accesso remoto sicuro, il monitoraggio e la risposta agli incidenti.

Le intrusioni vengono rilevate più spesso

Lo studio evidenzia anche un importante cambiamento nella segnalazione delle intrusioni. La quota di intervistati che ha riferito intrusioni multiple è aumentata: il 71% ha segnalato tra una e nove intrusioni, rispetto al 47% dell’anno precedente. Al contempo, la quota di organizzazioni che hanno registrato più di 10 intrusioni è rimasta stabile al 2%.

Questo non significa necessariamente che tutte le aziende subiscono attacchi più frequenti; piuttosto, indica che un numero maggiore di aziende è ora più consapevole di ciò che accade all’interno dei propri ambienti. Nella sicurezza OT, la frase “nessuna intrusione rilevata” può essere fuorviante quando la visibilità è limitata. Una migliore capacità di rilevamento spesso si traduce, almeno inizialmente, in un numero più elevato di incidenti segnalati, anche se in ultima analisi il rischio complessivo è stato ridotto.

Il report mostra anche segnali incoraggianti. Solo il 24% degli intervistati ha dichiarato che sia i sistemi IT sia quelli OT hanno subìto intrusioni, con un netto calo rispetto al 60% del 2025: si tratta del dato più basso dal 2022. Questo scenario indica probabilmente una migliore segmentazione tra gli ambienti IT e OT che contribuisce a limitare la propagazione degli attacchi.

Il panorama delle minacce rimane però serio. Il phishing si conferma l’intrusione più segnalata, con il 76%, e il ransomware resta una preoccupazione primaria, indicata dal 50% degli intervistati. Sebbene il ransomware sia leggermente calato rispetto al 54% del 2025, il suo potenziale impatto sulla produzione, sulla sicurezza, sui ricavi e sulle infrastrutture critiche lo mantiene al centro della pianificazione del rischio OT.

Il dwell time rimane un segnale di allarme

Il dwell time (o tempo di permanenza) è un fattore cruciale nella cybersecurity, poiché indica per quanto tempo un attaccante riesce a rimanere inosservato. La presenza prolungata degli hacker all’interno di un sistema aumenta la loro capacità di condurre attività di sorveglianza, esfiltrare proprietà intellettuale, pianificare attacchi ransomware, interrompere le operazioni o prepararsi per azioni future.

L’indagine indica che, sebbene le categorie di dwell time più brevi si siano stabilizzate, i tempi di permanenza più lunghi, nell’ordine di settimane o mesi, sono aumentati. Questo dato è particolarmente preoccupante per gli ambienti OT. I sistemi industriali, infatti, spesso includono dispositivi legacy, protocolli specializzati e rigidi requisiti di operatività, che possono complicare le risposte rapide rispetto a quanto avviene nei tipici ambienti IT.

Ridurre il dwell time richiede molto più di un semplice monitoraggio. Le organizzazioni devono disporre di visibilità specifica per le architetture OT, threat intelligence, segmentazione di rete, accessi remoti sicuri e piani di risposta agli incidenti che tengano in considerazione l’impatto operativo, la sicurezza e la continuità della produzione e delle infrastrutture critiche.

La pressione normativa sta accelerando

I responsabili OT prevedono un contesto normativo sempre più esigente. L’89% degli intervistati si aspetta un inasprimento della regolamentazione entro cinque anni o meno, segnando un aumento significativo rispetto al 66% registrato nel 2025. Il report evidenzia, inoltre, un salto di 20 punti percentuali tra gli intervistati che si aspettano l’entrata in vigore di nuove normative in un arco di tempo compreso tra i due e i cinque anni, anziché oltre i cinque anni.

Questa considerazione è importante perché la cybersecurity OT è sempre più intrecciata con le infrastrutture critiche, la segnalazione degli incidenti, la sicurezza dei dati, la sicurezza pubblica e la continuità del business. I requisiti normativi non sono più scenari futuri, sono realtà operative immediate.

Le organizzazioni che rimandano l’adozione di misure fino all’emanazione dei mandati definitivi rischiano di rimanere indietro. Quelle che iniziano ad agire fin da subito, al contrario, possono sfruttare gli sforzi di compliance per migliorare la resilienza della rete, perfezionare la segnalazione degli incidenti, ridurre i rischi e modernizzare le operazioni di sicurezza.

