Se domani arriva un attacco cyber, cosa si ferma davvero nel FM?

Premesse

La possibilità di attacchi alle infrastrutture informatiche di siti più o meno critici e vulnerabili non è questione di “SE” ma oramai solo di “QUANDO”. Premesso quindi che è solo una questione di tempo prima di poter essere considerati possibili target di attacchi del genere, la giusta domanda è come mi faccio trovare pronto?

Se ti chiedi “cosa si ferma davvero” in un attacco cyber, la risposta utile non è “tutto” o “niente”: è capire quali funzioni diventano indisponibili per prime, quali degradano in modalità manuale, e quali invece collassano perché dipendono da identità digitali, reti OT/IT, supervisione centralizzata o fornitori esterni. Nel Facility Management la cyber resilience non è un tema da CISO e basta: è continuità operativa di impianti, sicurezza delle persone, capacità di erogare servizi essenziali e rispettare obblighi contrattuali.

Qui non parlo di “come attaccano” (non serve e non aiuta). Parlo da prospettiva operativa FM/asset/impianti: dipendenze tecnologiche reali, cosa succede nelle prime 2–24 ore, e cosa devi avere pronto prima per non scoprire nel caos che le chiavi, i badge, i BMS e i fornitori “sono tutti online”.

Qual è la domanda corretta da fare prima di parlare di contesti realistici: (ospedale, campus o fabbrica)?

La domanda non è “qual è il rischio cyber”, ma: “Quali funzioni critiche dipendono da una catena digitale continua (identità → rete → supervisione → comandi → terze parti) e non hanno una procedura manuale praticabile?” Quando mappi questa catena, smetti di ragionare per slogan e inizi a vedere dove si ferma davvero l’organizzazione.

Operativamente, le dipendenze più sottovalutate sono: gestione identità (AD/SSO), DNS/DHCP, connettività verso cloud e vendor, accessi remoti di manutentori, sistemi di ticketing e call center, e l’interfaccia tra IT e OT (gateway, jump server, historian, integrazioni tra BMS e sistemi enterprise). L’impianto può “andare” anche da solo, ma spesso non sai più cosa sta facendo né riesci a cambiarne setpoint in modo sicuro.

Che cosa si ferma per primo quasi sempre, indipendentemente dal tipo di sito?

La prima cosa che collassa è la capacità di coordinare e tracciare: segnalazioni, ordini di lavoro, escalation, autorizzazioni, e comunicazioni strutturate. In pratica: il FM torna a telefono, carta e WhatsApp, ma senza rubrica aggiornata, senza reperibilità certa, senza storico e senza SLA misurabili. Se l’attacco tocca identità e posta, perdi anche la “colla” organizzativa: chi può fare cosa, chi approva, chi riceve le chiamate.

La seconda cosa che va in crisi è l’accesso: controllo accessi, badge, tornelli, varchi, parcheggi, ascensori con destinazione, serrature smart, sistemi di visitor management. Anche quando i controller locali continuano a funzionare, la perdita di gestione centrale e provisioning (creare/revocare badge, cambiare profili) crea blocchi operativi e rischi di sicurezza fisica.

La terza è la manutenzione “moderna”: se i fornitori non possono connettersi da remoto, molte diagnosi diventano lente o impossibili, e qualsiasi aggiornamento/riavvio “coordinato” diventa un rischio. E questo vale per BMS, UPS, gruppi elettrogeni con supervisione, fire detection evoluta, building analytics, sistemi di monitoraggio energetico, e spesso anche per impianti speciali.

Che differenza c’è tra IT giù e OT compromessa, dal punto di vista del Facility?

Se l’IT è giù ma l’OT è isolata e sana, molti impianti continuano in automatico (HVAC, centrali termiche/frigo, parte dell’illuminazione, parte dei sistemi di pompaggio), ma perdi supervisione, trend, allarmi centralizzati e capacità di ottimizzazione. Il rischio principale non è lo stop immediato: è l’operare “alla cieca”, con allarmi che non arrivano e interventi che partono tardi.

Se invece l’OT è compromessa o viene spenta per contenimento, allora si fermano funzioni che spesso non hanno vera alternativa manuale rapida: supervisione BMS/SCADA, automazioni, logiche di sequenza, e tutto ciò che dipende da comandi e feedback digitali. A quel punto la continuità dipende da: modalità locale dei pannelli, fallback analogici, presidi fisici H24, e procedure che in molti siti esistono solo sulla carta.

