Lezione 11: IoT, Smart Building e sicurezza dell'infrastruttura

Introduzione e obiettivi

Nella Lezione 9 abbiamo visto i fondamenti della cybersecurity (la triade CIA, le minacce, il phishing, l'igiene delle password) e nella Lezione 10 abbiamo protetto i dati e i modelli BIM dentro il Common Data Environment, lavorando su permessi, versioning e backup. Tutto bene finché i dati stanno "fermi" dentro una cartella sul cloud. Ma il cantiere e l'edificio moderni sono pieni di cose che parlano: centraline che misurano i consumi, sensori che monitorano una crepa strutturale, telecamere, contabilizzatori di calore, varchi con badge, tablet che girano per il cantiere, plugin scaricati dentro Revit o ArchiCAD. Ogni "cosa che parla" è una porta. E ogni porta, se lasciata aperta, è un punto in cui qualcuno può entrare.

Questa lezione sposta lo sguardo dai dati all'infrastruttura che li produce e li trasporta: i dispositivi IoT (Internet of Things, "internet delle cose"), gli Smart Building, le reti di cantiere e d'ufficio, i dispositivi mobili in mobilità e la lunga catena di fornitori software da cui dipendiamo. È il punto in cui la Green & Digital Construction è più esposta, perché qui la tecnologia avanza più in fretta delle competenze di chi la installa: si monta un sensore perché "serve il dato", e nessuno si chiede chi possa leggerlo, modificarlo o spegnerlo.

Concretamente, in questa lezione esploreremo:

• Sicurezza di IoT e Smart Building: perché i sensori sono l'anello debole e come ridurre il rischio (ponte con UFC 10 — Edilizia 4.0 e UFC 12 — Cantiere e Manutenzione 4.0);
• Reti: il Wi-Fi di cantiere, la segmentazione della rete, le VPN, gli aggiornamenti del firmware e il problema delle password di default;
• Dispositivi mobili e lavoro in mobilità: tablet, smartphone e laptop che escono dall'ufficio;
• Supply chain e fornitori: i software e i plugin BIM di terze parti come vettore d'attacco;
• Normativa: il GDPR e la gestione del data breach (la notifica entro 72 ore), con cenni a NIS2 e ISO/IEC 27001.

Sicurezza di IoT e Smart Building

Un dispositivo IoT è un oggetto fisico dotato di sensori, una piccola CPU e una connessione di rete, capace di raccogliere dati e/o agire sul mondo. Nell'edilizia digitale ne incontri ovunque: in cantiere ci sono centraline meteo, inclinometri e fessurimetri sulle strutture, contatori di accessi ai varchi, geolocalizzatori sui mezzi; nell'edificio "intelligente" ci sono termostati connessi, contabilizzatori di calore, sensori di CO₂ e qualità dell'aria, sistemi BMS (Building Management System) che governano riscaldamento, ventilazione e luci, telecamere IP, serrature elettroniche, sensori di allagamento. Tutti questi oggetti generano i dati che nei Moduli 1 e 2 abbiamo imparato a strutturare e analizzare. La domanda di questa lezione è diversa: chi li protegge?

Perché l'IoT è l'anello debole

I dispositivi IoT nascono per essere economici, piccoli e "che funzionino subito". Questo porta con sé tre debolezze ricorrenti:

• Sicurezza trascurata di fabbrica. Molti sensori escono con una password di default uguale per tutti gli esemplari (classici admin/admin, admin/1234, root/root) e con servizi di rete aperti che nessuno disattiva.
• Aggiornamenti rari o assenti. Un termostato o un contabilizzatore vivono nell'edificio 10-15 anni; il produttore smette di rilasciare aggiornamenti del firmware dopo pochi anni. Le vulnerabilità scoperte dopo restano lì.
• Lunga vita, scarsa visibilità. Nessuno tiene un inventario dei dispositivi connessi. In un edificio direzionale possono esserci centinaia di nodi che nessun responsabile sa elencare.

