Acquedotti sotto attacco: come la Cybersecurity entra nella catena del servizio idrico

Ogni giorno, milioni di italiani compiono lo stesso gesto senza pensarci: aprono un rubinetto e si aspettano che l’acqua scorra, pulita e senza interruzioni. Un evento dato per scontato, poiché non sono in molti a sapere che la disponibilità di acqua potabile si regge su una macchina enorme e silenziosa, fatti di pozzi, impianti di potabilizzazione, depuratori, stazioni di pompaggio, chilometri di condotte, ecc, oggi orchestrate da centraline remote e reti digitali.

L’acqua resta un bene comune nel senso più concreto della parola: non si può sostituire, non tollera interruzioni lunghe, e la sua qualità è una questione di salute pubblica prima ancora che di servizio. È per questo che parlare di sicurezza informatica in un acquedotto significa parlare di qualcos’altro rispetto alla protezione dei dati: significa parlare della tenuta di un servizio da cui dipendono ospedali, imprese, scuole, famiglie.

La convergenza IT/OT allarga la superficie d’attacco

Negli ultimi anni gli acquedotti si sono trasformati in sistemi “cyber-fisici”, in cui convergono Information Technology (IT) e Operational Technology (OT), mondi separati in origine, ma costretti oggi a dialogare sulla stessa infrastruttura di rete.

Attualmente, reti di sensori IoT, centraline di controllo e software gestiscono da remoto operazioni che un tempo richiedevano la presenza fisica di un tecnico. Questa evoluzione ha spalancato una porta fino a ieri chiusa: più un impianto è connesso, più aumentano i punti di possibile accesso non autorizzato al sistema.

Ed è qui che il tema cambia natura rispetto alla cybersecurity a cui siamo abituati. In un’azienda qualunque, un attacco informatico punta di solito a rubare informazioni. In un acquedotto, invece, il bersaglio più temuto non sono i dati, ma il funzionamento stesso dell’impianto o persino la sua sicurezza in termini di salute pubblica.

Nel 2021 il mondo ha avuto un assaggio concreto di questo scenario a Oldsmar, in Florida, dove un accesso remoto non autorizzato riuscì a modificare i livelli di una sostanza chimica ben oltre le soglie di sicurezza. Solo l’attenzione di un operatore evitò conseguenze reali sull’acqua distribuita. L’episodio è diventato un caso di scuola, perché ha mostrato con chiarezza che, negli impianti industriali, la sicurezza informatica, la qualità delle acque e la continuità del servizio sono, di fatto, la stessa cosa.

Non stupisce, allora, che il NIST, l’ente statunitense che detta gli standard tecnologici di riferimento, abbia dedicato una guida specifica al settore idrico, indicando architetture pensate apposta per mettere in sicurezza impianti spesso costruiti decenni fa, molto prima che qualcuno immaginasse di collegarli a Internet.

Le regole che impongono il cambio di passo

In Italia, esiste un impianto normativo preciso che regola la trasformazione dei sistemi idrici nazionali.

• La direttiva europea NIS2 inserisce esplicitamente l’acqua potabile e le acque reflue tra i settori considerati ad alta criticità, imponendo agli operatori di dimostrare capacità di prevenzione e di segnalare tempestivamente ogni incidente rilevante: non più un buon proposito, ma un obbligo che coinvolge direttamente i vertici aziendali.
• L’Agenzia per la Cybersicurezza Nazionale, che definisce gli obblighi del Perimetro di Sicurezza Nazionale Cibernetica per chi gestisce servizi essenziali, vigila sul settore idrico.
• Le indicazioni di AgID orientano da tempo la PA e le Utility verso pratiche più solide.

A questo si aggiunge un tassello meno noto ma altrettanto significativo: il nuovo Regolamento Macchine europeo, che per la prima volta lega la sicurezza fisica di un macchinario industriale anche alla sua tenuta informatica. Una pompa o un sistema di controllo, da oggi, non possono più dirsi “sicuri” se la rete che li governa è vulnerabile a un attacco esterno.

Il caso di un acquedotto italiano

Dentro questo scenario si colloca un intervento realizzato presso uno dei principali gestori italiani del servizio idrico integrato, il cui nome resta riservato per ragioni di sicurezza, ma la cui esperienza è rappresentativa di molte Utility del Paese.
L’infrastruttura da mettere in sicurezza era ampia ed eterogenea: sistemi informatici centrali, ambienti virtualizzati, reti dedicate agli impianti di depurazione e al telecontrollo, oltre a numerosi apparati distribuiti sul territorio.

Il progetto, condotto con la piattaforma Agger di Gyala (nativamente progettato per proteggere le infrastrutture IT e OT da un’unica console), ha previsto l’installazione di strumenti di monitoraggio – sonde di rete e software installati sui sistemi Windows e Linux – senza toccare l’operatività quotidiana dell’impianto.
La sfida più grande non è stata tecnologica, ma di metodo: capire come si comporta un’infrastruttura del genere senza alterarne gli equilibri. Per questo il monitoraggio è avvenuto in modalità passiva, osservando il traffico senza intervenire direttamente sui processi, mentre in parallelo si lavorava su aspetti molto concreti come la configurazione dei firewall e la suddivisione delle reti in segmenti separati.

Una volta a regime, il sistema ha iniziato a costruire una fotografia completa e continuamente aggiornata dell’infrastruttura, imparando a riconoscere cosa fosse “normale” – nei processi, nelle connessioni, nei comportamenti dei sistemi – così da individuare tempestivamente qualsiasi scostamento sospetto. La logica non era accumulare segnalazioni, ma capire davvero come funziona l’impianto per accorgersi nell’immediato di ciò che non torna.

La tenuta del sistema è stata poi messa alla prova con simulazioni ispirate a scenari reali di attacco (incluso uno costruito proprio sul caso di Oldsmar) e altri test relativi a minacce note nel mondo industriale, dal blocco di dispositivi di controllo ad attacchi mirati contro apparecchiature Siemens. Tutte le verifiche hanno dato esito positivo: il progetto ha messo in sicurezza quattro impianti di trattamento delle acque, riducendo del 30% i costi di gestione della sicurezza informatica e garantendo piena copertura anche dei sistemi legacy più datati ancora in uso.

La lezione: proteggere il processo, non solo i sistemi

Ciò che resta, al netto della tecnologia, è una lezione semplice ma spesso trascurata: la cybersecurity degli acquedotti non significa proteggere i computer, bensì proteggere ciò che quei computer fanno funzionare. La continuità di un servizio idrico dipende dalla capacità di garantire che pompe, valvole e sistemi di controllo continuino a fare esattamente il loro lavoro, anche quando qualcuno prova a interferire. È la direzione tracciata dalle nuove norme europee, ed è la direzione verso cui si sta muovendo anche il mercato delle tecnologie di difesa. Infatti, Agger è compliant NIS2, AgID, GDPR; è abilitatore per il Regolamento Macchine 2023/1230 e soddisfa i requisiti del framework di cybersecurity dell’ACN.

Un ultimo segnale in questo senso: Gyala è stata recentemente citata come Sample Vendor nel report Gartner “Hype Cycle for CPS Security” 2026, per la soluzione Agger nell’area del CPS Security Remote Access, uno dei riferimenti più seguiti dagli analisti per orientarsi tra le tecnologie che proteggono il punto d’incontro tra mondo digitale e mondo fisico.