Risposta rapida. La segmentazione di rete industriale di una macchina si fa in tre zone: Zona macchina (PLC, pannello, periferie), Zona di servizio (laptop e gateway di teleassistenza) e Zona stabilimento. Fra macchina e stabilimento un firewall lascia passare solo i flussi scritti in tabella, nei due sensi. La porta 102 del PLC non si spegne sulla CPU: si chiude sul firewall. Con switch SCALANCE XB-000, che nel manuale non hanno diagnostica Web né SNMP, la separazione è fisica.

Questo articolo lavora su un impianto di fantasia, la Linea P1: una linea di pallettizzazione con un S7-1500, un pannello Comfort, due ET 200SP e due switch. Gli indirizzi sono inventati. Le zone che definiamo qui sono le stesse che riprende l’articolo su IEC 62443 spiegata a chi programma PLC; il quadro generale sta nella guida pratica alla cybersecurity dei PLC per chi programma macchine.

Segmentazione di rete industriale: zone e condotti, senza giri di parole

La guida ISA alla serie IEC 62443 definisce la zona come un raggruppamento di apparati, logici o fisici, fatto in base al rischio o ad altri criteri come criticità, funzione o organizzazione responsabile. Il condotto è l’insieme dei canali di comunicazione che collegano due o più zone e che hanno gli stessi requisiti di sicurezza. Fra le cose da tenere separate la stessa guida elenca gli asset di business da quelli di controllo, i dispositivi collegati solo temporaneamente e quelli raggiunti attraverso reti esterne.

Le Operational Guidelines di Siemens parlano di cella: contiene solo componenti con gli stessi requisiti di protezione, e tutti i dispositivi di un sistema PROFINET appartengono a una sola cella. PLC ed ET 200SP della Linea P1 sono un sistema PROFINET: stanno insieme, col pannello.

Da qui le tre zone:

• Zona macchina: PLC, pannello, periferie, switch. È la cella.
• Zona di servizio: il laptop che si collega solo durante un intervento e il gateway che porta dentro la teleassistenza. Sono i «temporaneamente collegati» e i «collegati via reti esterne» della guida ISA.
• Zona stabilimento: la rete di chi gestisce lo stabilimento, 10.20.0.0/16 nell’esempio.

Chi decide? Per la guida ISA la metodologia di valutazione del rischio la stabilisce l’asset owner, e l’ultimo passo del processo a zone e condotti è la sua approvazione; l’integratore può aiutare a dividere il sistema in zone e condotti. Chi costruisce la macchina propone le zone. La Zona stabilimento, e la sua DMZ, restano del cliente.

Switch gestiti e non gestiti: cosa puoi davvero configurare

NIST SP 800-82 Rev. 3 scrive che la segmentazione si fa di solito in due modi: fisicamente, con switch diversi, oppure logicamente, con le VLAN. Le VLAN stanno sugli apparati di commutazione e separano il traffico in base alle porte. Aggiunge che le VLAN possono costare meno, ma per i dispositivi ad alta criticità, per esempio quelli dei sistemi di sicurezza, conviene valutare switch fisicamente separati.

Sulla Linea P1 i due switch sono SCALANCE XB005. Nel manuale della famiglia XB-000 (edizione 01/2022) la tabella delle caratteristiche riporta «-» alla riga «Diagnostics: Web, SNMP, PROFINET» per tutti i modelli, e lo stesso manuale dice che questi switch non si possono usare in un anello ridondante. La parola VLAN nel manuale compare solo nei dati tecnici, alla riga «IEEE 802.1Q tags (VLAN ID, priority) transparent forwarding»: lo switch inoltra i frame con tag così come arrivano. Senza un’interfaccia di gestione, a nostro giudizio, non c’è un posto dove configurare VLAN o port security.

Le uscite sono due, e vanno dette prima dell’offerta:

1. Tieni gli XB005 e separa fisicamente: la Zona macchina ha i suoi switch, che toccano la rete di stabilimento solo attraverso il firewall. È la prima via di NIST, ed è già la Linea P1.
2. Cambia gli switch con modelli gestiti, se vuoi dividere logicamente la cella o spegnere le porte non usate. È una voce di costo. Il modello si sceglie sul suo manuale, non per analogia.

Per una panoramica sui prodotti c’è l’articolo sugli switch SCALANCE nelle reti Profinet.

Cosa deve fermare il firewall, e perché non basta il PLC

Il Communication Function Manual dell’S7-1500 (edizione 11/2025) elenca porte e servizi della CPU. Due righe decidono il progetto del firewall: la 102/TCP (ISO-on-TCP, cioè comunicazione S7, PG e HMI) e la 34964/UDP (PROFINET Context Manager) risultano attive e «This function cannot be deactivated». Sulla CPU non le spegni. Se non vuoi che la rete di stabilimento le raggiunga, le chiudi a monte.