In un ospedale, cosa si ferma davvero nelle prime ore?

In ospedale la priorità assoluta è mantenere sicurezza pazienti e continuità delle funzioni cliniche critiche; ma dal punto di vista “facility + impianti” i punti di rottura tipici sono quelli che intrecciano impianti speciali, accessi e supply chain digitale.

Se cade l’identità digitale e la rete, si degradano rapidamente: controllo accessi (con impatto su aree sterili o farmaci), tracciabilità e autorizzazioni (chi entra dove), gestione chiamate interne e reperibilità, e soprattutto la capacità di coordinare interventi tecnici su guasti che continuano a succedere. Se i sistemi di supervisione impianti (BMS) non sono raggiungibili, perdi allarmi e trend: questo è pericoloso su centrali frigorifere, UTA di reparti critici, pressioni differenziali, locali tecnici e ridondanze. Molto spesso “l’impianto va”, ma tu non vedi più che sta andando male.

Se l’attacco impatta anche fornitori e teleassistenza, si allungano tempi su apparecchiature che in pratica si supportano da remoto (monitoraggi, sistemi proprietari, controllori speciali). Qui la domanda operativa è brutale: hai le credenziali e le procedure per entrare in locale sui sistemi, e hai qualcuno che lo sa fare alle 3 di notte?

In un campus (università o corporate), cosa si ferma davvero?

Nel campus il blocco “vero” è la fruibilità degli spazi e dei servizi: accesso (badge e varchi), prenotazioni (aule, sale, laboratori), rete Wi‑Fi/identità (che spesso è lo stesso badge digitale), e una parte significativa del supporto agli utenti. Anche la security fisica soffre perché i sistemi sono sempre più integrati e centralizzati: CCTV con VMS, controllo accessi, allarmi intrusione e perimetri.

Dal lato impiantistico, HVAC e illuminazione spesso possono continuare in automatico, ma perdi ottimizzazione, scheduling, e gestione centralizzata; in un campus questo si traduce in: comfort fuori controllo, consumi anomali, e soprattutto incapacità di reagire rapidamente a guasti diffusi. Il punto più critico è quando il campus ha data center, laboratori, o infrastrutture “mission-critical” interne: allora diventa simile a un impianto industriale per esigenze di continuità.

In fabbrica, cosa si ferma davvero?

In fabbrica la distinzione chiave è se l’attacco colpisce solo IT enterprise o entra nella rete OT/produzione. Se è “solo IT”, spesso la produzione può continuare per un po’, ma senza pianificazione, tracciabilità, ricette aggiornate, qualità, magazzino e spedizioni. Molte fabbriche però sono già talmente integrate che MES/ERP e produzione sono intrecciati: quindi lo stop arriva comunque, magari non per il motore della linea, ma perché non puoi garantire qualità, lotti, conformità e sicurezza.

Se l’OT viene fermata per contenimento o va in errore, allora si fermano linee, utilities critiche e impianti di processo. Dal punto di vista facility, i “colli di bottiglia” sono utilities e safety: aria compressa, vuoto, vapore, acqua di processo, trattamento reflui, chiller, power quality, UPS per sistemi critici, e sistemi di rilevazione e sicurezza. La fabbrica non si ferma solo perché “non c’è il BMS”, ma perché senza supervisione e controllo sicuro molte utilities diventano ingestibili o troppo rischiose.

Quali sono i tre “interruttori invisibili” che trasformano un cyber evento in fermo operativo?

Il primo interruttore è l’identità: se AD/SSO e i servizi base (DNS/DHCP, PKI, NTP) sono compromessi o spenti, si rompe tutto ciò che richiede autenticazione, certificati e sincronizzazione. È il tipo di guasto che “non sembra impiantistico”, ma paralizza accessi, teleassistenza, gestione remota e spesso anche HMI/engineering station.

Il secondo è la connettività verso l’esterno: molte funzioni sono ormai cloud o vendor-managed. Se tagli internet per contenimento, perdi ticketing SaaS, piattaforme di monitoring, call center, e accesso ai portali fornitori. Se non hai un piano di “degrado” (contatti, procedure offline, export periodici), ti blocchi anche con impianti sani.