La visibilità sta migliorando, ma le lacune permangono

La visibilità rimane un pilastro fondamentale della sicurezza OT. Senza una chiara comprensione di asset, flussi di comunicazione, utenti, applicazioni e dipendenze, le organizzazioni non possono segmentare efficacemente le reti, identificare le attività anomale o stabilire le priorità di risposta.

Lo studio segnala progressi notevoli: la percentuale di intervistati che vanta una visibilità completa sui sistemi OT è passata dal 5% del 2025 al 14% del 2026. Questo rappresenta un miglioramento significativo.

Tuttavia, lo studio rivela anche che molte aziende non dispongono ancora di una visibilità completa. Quasi il 23% degli intervistati ha visibilità solo su circa la metà del proprio ambiente OT. Ciò significa che numerosi team di sicurezza si trovano a difendere gli ambienti senza disporre di tutte le informazioni.

La modernizzazione sta cambiando il panorama OT

Il report mostra che le organizzazioni stanno aggiornando i propri sistemi di controllo industriale (ICS). Il 40% degli intervistati ha dichiarato che i propri sistemi ICS hanno meno di cinque anni, un dato in netto aumento rispetto al 20% del 2025. Ciò riflette una tendenza alla modernizzazione volta a migliorare l’affidabilità, le prestazioni e la sicurezza.

Se da un lato la modernizzazione può aiutare a ridurre il rischio, dall’altro richiede una gestione estremamente attenta. I nuovi sistemi spesso comportano un aumento della connettività, dei trasferimenti di dati, dell’accesso remoto e dell’integrazione con piattaforme IT e cloud. Di conseguenza, la sicurezza dovrebbe essere integrata nelle strategie di modernizzazione sin dall’inizio, anziché essere aggiunta in un secondo momento.

Per le aziende che ancora operano con sistemi legacy, l’analisi sottolinea la necessità di una rigorosa disciplina nell’applicazione delle patch, di controlli compensativi, di un monitoraggio continuo e di un’adeguata segmentazione.

Le pressioni sui costi orientano le decisioni sulla sicurezza

L’indagine, infine, evidenzia un cambiamento nel modo in cui le organizzazioni valutano il successo della propria cybersecurity. Nel 2026, la riduzione e la prevenzione dei costi sono diventate le principali metriche di valutazione, mentre l’incremento della produttività rimane un obiettivo centrale.

Tutto ciò è comprensibile: i responsabili OT devono giustificare gli investimenti nella sicurezza. Tuttavia, il risparmio sui costi non deve mai compromettere la resilienza aziendale. Negli ambienti OT, investimenti insufficienti possono tradursi in tempi di inattività, rischi per la sicurezza dei dipendenti, problemi di compliance, perdite di ricavi e interruzioni dei processi.

Il principale argomento a favore degli investimenti nella sicurezza OT non consiste semplicemente nella riduzione del rischio cyber, bensì nella garanzia della continuità operativa.

Cinque consigli per accelerare la maturità organizzativa

Tra le raccomandazioni pratiche per migliorare la cybersecurity OT:

1. Segmentare e micro-segmentare le reti IT e OT per ridurre al minimo i movimenti laterali e limitare l’impatto degli attacchi;
2. Utilizzare accessi remoti sicuri per consentire il supporto da parte di vendor e terze parti senza ricorrere a modalità di accesso estese e permanenti;
3. Integrare gli ambienti OT nelle operazioni di sicurezza e nella pianificazione delle risposte agli incidenti, in modo che i team possano reagire agli incidenti informatici senza trascurare le esigenze di produzione e sicurezza;
4. Investire in threat intelligence specifica per l’OT, in grado di coprire protocolli industriali, minacce tipiche del settore e comportamenti degli asset OT;
5. Valutare un approccio a piattaforma per semplificare l’operatività, migliorare la visibilità, centralizzare il controllo e agevolare risposte più rapide e coordinate.

Tutte queste pratiche convergono verso lo stesso, fondamentale principio: la cybersecurity OT non può essere gestita con strumenti o team isolati. Al contrario, esige un approccio unificato che riunisca persone, processi e tecnologia sia nell’ambiente IT che in quello OT.