Il web server, se attivato, ha già «Permit access only with HTTPS»; il certificato cifra ma, dice il manuale, non protegge dall’accesso: quello lo fa la gestione utenti. Per l’OPC UA server il manuale raccomanda l’accesso solo con autenticazione utente. Le community SNMP di default, «public» e «private», viaggiano in chiaro; se spegni l’SNMP, però, strumenti come PRONETA perdono la diagnostica di topologia. Se ti serve la diagnostica di topologia, lascialo attivo solo dentro la cella e chiudilo al confine; altrimenti resta spento, come da default su FW V3.0.

Per la parte di hardening dentro la CPU (livelli di accesso, PUT/GET, comunicazione PG/HMI sicura) c’è l’articolo su come proteggere un S7-1500 con password e livelli di accesso.

Per le regole NIST chiede connessioni solo fra livelli adiacenti (in un’architettura Purdue, niente dialogo diretto dal livello 4 ai livelli 2, 1 e 0) e regole in uscita severe quanto quelle in ingresso. L’advisory CISA sul ransomware DarkSide aggiunge che i protocolli industriali non devono attraversare la rete IT. Collocare PLC e pannello nei livelli Purdue è una lettura nostra; i principi no.

CP 1543-1: il firewall dentro la stazione S7-1500

Se non vuoi un apparato separato, Siemens indica i CP con funzioni «Security Integrated» come alternativa o complemento alle security appliance. Il CP 1543-1, secondo il Communication Function Manual, offre un firewall IP con stateful packet inspection a livello 3 e 4, un firewall anche per i frame Ethernet non IP (livello 2), la limitazione di banda e una VPN IPsec in tunnel mode. I log vanno in locale oppure su un server Syslog di rete.

C’è un’eccezione scritta nel manuale, e va letta prima di scegliere il CP: se accedi alla CPU attraverso l’interfaccia del CP con la funzione «Access to PLC via communication module», il firewall non protegge quella connessione. La conseguenza che ne traiamo: con quella funzione attiva, la porta verso la CPU è aperta a prescindere dalle regole.

Il percorso dei menu TIA per le regole del CP non lo riportiamo: controlla sulla tua versione.

DCP e LLDP viaggiano come frame Ethernet (Ethertype 0x8892 e 0x88CC), non come pacchetti IP: una regola scritta su indirizzi e porte non li descrive. Nella tabella dei servizi della CPU il Communication Function Manual indica come limitarli: il confine «End of detection of accessible nodes» per il DCP e «End of topology discovery» per l’invio LLDP. Come li tratti al confine dipende dall’apparato che usi.

Il firewall del CP 1543-1 non protegge la connessione alla CPU che passa dall’interfaccia del CP con la funzione «Access to PLC via communication module».

Zona di servizio, teleassistenza e DMZ

Il gateway di teleassistenza della Linea P1 ha una gamba nella rete macchina (192.168.10.2) e una verso lo stabilimento: è un secondo condotto, che non passa dal firewall di cella: le sue regole stanno sul gateway e sul firewall del cliente.

I principi di connettività OT pubblicati da NCSC-UK, CISA e altre agenzie (gennaio 2026) chiedono connessioni che partono in uscita dall’interno dell’OT, supporto dei fornitori mediato da un gateway in un segmento separato come una DMZ, e accesso abilitato solo quando serve. Avvertono anche che in una rete OT piatta con VPN per i fornitori chi si collega al proprio apparato può raggiungere anche tutti gli altri. Controlla sul manuale del tuo gateway se può limitare le destinazioni.

La DMZ la descrivono anche le Operational Guidelines Siemens: nella variante più sicura il collegamento passa da una rete separata e la comunicazione diretta fra produzione e rete aziendale è bloccata dai firewall. Sulla Linea P1 la DMZ è del cliente: la chiedi, non la costruisci. Come si apre e si chiude la sessione è materia dell’articolo su accesso remoto al PLC e cosa non fare.

Scenario d’esempio: la Linea P1

Impianto di fantasia. Gli indirizzi segnati con * sono aggiunti in questo articolo e vanno tenuti uguali negli altri.

