Sicurezza e collegamenti
Dal PLC al telefono: chi parla con chi, su quale strada e con quali chiavi. In breve: è sempre l'impianto a chiamare il portale, tutto quello che passa da internet è cifrato, chi amministra entra con password e codice dal telefono e ognuno vede solo i suoi impianti.
Come si collegano PLC, server e portale
Impianto fisso
Industrial DataHub gira sul PC dell'impianto o su un piccolo computer nel quadro, e legge il PLC nella rete locale. Verso il portale apre lui il collegamento, in HTTPS: sul router del cliente non si apre nessuna porta e non serve una VPN.
Macchina in cantiere
Sulla macchina c'è un router 4G che all'accensione apre da solo una VPN WireGuard verso il server, e la riapre se il segnale cade. Sul server gira un Industrial DataHub per ogni macchina, che legge il PLC attraverso la VPN.
La sicurezza informatica, punto per punto
Autenticazione
- Ogni persona entra con il suo utente e la sua password; un utente può avere una data di scadenza.
- Verifica in due passaggi: oltre alla password, il codice di 6 cifre di un'app sul telefono. Obbligatoria per chi amministra il portale, facoltativa per i clienti; con 10 codici di riserva per quando il telefono non c'è.
- Le password non sono salvate: resta solo un'impronta (PBKDF2-SHA256, 120.000 passaggi, con il sale). Neanche noi possiamo risalire alla password.
- Dopo 5 password sbagliate di fila bisogna aspettare, e l'attesa si allunga a ogni errore. Sul server anche l'accesso di amministrazione (SSH) è protetto contro i tentativi ripetuti.
- Dopo 8 ore senza attività il portale chiede di nuovo la password; il cookie di sessione viaggia solo in HTTPS e non è leggibile dagli script della pagina.
Autorizzazioni
- Tre ruoli: il cliente vede solo gli impianti assegnati a lui, il sub-amministratore gestisce i suoi impianti e i suoi utenti, l'amministratore li vede tutti.
- Dal portale, di partenza, si guarda e basta: i comandi si accendono impianto per impianto, e l'impianto si può bloccare su «modifiche solo sul posto».
- Ogni comando chiede la password operatore, che controlla il programma sull'impianto, non il portale. Prima di scrivere nel PLC il programma controlla i limiti; i parametri delicati chiedono anche il motivo e, se serve, la macchina ferma.
- Le impostazioni degli impianti fissi non si cambiano dal portale. Quelle delle macchine in cantiere solo da un amministratore che riscrive la sua password e il codice dell'app: lo sblocco dura 30 minuti.
Comunicazioni
- Tutto quello che passa da internet è cifrato: HTTPS con un certificato che si rinnova da solo, e l'impianto controlla il certificato del portale prima di mandargli i dati.
- Ogni impianto si fa riconoscere con la sua chiave. Il portale ne conserva solo l'impronta; la chiave si vede una volta sola e, se serve, si sostituisce: quella vecchia smette subito di funzionare.
- Le macchine in cantiere usano una VPN WireGuard: ogni macchina ha la sua chiave, più una chiave condivisa con il server.
Isolamento
- La rete dei PLC resta locale: non si apre nessuna porta sul router del cliente, ed è l'impianto a chiamare il portale.
- Nel portale ogni impianto ha i suoi dati, raggiungibili solo dagli utenti a cui è assegnato.
- Nella VPN una macchina non raggiunge le altre e non esce su internet. Solo i PC dell'ufficio autorizzati raggiungono i PLC per programmarli; le macchine a loro rispondono e basta.
- Sul server sono aperte solo le porte che servono. I programmi girano con un utente senza privilegi e non possono modificare il sistema.
Tracciabilità
- Il registro dell'impianto annota ogni comando e ogni modifica, anche quelli rifiutati: chi, quando, da dove, valore di prima e di dopo.
- Il registro del portale annota gli accessi, le password sbagliate e gli interventi degli utenti, compresa ogni apertura delle impostazioni di una macchina.
- In tutti e due ogni riga contiene l'impronta della precedente: una riga cambiata o tolta si nota.
Continuità operativa
- Se cade internet, l'impianto continua da solo: legge il PLC, registra e mostra gli allarmi sul posto. Quando la linea torna, il portale riceve i dati arretrati.
- Se il portale si ferma, sugli impianti non cambia niente. E se qualcuno ci entrasse senza permesso, non potrebbe cambiare le impostazioni degli impianti fissi né dare comandi senza la password operatore, che controlla l'impianto.
- Le macchine in cantiere registrano finché c'è il collegamento: a macchina spenta o senza segnale, nei grafici resta un buco.
Aggiornamenti e backup
- Il server installa da solo gli aggiornamenti di sicurezza ogni notte e, se serve, si riavvia alle 4.
- Il programma si aggiorna con un file solo, di cui si controlla l'impronta prima di installarlo.
- Il portale fa una copia di sicurezza cifrata con una password scelta da voi, anche per mail in automatico; con quella il server si ricostruisce da zero con un comando. Il programma dell'impianto ha il suo backup dei dati.
- Password e chiavi non compaiono mai nei PDF, nelle mail, nei file per Excel, nelle esportazioni o nei registri.
Test di sicurezza
- Ogni versione passa le prove automatiche, comprese quelle sulla chiave degli impianti e sul registro delle modifiche.
- Per gli impianti che lo richiedono, il sistema si può sottoporre a un vulnerability assessment o a un penetration test di un'azienda esterna.
E la sicurezza della macchina?
Industrial DataHub non è un componente di sicurezza: arresti di emergenza, ripari e consensi restano nel quadro e nel PLC di sicurezza. Il nostro consiglio è collegarlo al PLC di processo e, se serve, leggere lo stato delle sicurezze senza scriverci. Il resto è nella pagina 4.0 e normativa.