L’Agenzia per la cybersicurezza nazionale (Acn) ha pubblicato un bollettino con misure urgenti per gli operatori della distribuzione alimentare e della filiera del freddo. Le indicazioni riguardano anche gli impianti, dai sistemi di controllo all’assistenza remota, e non solo i computer dei negozi. Per Giuseppe Strollo, founder e ceo di Excursus Group, un frigorifero collegato a Internet va considerato a tutti gli effetti un sistema informatico.

Le indicazioni dell’Acn per la distribuzione alimentare

Tra le indicazioni del bollettino:

  • verificare quanto sono esposti su Internet i sistemi di controllo e di assistenza remota;
  • separare gli impianti dalle reti aziendali;
  • proteggere l’accesso remoto con una VPN, cioè un collegamento protetto, e con l’autenticazione a più fattori;
  • controllare gli account di amministrazione e di manutenzione, sostituendo le credenziali predefinite;
  • verificare le temperature anche con strumenti indipendenti dal sistema di supervisione;
  • sostituire i dispositivi non più supportati;
  • segnalare le anomalie al CSIRT Italia, il servizio dell’Acn che gestisce gli incidenti informatici.

Il frigorifero connesso come sistema informaticoGiuseppe Strollo, fondatore e CEO di Excursus Group.


Excursus Group è un gruppo di Corporate & Strategic Intelligence. Secondo Strollo, il punto riguarda il perimetro di ciò che va protetto.

«È presto per parlare di responsabili e di motivazioni, e concentrarsi subito sull’attribuzione rischia di distrarre da ciò che le aziende possono fare oggi. Quello che questi episodi mostrano è un cambio di prospettiva: quando un frigorifero è collegato a Internet, diventa a tutti gli effetti un sistema informatico. Il rischio non è solo nei computer del negozio, ma in tutto ciò che è connesso e che nessuno considera “informatico”: impianti di refrigerazione, telecamere, casse, accessi. Come si può pensare di proteggere una catena retail senza aver prima valutato le vulnerabilità presenti nei singoli negozi, comprese quelle di impianti e attrezzature che fino a ieri nessuno considerava possibili bersagli? In eventi di questo tipo il danno non è nei dati, ma nel funzionamento: merce da buttare, negozi chiusi, fiducia dei clienti».

Le priorità organizzative indicate da Excursus Group

Alle misure tecniche dell’Acn la società affianca sei priorità di tipo organizzativo:

  • fare l’inventario di tutto ciò che è connesso, compresi gli impianti gestiti da fornitori e manutentori, e sapere quali dispositivi sono raggiungibili dall’esterno;
  • controllare gli accessi dei terzi, limitando i privilegi e revocando gli accessi a fine intervento;
  • pianificare la sostituzione dei dispositivi non più aggiornabili, che non si possono rendere sicuri con le sole regole;
  • prevedere allarmi di temperatura che raggiungano una persona reperibile anche di notte, e una procedura, anche manuale, per proteggere la merce se i sistemi non rispondono;
  • chiedere ai fornitori chi gestisce i sistemi, quali sono raggiungibili da Internet, in che stato sono gli aggiornamenti e come vengono notificati gli incidenti;
  • stabilire in anticipo chi fa cosa in caso di incidente (sicurezza, area informatica, operations, legale e comunicazione) e a chi segnalarlo, cioè CSIRT Italia e Polizia postale.

Il nodo dei fornitori esterni

Per Strollo il nodo riguarda anche chi gestisce gli impianti dall’esterno.

«La sicurezza informatica nel retail non può essere affidata solo ai sistemi informativi: serve chi conosce le dinamiche operative del settore e lavora con un metodo strutturato, che parta dalla valutazione dei singoli punti vendita. Nessuna misura tecnica funziona se non è chiaro chi risponde di cosa, soprattutto quando di mezzo ci sono fornitori esterni. Non si tratta di avere paura delle tecnologie connesse, ma di sapere dove sono, chi ci accede e cosa succede se smettono di funzionare».