        ZONA STABILIMENTO  10.20.0.0/16   (gestita dal cliente)
  [OPC UA 10.20.30.50]  [Syslog 10.20.30.60]   [firewall cliente]--[DMZ 172.16.50.0/24]
          |                    |                       |            [broker .10]
  --------+--------------------+-----------+-----------+---------------------
                                           |                  |
                                     10.20.12.1          10.20.12.2
                                 [FIREWALL DI CELLA]   [GATEWAY TELEASSISTENZA]
                                    192.168.10.1         192.168.10.2
                                           |                  |   ZONA DI SERVIZIO
  =================== ZONA MACCHINA 192.168.10.0/24 ==========|==============
                                           |                  |
                  [SW1 XB005] -------------+------------------+
                   |      |       |
            [PLC .10] [HMI .20] [porta service] --- [laptop .100]  ZONA DI SERVIZIO
                   |
              [SW2 XB005]
                |        |
          [ET200SP .31] [ET200SP .32]

La Zona di servizio condivide la rete 192.168.10.0/24 perché laptop e gateway devono raggiungere il PLC sulla 102. Il confine qui è di responsabilità e di tempo, non un filtro IP: laptop sulla porta service etichettata solo durante l’intervento, gateway abilitato solo su richiesta. Un filtro vero richiederebbe un apparato in mezzo.

Le regole del firewall di cella. Le porte vengono dal manuale Siemens; quali flussi permettere è una scelta di progetto. La regola 1 è un’eccezione dichiarata: un host dello stabilimento parla direttamente col PLC. Una variante più severa la farebbe passare da un server nella DMZ.

Il condotto del gateway va chiuso a parte, altrimenti la regola 3 si aggira passando da 10.20.12.2. Il gateway non accetta niente in ingresso dallo stabilimento e apre solo in uscita verso il broker 172.16.50.10, sulla porta indicata dal suo costruttore; il firewall del cliente fra stabilimento e DMZ lascia passare solo quella. Se il tuo gateway sa rifiutare ogni ingresso, lo dice il suo manuale: controlla.

La sequenza che usiamo:

1. Prima di chiudere, guarda. NIST suggerisce di permettere e registrare per un periodo tutto il traffico fra i segmenti, e di ricavare dai log le comunicazioni legittime. Fallo al collaudo, a macchina che lavora: un flusso dimenticato lo scopri qui, non la notte dopo.
2. Scrivi la tabella sopra e fattela approvare da chi gestisce la rete di stabilimento.
3. Attiva le regole e il log, locale o Syslog.
4. Verifica in banco o in un fermo programmato. NIST chiede estrema cautela con le scansioni attive su una rete in esercizio: possono destabilizzare i dispositivi. Un singolo tentativo mirato sulla 102, fatto a macchina ferma, basta a vedere la riga di rifiuto nel log.

Per ricollocare la macchina nel piano d’indirizzi: cambiare l’IP di una macchina Profinet con TIA Portal. Se dopo le regole il pannello non comunica più: S7-1200 e HMI che non comunicano. Sui protocolli: Modbus, Profibus e Profinet a confronto e Modbus TCP contro EtherNet/IP.

Cosa NON fare

• Non scrivere «VLAN» nel capitolato se gli switch della macchina sono XB-000: il loro manuale nomina la VLAN solo come inoltro trasparente dei tag IEEE 802.1Q, e la diagnostica Web e SNMP è segnata «-».
• Non lasciare la 102 raggiungibile dall’ufficio contando sul PLC: sulla CPU non si disattiva.
• Non attivare «Access to PLC via communication module» sul CP 1543-1 pensando che il firewall la copra: il manuale dice che non la protegge.
• Non caricare un progetto vecchio su una CPU di ricambio senza ricontrollare l’SNMP: una CPU da FW V3.0 con un progetto per firmware precedente si comporta come nel progetto, con SNMP attivo e community «public» e «private».
• Non scansionare la rete in produzione per «vedere cosa c’è».

Cosa questo articolo non copre

Le definizioni di zona e condotto vengono dalla guida ISA, non dal testo integrale delle norme IEC 62443. Non trattiamo firewall di un produttore specifico, menu TIA del CP 1543-1 né porte della VPN IPsec. Le righe sull’SNMP valgono per CPU da FW V3.0: controlla sulla tua versione.

Fonti

• NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security (§5.2.3.1, §6.2.1.3, E.1.3, E.2.3)
• Siemens, S7-1500 Communication Function Manual, 11/2025 (tabella 5-2, cap. 17)
• Siemens, S7-1500 Web server Function Manual, 11/2025
• Siemens, SCALANCE XB-000 Operating Instructions, 01/2022
• Siemens, Cybersecurity for Industry – Operational Guidelines, v2.2.1
• ISA GCA, Quick Start Guide: An Overview of ISA/IEC 62443 Standards
• NCSC-UK, CISA e altri, Secure connectivity principles for OT
• CISA/FBI AA21-131A, DarkSide Ransomware

Ultimo controllo: 29 settembre 2026

Dott. Strongoli Alessandro

“Semplifica, automatizza, sorridi: il mantra del programmatore zen.”

Dott. Strongoli Alessandro

Programmatore
CEO IO PROGRAMMO srl