Il caso storico da ricordare è la botnet Mirai (2016): centinaia di migliaia di telecamere IP e videoregistratori con password di default vennero infettati e usati per un attacco DDoS che mise offline mezza Internet. Nessuno di quei proprietari aveva "fatto nulla di male": avevano solo lasciato le impostazioni di fabbrica. Lo stesso tipo di telecamere si trova oggi in tantissimi cantieri.

La superficie d'attacco di uno Smart Building

Mettiamo in fila, con un esempio concreto, dove un edificio intelligente è esposto. Immagina un edificio direzionale recente con BMS, 4 telecamere IP, contabilizzatori di calore radio, varco con badge e termostati connessi:

La regola d'oro è: ogni dispositivo connesso va censito, configurato e tenuto sotto controllo come se fosse un piccolo computer — perché lo è. Nella Lezione 12 questi controlli confluiranno nel "piano minimo di sicurezza"; qui imparo a vederli.

Reti: Wi-Fi di cantiere, segmentazione, VPN

I dispositivi non vivono isolati: parlano attraverso una rete. In cantiere la rete è spesso improvvisata — un router 4G/5G, un Wi-Fi montato in baracca, qualche cavo — e proprio per questo è uno dei punti più fragili dell'intera UFC 9. Vediamo i quattro problemi ricorrenti e come si affrontano.

1. Il Wi-Fi di cantiere

Il Wi-Fi del cantiere serve a far funzionare tablet di rilievo, totalstation connesse, droni, app di SAL (stato avanzamento lavori), telecamere. Gli errori tipici che vedo in cantiere:

• Password debole e condivisa con tutti (a volte scritta sul router con un pennarello), che resta la stessa per mesi anche dopo che decine di subappaltatori sono passati.
• Crittografia obsoleta: reti ancora su WEP o WPA (violabili in minuti) invece di WPA2/WPA3.
• Un'unica rete piatta dove convivono il tablet del direttore lavori, le telecamere, la centralina dei sensori e il telefono personale dell'operaio.
• SSID "ospite" inesistente: i visitatori e i fornitori si connettono alla rete principale.

2. La segmentazione della rete

La segmentazione è il principio più importante di questa sezione. Significa dividere la rete in zone separate che non si parlano tra loro, così se una zona viene compromessa il danno resta confinato. È l'equivalente digitale dei compartimenti antincendio di un edificio: il fuoco in un compartimento non passa agli altri.

Una segmentazione minima ma efficace per un cantiere/ufficio edile prevede almeno quattro reti logiche separate (le VLAN):

RETE 1 - LAVORO          (10.0.10.x)
  PC ufficio, server CDE, NAS dei backup, stampanti
  -> dati di progetto e modelli BIM

RETE 2 - IoT / SENSORI   (10.0.20.x)
  Telecamere IP, sensori strutturali, BMS, contabilizzatori
  -> NON puo' raggiungere la RETE 1

RETE 3 - OSPITI          (10.0.30.x)
  Wi-Fi per subappaltatori, fornitori, visitatori
  -> accesso a Internet ma NON alle altre reti

RETE 4 - MOBILE DI CAMPO (10.0.40.x)
  Tablet di rilievo, totalstation, droni, app SAL
  -> accesso controllato al CDE, isolato dai sensori

L'idea chiave: la telecamera IP non ha alcun motivo di poter raggiungere il NAS con i backup dei modelli BIM. Se le tengo nella stessa rete piatta, un attaccante che entra dalla telecamera (password di default) arriva ai backup. Se le separo, quella porta non porta da nessuna parte. Lo stesso vale per il Wi-Fi ospiti: il fornitore che viene a fare un preventivo non deve poter "vedere" i PC dell'ufficio tecnico.

3. La VPN per il lavoro a distanza

Una VPN (Virtual Private Network) crea un "tunnel" cifrato tra il dispositivo che è fuori (il tablet del geometra a casa, il laptop del BIM coordinator in trasferta, il PC del manutentore del BMS) e la rete dell'ufficio. Senza VPN, esporre un servizio interno (per esempio l'accesso da remoto al BMS o a un server) significa aprire una porta su Internet che chiunque può trovare e attaccare. Con la VPN, quella porta è raggiungibile solo da chi ha le credenziali del tunnel.