Il terzo è la mancanza di modalità locale praticabile: pannelli locali non accessibili, password in cassaforte digitale irraggiungibile, documentazione solo su CDE, e competenze concentrate in un vendor che ora non entra. È qui che scopri se il tuo “facility digitale” è davvero governabile o è outsourcing cieco.

Quali sistemi FM/Building sono più critici di quanto sembri?

Il controllo accessi è spesso più critico dell’HVAC, perché impatta subito sicurezza fisica, evacuazione controllata, flussi e operatività. Subito dopo vengono sistemi di supervisione e allarmi: BMS/SCADA, fire detection con supervisione, sistemi di monitoraggio UPS/GE, e qualsiasi sistema che genera allarmi centralizzati.

Poi c’è il tema “operazioni”: help desk, CMMS, gestione chiavi e permessi, anagrafiche asset, contratti e SLA. Non perché senza CMMS l’impianto si ferma, ma perché senza CMMS tu non riesci a gestire il volume di interventi, a dimostrare compliance, e a coordinare fornitori e ricambi. In un contesto di gara e contratti di servizio, questo si traduce rapidamente in contenziosi e penali, oltre che in disservizi.

Che cosa devo avere pronto in Facility per reggere 48-72 ore senza IT “normale”?

Ti serve un kit operativo di continuità, non un documento. Vuol dire: contatti reperibilità e fornitori in formato offline, planimetrie e schemi essenziali disponibili localmente, accesso fisico ai locali tecnici, procedure per operare i sistemi in locale, e credenziali di emergenza gestite con un processo che resta accessibile anche a IT degradata.

Sul lato impianti, devi sapere quali sistemi possono andare in fallback e con quali limiti: setpoint fissi, modalità manuale, priorità carichi, gestione allarmi locale, e presidi. Sul lato contrattuale, devi avere regole chiare su: chi autorizza extra-canone in emergenza, come si tracciano interventi manualmente, e come si ricostruisce lo storico a posteriori. Se non lo definisci prima, lo decidi in crisi, e paghi caro.

Come devo impostare i requisiti contrattuali (anche in gare) perché la cyber resilience non resti uno slogan?

Devi evitare requisiti generici tipo “il fornitore garantisce la sicurezza informatica” e scrivere requisiti verificabili sul servizio: segregazione IT/OT, modalità di accesso remoto (jump server, MFA, logging), tempi di ripristino per funzioni critiche (non solo per server), disponibilità di procedure manuali, e obbligo di consegna/aggiornamento della documentazione operativa.

Inoltre, devi chiarire responsabilità e confini: cosa gestisce il committente, cosa gestisce il fornitore FM, cosa gestisce il vendor impiantistico, e chi ha in mano credenziali e backup delle configurazioni (dove legalmente e tecnicamente possibile). Il tema non è “scaricare” la cyber sul FM: è rendere governabili le dipendenze operative e ridurre le zone grigie che in emergenza diventano blocchi.

Come posso verificare oggi, senza fare un audit infinito, “cosa si fermerebbe” nel mio sito?

Fai un test da tavolo orientato alle funzioni, non alla tecnologia: simula “posta e SSO giù”, poi “internet giù”, poi “BMS non raggiungibile”, e chiedi ai responsabili FM/impianti/security: come apri un intervento, come fai entrare un fornitore, come gestisci un allarme, dove trovi schemi e password, chi decide il bypass? Se le risposte sono vaghe o dipendono da una sola persona, hai trovato il vero punto di rottura.

Il passo successivo è un walkthrough fisico: vai nei locali tecnici e verifica che esistano davvero accessi, pannelli, manuali, e procedure locali praticabili. La cyber resilience in facility si vede più nei locali tecnici che nei PowerPoint.

Conclusioni

Un attacco cyber non “spegne l’edificio” in modo uniforme: spegne prima coordinamento, accessi, teleassistenza e supervisione, e solo dopo (o in casi peggiori) porta a fermo di utilities e processi. In ospedale il rischio operativo nasce dalla perdita di allarmi, accessi controllati e supporto specialistico; in un campus il blocco è fruibilità e sicurezza integrata; in fabbrica la linea si ferma davvero quando OT e utilities diventano non governabili o troppo rischiose.

Se vuoi affrontare seriamente questo tema evitando i rischi sopra descritti puoi contattarmi qui.7