Qual è la checklist minima cyber per il Facility Management?

Premesse

Nel Facility Management la “cybersecurity” non è più un tema astratto: è la differenza tra impianti governabili e impianti che vanno incontro a “rischi di disponibilità e operatività”, tra accessi controllati e ingressi di malintenzionati ai varchi, tra manutenzione gestita e interventi la cui tracciabilità può essere azzerata. La checklist minima serve a una cosa sola: ridurre le zone grigie operative che, al primo incidente, diventano fermo servizio, contenzioso e rischi per la sicurezza delle persone.

Qui parlo di minimo funzionale praticabile per chi gestisce edifici e impianti con BMS/SCADA, controllo accessi, CCTV/VMS, UPS/GE, antincendio, IoT/contatori, e una filiera di fornitori che entra da remoto o con laptop in campo. Non è un framework da CISO: è una lista di controlli “da facility” che devono stare in piedi anche con contratti di servizio e gare, e che devono essere verificabili.

Qual è l’obiettivo reale della checklist: prevenire o poter dimostrare?

Entrambi, ma in Facility il primo obiettivo operativo è: poter ricostruire chi ha fatto cosa, quando e da dove, e poter limitare i danni se qualcosa va storto. La prevenzione assoluta non esiste; l’assenza di log, controllo accessi e regole sui fornitori invece è una scelta, e si paga sempre.

Quindi la checklist minima deve produrre tre risultati: accessi ridotti e controllati, log disponibili e consultabili, filiera fornitori governabile (remote e on-site). Se non ottieni questi tre, stai solo collezionando policy.

Qual è la prima cosa da mettere sotto controllo: gli accessi “umani” o gli accessi “tecnici”?

La prima cosa sono gli accessi tecnici che permettono di comandare o configurare sistemi OT/building: workstation di supervisione, laptop dei manutentori, VPN, jump server, account di servizio, credenziali locali sui controllori, accesso ai pannelli di campo. Perché è lì che un errore (o un abuso) si trasforma in impianto non governabile.

Gli accessi “umani” (badge, varchi, ruoli fisici) sono ugualmente critici, ma spesso hanno già una disciplina minima. Gli accessi tecnici, invece, in molti siti sono ancora “password condivise” e “entra chi sa la password”, cioè il peggio possibile.

Qual è la regola minima sugli account: cosa devo vietare senza eccezioni?

Devi vietare gli account condivisi (“tecnico1/tecnico2” usati da tutti) e le password scritte in chiaro in documenti non governati e spesso incollati in bella vista sullo schermo delle postazioni. Ogni accesso amministrativo o di configurazione deve essere riconducibile a una persona o a un account tecnico gestito con responsabilità e rotazione credenziali. Se non puoi attribuire un’azione, non puoi né migliorare né difenderti.

La seconda regola è la revoca: quando un fornitore cambia squadra o finisce il contratto, l’accesso deve chiudersi in tempi definiti e tracciati. Senza questo, accumuli “zombie access” che prima o poi diventa incidente.

Qual è la configurazione minima per l’accesso remoto dei fornitori senza trasformare tutto in un buco?

L’accesso remoto deve passare da un punto controllato (jump server o bastion) con autenticazione forte e logging. Il principio operativo è: il fornitore non deve “entrare in rete OT” come se fosse in sede; deve entrare in una zona controllata e poi, se autorizzato, raggiungere il target specifico.

Minimo pratico: MFA dove possibile, sessioni time-bound (accesso abilitato solo per una finestra), approvazione esplicita per attivare l’accesso, e divieto di accesso diretto a controllori/PLC/BMS server senza passare dal punto di controllo. Se oggi la tua realtà è “una VPN condivisa”, il primo miglioramento mensile è chiudere quella porta.

Come gestisco l’accesso on-site dei fornitori (laptop, USB, tool) senza bloccare la manutenzione?

Non devi bloccare la manutenzione: devi renderla tracciabile e meno rischiosa. Il minimo sindacale è un processo di “ingresso digitale” del fornitore: chi entra, su quale asset/sistema lavora, in quale fascia oraria, con quale motivo, e con quale esito. Questo evento deve finire nel CMMS/CAFM o in un registro operativo, non in una telefonata.

Sul laptop/USB, la regola minima è: per sistemi critici, niente chiavette “a caso” e niente PC non dichiarati. Se non puoi imporre device gestiti dal committente, almeno imponi: dichiarazione del device, scansione preventiva dove possibile, e divieto di collegamento a reti OT se non necessario. E soprattutto: segmentazione e porte fisiche controllate nei locali tecnici, perché la cyber in facility è anche fisica.

Quali sistemi devo mettere nella lista dove gli accessi vanno stretti subito?

In facility la lista non è lunga, ma è netta: BMS/SCADA, controllo accessi, VMS/CCTV, sistemi antincendio quando integrati e configurabili, UPS e gruppi elettrogeni con interfacce di rete, sistemi di power monitoring/power quality, chiller e centrali con supervisione, e qualunque gateway IT/OT (router industriali, converter, server historian, integrazioni).

Per questi sistemi l’accesso deve essere nominativo, loggato, e con privilegi minimi. Se oggi non sai chi ci accede e quando, sei già oltre la soglia minima.

Qual è la checklist minima dei log: che cosa devo registrare sempre?

Con adeguato supporto dell’IT devo poter implementare almeno la scrittura degli accessi e azioni amministrative. Quindi: login/logout (successo e fallimento), tentativi di elevazione privilegi, cambi configurazione, avvio/arresto servizi, modifiche setpoint/parametri critici, creazione/cancellazione utenti, e attivazione accesso remoto. Per i sistemi dove non puoi loggare “azioni”, almeno logga sessioni e comandi principali.