Tre regole pratiche:

• Mai esporre direttamente su Internet il pannello di un BMS, di una telecamera o di un NAS. Se serve l'accesso da fuori, lo si fa tramite VPN.
• VPN + autenticazione a più fattori (MFA): la VPN protegge il canale, l'MFA protegge l'accesso anche se la password viene rubata.
• Accesso del fornitore tracciato: il manutentore della centralina entra con un account nominale e una VPN dedicata, e gli accessi finiscono in un log.

4. Firmware e password di default

Sono i due problemi più banali e i più devastanti, ed è per questo che li mettiamo insieme:

• Password di default: la prima cosa da fare appena un dispositivo entra in rete è cambiarla, con una password lunga e unica (non riusata). Vale per router, telecamere, NAS, sensori, stampanti, gruppi di continuità. Una telecamera lasciata su admin/admin è una porta spalancata.
• Firmware: il software interno dei dispositivi va aggiornato quando il produttore rilascia patch di sicurezza. Un firmware vecchio contiene vulnerabilità note e pubblicate: chiunque sa come sfruttarle. Tieni un piccolo registro di "chi aggiorna cosa, ogni quanto".

Dispositivi mobili e lavoro in mobilità

L'edilizia digitale è per definizione fuori dall'ufficio: il rilievo si fa in cantiere col tablet, il SAL si aggiorna sul posto, il BIM coordinator lavora dal cliente, le foto e i modelli viaggiano sul telefono. Questo significa che una grossa fetta dei dati di progetto sta su dispositivi mobili che escono dal perimetro protetto. E i dispositivi mobili si perdono, si rubano, si dimenticano in treno.

I rischi del lavoro in mobilità

• Furto o smarrimento: un tablet con il modello IFC del cantiere e le foto del SAL, lasciato in cabina o in macchina.
• Reti Wi-Fi pubbliche: connettersi al Wi-Fi gratuito del bar o dell'hotel per scaricare un modello dal CDE espone il traffico a chi è sulla stessa rete.
• App e permessi eccessivi: app installate sul telefono di lavoro che chiedono accesso a contatti, posizione, file — e che li mandano al loro cloud.
• Commistione personale/lavoro: lo stesso telefono usato per WhatsApp di famiglia e per i documenti di commessa.

Le misure che riducono il rischio

La buona notizia è che le difese per la mobilità sono ormai standard e gratuite o a basso costo:

• Cifratura del dispositivo: attiva sui telefoni e laptop moderni. Se cifrato, un tablet rubato è un mattoncino inutile: i dati non si leggono senza il codice.
• Blocco schermo robusto + biometria: PIN lungo o impronta/volto, blocco automatico dopo pochi minuti.
• Cancellazione da remoto (remote wipe): con strumenti gratuiti (Trova il mio dispositivo / Trova il mio iPhone) o con una soluzione MDM (Mobile Device Management) per le imprese più strutturate, un dispositivo perso si può localizzare, bloccare o cancellare a distanza.
• VPN sulle reti non fidate: sul Wi-Fi pubblico, sempre VPN (vedi sezione precedente).
• App solo da store ufficiali e revisione dei permessi; per le aziende, separazione tra profilo di lavoro e personale.
• Backup automatico dei dati di campo verso il CDE, così se il dispositivo si perde il dato non si perde.

Supply chain e fornitori

Finora abbiamo difeso ciò che possediamo: i nostri sensori, le nostre reti, i nostri dispositivi. Ma una parte enorme del rischio non è "nostra": arriva dai fornitori e dal software di terze parti di cui ci fidiamo. Questo è il rischio di supply chain (catena di fornitura): non vengo attaccato direttamente, vengo colpito attraverso qualcuno di cui mi fido.

Perché riguarda proprio il BIM

Il lavoro BIM gira su un ecosistema fittissimo di componenti esterni:

• Plugin e add-in dentro Revit, ArchiCAD, Tekla, Allplan: estensioni che computano quantità, esportano abachi, collegano fogli di calcolo. Spesso scaricate "al volo" da un sito, con permessi di leggere e scrivere i tuoi file di progetto.
• Librerie di oggetti (famiglie, family) e contenuti scaricati da portali dei produttori: un file di una porta o di una caldaia può contenere macro o script.
• Servizi cloud del CDE, di rendering, di clash detection, di archiviazione: i tuoi modelli stanno sui loro server.
• Software di gestione commessa, contabilità, rilievo: ognuno è un fornitore che può essere a sua volta violato.

