ENGINEERING NOTES · Mag 2026

Tre errori comuni in un Gap Assessment ICS

Dopo anni passati a fare e revisionare valutazioni di gap in ambienti industriali, questi tre ricorrono più di ogni altro.

Trattare l'inventario degli asset come un esercizio una tantum. Nell'OT l'inventario invecchia in fretta — un contrattista aggiunge un dispositivo, un aggiornamento firmware cambia una versione — e un gap assessment basato su un inventario di otto mesi prima sta già misurando una rete che non esiste più.
Copiare controlli IT senza adattarli alla disponibilità dell'OT. 'Riavvio immediato dopo una patch critica' suona bene su una checklist, ma in uno stabilimento che non può fermarsi senza coordinamento con la produzione, quel controllo è carta, non pratica reale.
Misurare la maturità solo sulla tecnologia, non su processo e persone. Un firewall industriale ben configurato serve a poco se nessuno sa con chiarezza chi approva una modifica alle regole, o se la procedura di risposta agli incidenti vive in un documento che nessuno ha più letto da quando è stato firmato.

Il denominatore comune dei tre: un gap assessment che guarda solo alla tecnologia produce una bella fotografia e un falso senso di sicurezza. Uno che guarda anche a processo, persone e alla data di scadenza dei propri dati produce qualcosa che riduce davvero il rischio.