Dall’integrazione tra IT e OT all’ammodernamento degli impianti, Gruppo CAP ha costruito un modello di smart utility che mette la cybersecurity al servizio della continuità operativa e della resilienza del sistema idrico.
Ne abbiamo parlato con Gabriele Di Quarto, IT Security Manager di Gruppo CAP, in vista di Aquality Forum 2026.
Le reti idriche nell’era digitale
Negli ultimi anni le utility del servizio idrico sono diventate un obiettivo sempre più frequente degli attacchi informatici. La crescente digitalizzazione degli impianti, l’interconnessione tra sistemi IT e tecnologie operative OT e la presenza di dispositivi industriali esposti a Internet hanno ampliato significativamente la superficie di attacco.
Le principali minacce comprendono ransomware, phishing e accessi non autorizzati ai sistemi di controllo industriale, inclusi PLC, RTU e interfacce HMI. Questi ultimi possono consentire agli attaccanti di modificare configurazioni e parametri operativi, causando la perdita delle capacità di monitoraggio e controllo degli impianti.
Gli impatti possono andare dal blocco dei sistemi amministrativi e dalla temporanea indisponibilità dei servizi digitali fino all’interruzione dell’erogazione, alla riduzione della pressione, agli allagamenti o all’alterazione dei processi di potabilizzazione e depurazione. Ne derivano rischi per la continuità operativa, la qualità dell’acqua, la salute pubblica, l’ambiente e la fiducia degli utenti.
È questo il punto che rende il settore idrico diverso: alterare il dosaggio di un reagente, disattivare un allarme, falsificare il livello di una vasca ha impatti su salute pubblica e ambiente, non solo sul sistema.
La strategia di Gruppo CAP e il nuovo pilastro normativo
L’intervento descrive la strategia di cybersecurity attuata da Gruppo CAP su tre fasi della propria evoluzione digitale: Digital Transformation, come integrazione dell’IT con l’OT ereditato; OT Transformation, come upgrade progressivo gli impianti; Smart Utility come gestione olistica e intelligente dell’infrastruttura IT/OT.
L’intervento inoltre mostra come si innesta il quadro regolatorio, che non aggiunge tecnologia ma impone di dimostrare che il servizio regge.
La NIS2 (D.Lgs. 138/2024) sposta continuità operativa, disaster recovery e gestione delle crisi dalla buona pratica all’obbligo verificabile con evidenze, richiede sicurezza della supply chain e attribuisce responsabilità formali agli organi di amministrazione. La CER (D.Lgs. 134/2024) copre il lato non informatico della resilienza, ovvero la protezione fisica e del personale. Il CRA agisce sui prodotti, imponendo requisiti di cybersecurity ai produttori già in fase di realizzazione.
Ascolta l’esperienza di Gruppo CAP il 14 ottobre ad Aquality Forum.
Guarda l’agenda completa della giornata e riserva ora il tuo posto.
Ti aspettiamo!