Un plugin BIM malevolo o semplicemente vulnerabile gira dentro il tuo software, con i tuoi permessi: può leggere il modello, modificarlo, mandarlo altrove. Un esempio reale e famoso di attacco supply chain è il caso SolarWinds (2020): gli aggressori inserirono codice malevolo in un aggiornamento legittimo di un software di gestione IT, e migliaia di organizzazioni lo installarono fidandosi della firma del fornitore. La lezione è valida identica per i plugin BIM: l'aggiornamento "ufficiale" non è automaticamente sicuro.

Come si gestisce il rischio fornitori

Non puoi azzerare la dipendenza dai fornitori — senza il CDE e senza Revit non lavori — ma puoi governarla:

• Inventario dei fornitori e dei software: sapere quali servizi cloud e quali plugin sono in uso, e su quali dati. Non puoi proteggere ciò che non sai di avere.
• Fonti ufficiali e firmate: scarica plugin e aggiornamenti solo dai canali del produttore; verifica la firma digitale quando disponibile.
• Principio del privilegio minimo anche ai software: una postazione che testa plugin nuovi non dovrebbe avere accesso a tutte le commesse.
• Valutare il fornitore cloud: dove tiene i dati (UE?), che certificazioni ha (es. ISO 27001), come gestisce backup e incidenti, cosa dice il contratto sul data breach.
• DPA col fornitore (GDPR): se il fornitore tratta dati personali per tuo conto (es. il CDE che ospita anagrafiche e badge), serve un accordo sul trattamento dei dati. Lo riprendiamo nella sezione normativa.

GDPR data breach, cenni NIS2 e ISO 27001

La sicurezza non è solo tecnica: è anche un obbligo di legge. Per un tecnico della Green & Digital Construction non serve diventare un giurista, ma è indispensabile sapere cosa scatta quando le cose vanno male. Riprendiamo il GDPR già visto nella Lezione 4 e lo applichiamo all'incidente.

GDPR e gestione del data breach

Un data breach (violazione dei dati personali) è qualsiasi evento che comporta, accidentalmente o illecitamente, la distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali. Tradotto in casi edili:

• un ransomware che cifra il server con le anagrafiche dei lavoratori e i badge di cantiere;
• il furto del tablet con le foto del SAL in cui si riconoscono le persone;
• una telecamera di cantiere esposta su Internet che riprende lavoratori e passanti;
• l'invio per errore di un file di registro presenze al fornitore sbagliato.

La regola che dovete ricordare a memoria è la notifica entro 72 ore: in caso di violazione che comporti un rischio per i diritti e le libertà delle persone, il titolare del trattamento deve notificare l'accaduto al Garante (in Italia, il Garante per la protezione dei dati personali) entro 72 ore da quando ne è venuto a conoscenza. Se la violazione comporta un rischio elevato, vanno informati anche gli interessati (le persone i cui dati sono stati violati). Le 72 ore valgono anche di venerdì sera e in agosto: per questo serve sapere prima chi fa cosa.

COSA SERVE PER NON FARSI TROVARE IMPREPARATI (cenni, dettaglio in Lez. 12)

1. RILEVARE    -> accorgersi che e' successo qualcosa (log, segnalazioni)
2. VALUTARE    -> sono coinvolti dati personali? c'e' un rischio per le persone?
3. CONTENERE   -> isolare i sistemi colpiti, fermare l'emorragia
4. NOTIFICARE  -> Garante entro 72h se c'e' rischio; interessati se rischio elevato
5. REGISTRARE  -> tenere un REGISTRO delle violazioni (anche di quelle non notificate)
6. RIPRISTINARE-> ripartire dai backup, correggere la causa

Il registro delle violazioni va tenuto anche per gli incidenti che non superano la soglia di notifica: documentare cosa è successo, perché si è deciso di notificare o no, e quali misure si sono prese. È esattamente lo stesso spirito del registro dei rischi che costruiremo nel laboratorio.