La regola fondamentale è che i log devono essere consultabili e conservati per un periodo coerente con i tuoi rischi e vincoli contrattuali. Se li tieni 7 giorni e scopri l’incidente dopo un mese, hai perso la partita ancora prima di iniziare l’analisi.

Dove devono stare i log perché siano utili in crisi?

Se i log stanno solo sul sistema che potrebbe essere impattato, rischi di perderli. La soluzione minima è un’archiviazione centralizzata o almeno una copia periodica su un repository protetto e separato (anche “grezzo”, purché accessibile in emergenza).

Dal punto di vista facility, la domanda pratica è: se domani spengo la rete per contenimento, riesco comunque ad accedere ai log essenziali e ai registri di accesso? Se la risposta è no, devi prevedere un canale alternativo o una retention offline per gli eventi critici.

Qual è la lista minima di eventi che devono generare alert, senza fare rumore inutile?

Se allerti su tutto, nessuno ascolta. Allerta su pochi eventi “ad alto segnale”: tentativi ripetuti di login fallito su sistemi critici, accessi fuori finestra autorizzata, creazione di nuovi account admin, modifiche a regole di rete/gateway IT-OT, disattivazione logging, e connessioni remote non approvate.

Il facility non deve diventare un SOC, ma deve pretendere che qualcuno (interno o esterno) guardi questi eventi e abbia un canale di escalation operativo verso FM e security.

Come devo gestire i fornitori a livello contrattuale per non scoprire troppo tardi che “non è responsabilità di nessuno”?

Contrattualmente devi definire tre cose: modalità di accesso (remoto e on-site), obblighi di logging e report di intervento, e tempi di revoca/rotazione credenziali. Se il contratto non lo dice, in crisi il fornitore farà ciò che è più comodo (o più prudente per lui) e tu rimarrai senza controllo e senza prove.

Devi anche definire la catena di responsabilità sugli account: chi crea, chi approva, chi custodisce, chi revoca. E devi vietare esplicitamente pratiche tossiche: account condivisi, VPN “generiche”, e accessi permanenti senza giustificazione.

Qual è il minimo che devo pretendere dai fornitori come “igiene operativa” senza entrare nel loro mondo IT?

Pretendi ciò che impatta il tuo impianto: nominatività degli accessi, MFA dove possibile, aggiornamenti di sicurezza su strumenti di accesso (gateway, tool di teleassistenza), e report post-intervento con riferimenti a ticket/WO. Pretendi anche che dichiarino subappalti e subfornitori che avranno accesso tecnico, perché spesso l’accesso “scivola” a valle senza che il committente se ne accorga.

Non serve chiedere certificazioni a caso. Serve chiedere comportamenti verificabili e misure che puoi controllare: elenco utenti attivi, log sessioni, finestre di accesso, e tempi di revoca.

Come gestisco le password e le “credenziali di emergenza” senza creare un single point of failure?

Le credenziali di emergenza devono esistere (altrimenti in crisi non lavori), ma devono essere governate: conservazione sicura, accesso tracciato, e rotazione dopo utilizzo. Se l’unica password admin è “in testa a Mario”, non hai resilienza: hai fortuna finché Mario non è in ferie.

Il minimo è avere un processo formalizzato per custodire credenziali critiche in un vault o in un contenitore controllato (anche fisico, se serve), con regole di apertura e registrazione. E devi testarlo: perché un processo mai provato fallisce sempre quando serve.

Qual è la minima segmentazione di rete che devo pretendere per non mettere BMS e uffici in reti condivise?

La regola minima è separare OT/building dall’IT office, e controllare i punti di interconnessione. Non serve disegnare un’architettura perfetta: serve evitare che un problema su PC utente si propaghi facilmente verso sistemi impiantistici.

In pratica: VLAN/zone separate, firewall o regole di accesso tra zone, e riduzione dei protocolli permessi ai soli necessari. E soprattutto: inventario dei gateway e dei “ponti” (anche quelli improvvisati) tra OT e IT, perché è lì che passa il rischio.

Qual è la checklist minima sugli asset critici: cosa devo sapere con certezza entro una settimana?

Devi sapere quali sono i sistemi critici, dove stanno (fisicamente e in rete), chi li gestisce, come ci si accede, e chi ha le credenziali. Devi sapere quali fornitori hanno accesso remoto e con quale modalità. Devi sapere dove sono i backup delle configurazioni (quando applicabile) e chi sa ripristinare.

Senza inventario non fai sicurezza: fai speranza. E in facility l’inventario non è un Excel infinito: è una lista controllata dei “sistemi che se li perdi hai problemi seri”.

Come verifico che questa checklist esiste davvero e non è “carta”?

Devi fare prove semplici: chiedi l’elenco utenti attivi e verifica che siano nominativi; chiedi i log dell’ultimo accesso remoto e verifica che contengano timestamp e utente; prova a revocare un accesso e misura quanto ci metti; simula una finestra di accesso per un fornitore e verifica che fuori finestra non entri.

Poi fai un test fisico: vai in locale tecnico e verifica che non ci siano switch non governati, modem 4G “messi per comodità”, password incollate su quadri, o PC sempre loggati. Queste sono le vulnerabilità reali in facility, non le policy.

Conclusioni

La checklist minima cyber per il Facility non è un manuale di sicurezza: è un set di controlli operativi su accessi, log e fornitori che ti permette di governare impianti e servizi anche quando qualcosa va storto. Se rendi nominativi e controllati gli accessi tecnici, centralizzi e conservi i log essenziali, e metti nei contratti regole verificabili su teleassistenza e subappalti, riduci drasticamente sia il rischio di fermo sia la probabilità di contenzioso.

Se vuoi affrontare seriamente questo tema evitando i rischi sopra descritti puoi contattarmi qui.