Come progettare l’infrastruttura di rete di un GRMS moderno: segregazione VLAN, superfici di attacco fisiche in camera e protocolli cifrati per sostituire gli standard industriali storici privi di sicurezza nativa.

Quando la camera d’albergo diventa un punto di accesso alla rete

L’evoluzione dei sistemi GRMS verso infrastrutture basate su protocollo IP introduce indiscutibili vantaggi in termini di larghezza di banda e integrazione, ma espone la struttura ricettiva a minacce d’infrastruttura un tempo estranee ai bus di campo isolati delle vecchie installazioni seriali. Nei moderni impianti alberghieri, un punto di connessione fisicamente accessibile all’ospite, come una presa di rete inutilizzata o la porta di comunicazione sul retro di un termostato a parete, rappresenta un potenziale vettore di attacco verso l’infrastruttura informatica dell’intero edificio. Chiunque disponga di qualche minuto di accesso indisturbato alla camera può, in teoria, collegare un dispositivo non autorizzato e provare a raggiungere segmenti di rete ben più sensibili di quello dell’automazione della singola stanza.

VLAN dedicate: separare GRMS, Guest Wi-Fi e rete gestionale

Per neutralizzare queste vulnerabilità, l’architettura di rete deve prevedere una rigida segregazione logica mediante VLAN dedicate. La rete destinata all’automazione e al controllo delle camere deve rimanere ermeticamente isolata sia dalla rete di navigazione riservata agli ospiti (Guest Wi-Fi) sia dalla rete gestionale e amministrativa dell’hotel, incluse le postazioni della reception collegate al PMS. L’assenza di questa separazione permette a soggetti malintenzionati di condurre attacchi di tipo Man-in-the-Middle, intercettando i flussi di dati o inviando comandi arbitrari agli attuatori di piano. Le linee guida statunitensi sulla sicurezza dei sistemi di automazione degli edifici raccomandano proprio questo tipo di isolamento tra reti operative e reti aziendali, spesso realizzato attraverso una zona demilitarizzata intermedia che filtra il traffico consentito nelle due direzioni.

Il limite dei protocolli industriali incapsulati su IP

Parallelamente, l’adozione di protocolli industriali storici semplicemente incapsulati su IP, come Modbus TCP o BACnet/IP nella sua forma tradizionale, privi di cifratura e autenticazione nativa, costituisce un rischio rilevante. Questi protocolli sono stati progettati decenni fa per reti seriali chiuse e fisicamente protette, un contesto molto diverso da quello di una rete IP condivisa all’interno di un edificio aperto al pubblico: qualunque dispositivo che riesca a inserirsi sulla stessa sottorete può leggere e, in molti casi, modificare i comandi senza che venga richiesta alcuna verifica di identità. La guida statunitense sulla sicurezza delle tecnologie operative classifica proprio questo tipo di eredità tecnologica tra le vulnerabilità più diffuse negli impianti di automazione, non perché i protocolli siano difettosi in sé, ma perché il loro modello di fiducia implicita presuppone un perimetro fisico che nelle strutture ricettive moderne non esiste più.

MQTT, CoAP e TLS: la cifratura come requisito di base

Le architetture di nuova generazione devono impiegare protocolli IoT leggeri come MQTT o CoAP, protetti da cifratura TLS (Transport Layer Security) e autenticazione mutuale tramite certificati digitali su ciascun nodo di campo. Lo standard MQTT versione 5.0, pubblicato da OASIS, supporta nativamente sia l’autenticazione tramite credenziali sia l’autenticazione reciproca a certificati tra client e broker, rendendo molto più difficile l’impersonificazione di un dispositivo legittimo. Anche il mondo BACnet si è mosso in questa direzione: l’estensione BACnet/SC, integrata nello standard ASHRAE 135 a partire dall’edizione 2020, sostituisce il tradizionale traffico UDP non protetto con connessioni WebSocket cifrate in TLS e autenticate tramite certificati X.509, offrendo così una via di aggiornamento senza dover sostituire l’intera base installata.

Governare la sicurezza logica come processo, non come progetto

La sicurezza logica di un GRMS non si esaurisce con la scelta dei protocolli: richiede un processo continuo di verifica, aggiornamento dei certificati e controllo degli accessi fisici ai punti di rete. La guida statunitense sulla sicurezza delle tecnologie operative sottolinea che la segmentazione di rete va accompagnata da un inventario costante dei dispositivi connessi e da una revisione periodica delle regole di accesso, perché un’architettura corretta il giorno dell’installazione può degradarsi rapidamente se nessuno la rivede negli anni successivi. Integrare queste pratiche nella manutenzione ordinaria dell’impianto, anziché trattarle come un progetto una tantum, è ciò che distingue un GRMS realmente sicuro da uno soltanto conforme sulla carta.