Cenni a NIS2

La direttiva NIS2 (recepita in Italia nel 2024) alza il livello di sicurezza richiesto a un'ampia platea di organizzazioni considerate importanti per il funzionamento del Paese, includendo settori come energia, acqua, trasporti, infrastrutture digitali, manifattura e parte della filiera delle costruzioni e dei servizi connessi. Per chi vi rientra, NIS2 chiede:

• misure di gestione del rischio cyber (analisi del rischio, continuità operativa, sicurezza della supply chain — gli stessi temi di questa lezione);
• obblighi di notifica degli incidenti significativi alle autorità competenti, con tempistiche stringenti;
• responsabilizzazione del management: la sicurezza non è "roba dell'informatico", è responsabilità della direzione.

Per il vostro ruolo, il messaggio operativo è: anche se la vostra impresa è piccola, potreste essere fornitori di un soggetto NIS2 (un grande general contractor, un gestore di infrastrutture) e vi verrà chiesto di dimostrare di avere misure di sicurezza adeguate. La sicurezza diventa un requisito per lavorare, non un optional.

Cenni a ISO/IEC 27001

La ISO/IEC 27001 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (ISMS). Non è una legge ma una certificazione volontaria: un'organizzazione la adotta per dimostrare, in modo verificabile da un ente terzo, che gestisce la sicurezza in modo sistematico. Il cuore della 27001 è proprio l'approccio basato sul rischio:

• identificare gli asset informativi (dati, modelli, sistemi);
• analizzare minacce e vulnerabilità e valutare il rischio;
• scegliere e applicare controlli (misure) proporzionati;
• migliorare di continuo (ciclo Plan-Do-Check-Act).

Vi torna familiare? È esattamente quello che farete tra poco in laboratorio: asset → minacce → misure, con una valutazione del rischio. Non costruiremo un ISMS certificato (servono mesi e un'organizzazione intera), ma userete lo stesso ragionamento. E ricordate il legame con la supply chain: un fornitore cloud certificato ISO 27001 offre una garanzia in più rispetto a uno che non lo è.

Laboratorio: analisi del rischio

È il momento di mettere insieme tutto. In questo laboratorio fai l'analisi del rischio di un piccolo studio/impresa edile, seguendo la catena asset → minacce → misure e usando una matrice probabilità × impatto. È lo stesso ragionamento della ISO 27001, in versione tascabile. Il prodotto finale — il registro dei rischi — è un template che porterai a casa e che alimenterà il piano minimo di sicurezza della Lezione 12 e il project work integrato.

Lo scenario

Studio "Costruzioni Verdi srl" — piccola impresa edile/studio tecnico, 8 persone. Dotazione tipica:

• 6 PC d'ufficio + 1 server/NAS con i modelli BIM e i backup;
• un CDE in cloud con i progetti e le anagrafiche dei lavoratori;
• 3 tablet di campo e 8 smartphone usati anche per il SAL;
• su un cantiere: router 4G, Wi-Fi unico, 2 telecamere IP, una centralina di sensori strutturali;
• alcuni plugin BIM scaricati da Internet su due postazioni;
• un fornitore esterno che fa manutenzione da remoto al gestionale.

Passo 1 — Censire gli asset

Un asset è qualcosa di valore da proteggere: dati, dispositivi, servizi, persone. Elenca gli asset dello scenario (modelli BIM, backup, anagrafiche lavoratori, telecamere, rete cantiere, tablet, plugin, accesso del fornitore...). Per ciascuno annota perché conta (riservatezza? integrità? disponibilità?).

Passo 2 — Associare le minacce

Per ogni asset, quali minacce realistiche? Esempi: ransomware sul server, telecamera con password di default, furto del tablet, plugin malevolo, accesso remoto del fornitore non protetto, Wi-Fi di cantiere intercettato, data breach delle anagrafiche.

Passo 3 — Valutare il rischio (matrice probabilità × impatto)

Per ogni coppia asset/minaccia assegna due voti da 1 a 3 e moltiplicali per ottenere il livello di rischio:

Legenda: 1-2 Basso (monitorare), 3-4 Medio (pianificare misure), 6-9 Alto/Critico (agire subito). Concentra l'energia sui rischi alti: non puoi azzerare tutto, devi dare priorità.

Passo 4 — Definire le misure

Per ogni rischio, indica la misura che lo riduce (abbassando probabilità e/o impatto) e chi è responsabile. Esempio di riga compilata:

Asset:     Telecamere IP di cantiere
Minaccia:  Accesso non autorizzato (password di default)
Prob.: 3   Impatto: 2   ->  Rischio = 6 (ALTO)
Misura:    Cambio password, firmware aggiornato,
           VLAN sensori separata, niente esposizione su Internet
Responsab: Responsabile cantiere / IT
Rischio residuo: 2 (BASSO)

Mini-test di autoverifica

Sezione A: domande a risposta multipla

1. Qual è il primo errore da correggere appena un dispositivo IoT entra in rete?
   a) Spegnerlo di notte   b) Cambiare la password di default   c) Collegarlo a Internet   d) Aumentarne la risoluzione
2. Cosa significa "segmentare" una rete di cantiere?
   a) Aumentare la velocità del Wi-Fi   b) Dividerla in zone separate che non si parlano tra loro   c) Usare un solo SSID per tutti   d) Cifrare i singoli file
3. A cosa serve principalmente una VPN nel lavoro a distanza?
   a) A velocizzare il download dei modelli   b) A creare un tunnel cifrato verso la rete dell'ufficio   c) A salvare i backup   d) A installare i plugin
4. Perché un firmware non aggiornato è pericoloso?
   a) Consuma più batteria   b) Rallenta il dispositivo   c) Contiene vulnerabilità note e pubblicate   d) Occupa troppo spazio
5. Se un tablet di cantiere cifrato e con backup nel CDE viene rubato, il rischio principale è...
   a) Molto basso, perché i dati sono cifrati e salvati altrove   b) La perdita definitiva del rilievo   c) L'accesso immediato ai modelli   d) Il blocco del CDE
6. Cos'è un attacco "supply chain" in ambito BIM?
   a) Un ritardo nelle forniture di cantiere   b) Un attacco che arriva attraverso un fornitore o un plugin di cui ci si fida   c) Un guasto della rete elettrica   d) Un errore di computo metrico
7. Entro quanto tempo va notificato al Garante un data breach con rischio per le persone?
   a) 24 ore   b) 72 ore   c) 7 giorni   d) 30 giorni
8. La ISO/IEC 27001 è...
   a) Una legge italiana obbligatoria   b) Una certificazione volontaria per un sistema di gestione della sicurezza basato sul rischio   c) Un formato di file BIM   d) Un tipo di firewall

Sezione B: domande a risposta aperta

9. (2 punti) Spiega con parole tue perché una telecamera IP con password di default, lasciata sulla stessa rete piatta del server dei modelli BIM, è un rischio grave. Cosa cambierebbe segmentando la rete?
10. (2 punti) Compila una riga di registro rischi per la minaccia "ransomware sul server con anagrafiche dei lavoratori": indica probabilità, impatto, rischio (P×I), almeno una misura e collega l'evento all'obbligo GDPR di notifica.

Asset:     Server/NAS con anagrafiche lavoratori + backup BIM
Minaccia:  Ransomware (cifratura e/o esfiltrazione dati)
Prob.: 2   Impatto: 3   ->  Rischio = 6 (ALTO)
Misura:    Backup 3-2-1 offline, antivirus/EDR aggiornato,
           MFA sugli accessi, formazione anti-phishing, segmentazione
GDPR:      Sono coinvolti DATI PERSONALI dei lavoratori -> e' un data
           breach: valutare il rischio e, se presente, NOTIFICARE al
           Garante entro 72h; informare gli interessati se rischio elevato;
           annotare l'evento nel registro delle violazioni.
Rischio residuo: 2 (BASSO)

Riepilogo della lezione

Ottimo lavoro. In questa lezione abbiamo spostato lo sguardo dai dati all'infrastruttura che li produce e trasporta. Ecco cosa porti a casa: