EU Cyber Resilience Act

Questa pagina raccoglie le informazioni e le istruzioni richieste dall'Allegato II ("Informazioni e istruzioni per l'utente") del Regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA), per i prodotti con elementi digitali coperti da questa documentazione: il gateway AL300 (AssetLinker300) e la piattaforma cloud Optimo IoT.

1. Identificazione del fabbricante

Ragione sociale: Optimo IoT s.r.l.
Sede legale: Via Francesco Restelli, 3 – 20124 Milano (MI) — P.IVA 03834900130
Sede operativa: Via Sant'Anna, 16 – 23875 Osnago (LC)
Email: info@optimoiot.it
Telefono: +39 039 596 9780
Sito web: optimoiot.it

2. Segnalazione di una vulnerabilità di sicurezza

Le vulnerabilità di cybersicurezza che riguardano il gateway AL300 o la piattaforma cloud Optimo IoT possono essere segnalate al punto di contatto dedicato del fabbricante:

Email: security@optimoiot.it

Per le informazioni da includere in una segnalazione, i tempi di risposta previsti e le tempistiche di divulgazione, vedi la Politica di Coordinated Vulnerability Disclosure.

3. Identificazione del prodotto

Gateway: AL300 (AssetLinker300). Modello, revisione hardware e numero di serie sono riportati sull'etichetta applicata sul contenitore del dispositivo e sull'etichetta inclusa nella confezione del prodotto.
Versione firmware: visibile nel menu utente dell'interfaccia web locale/cloud, in fondo al pannello descritto in Autenticazione → Informazioni utente e versione.
Piattaforma cloud: Optimo IoT Cloud, raggiungibile su cloud.optimoiot.it; trattandosi di un servizio SaaS aggiornato continuamente, non ha un numero di versione fisso, ma la versione corrente è visibile nel menu utente dell'interfaccia web, in fondo al pannello descritto in Autenticazione → Informazioni utente e versione.

4. Finalità d'uso e proprietà di sicurezza

Il gateway AL300 è un dispositivo IoT industriale destinato all'installazione all'interno di quadri elettrici o altri ambienti operativi chiusi (vedi Istruzioni di sicurezza). Acquisisce dati dai dispositivi di campo tramite protocolli industriali (Modbus RTU/TCP, Siemens S7, LoRaWAN, OPC-UA, ecc.) e li inoltra alla piattaforma cloud Optimo IoT, oppure li espone localmente, per finalità di monitoraggio, allarmistica e analisi.

Le funzionalità rilevanti ai fini della sicurezza offerte dalla piattaforma includono:

credenziali univoche per dispositivo per l'interfaccia web locale, generate in fase di produzione e riportate sulle etichette del dispositivo/confezione (vedi Guida rapida), con la raccomandazione di modificarle al primo accesso
controllo degli accessi basato su ruoli e asset, in modo che ogni utente veda solo gli asset e le variabili a cui è associato (vedi Risorse → Utenti)
autenticazione a più fattori (MFA) opzionale per gli account cloud (vedi Autenticazione → Autenticazione multifattore)
connettività verso la piattaforma cloud solo in uscita: il gateway non deve essere raggiungibile da internet (vedi Firewall)
una VPN opzionale e cifrata per l'accesso remoto ai dispositivi di campo, in alternativa alla loro esposizione diretta in rete (vedi VPN di accesso remoto)
pacchetti di aggiornamento firmware firmati, installabili via OTA o localmente (vedi Aggiornamento firmware e Aggiornamento OTA)

5. Circostanze note o prevedibili che comportano rischi di cybersicurezza

Le seguenti circostanze, se presenti durante l'uso del gateway AL300 o della piattaforma cloud, sono note per aumentare il rischio di cybersicurezza:

mantenere le credenziali dell'interfaccia web locale ai valori assegnati in fabbrica invece di modificarle al primo accesso
installare il gateway al di fuori di un quadro elettrico chiuso, o comunque consentire l'accesso fisico a personale non autorizzato (vedi Istruzioni di sicurezza)
esporre l'interfaccia web locale del gateway o i dispositivi di campo collegati direttamente su internet (ad es. tramite port forwarding) invece di utilizzare la VPN di accesso remoto
aprire porte del firewall oltre a quelle documentate in Firewall
utilizzare versioni firmware per le quali non sono più forniti aggiornamenti di sicurezza (vedi §8)
disabilitare l'autenticazione a più fattori sugli account con privilegi di amministrazione

6. Distinta base del software (SBOM)

Optimo IoT mantiene internamente una distinta base del software che copre i componenti e le dipendenze di primo livello del firmware dell'AL300 e della piattaforma cloud Optimo IoT, come richiesto dall'articolo 13(24) del Cyber Resilience Act.

La SBOM non è pubblicata pubblicamente. Viene resa disponibile alle autorità di vigilanza del mercato su richiesta motivata.

7. Dichiarazione di Conformità UE

La Dichiarazione di Conformità UE per l'AL300 è disponibile qui.

8. Periodo di supporto per gli aggiornamenti di sicurezza

Optimo IoT fornisce gli aggiornamenti di sicurezza per il gateway AL300 gratuitamente a tutti i clienti per 5 anni dalla data di acquisto presso Optimo IoT.

Gli aggiornamenti funzionali (nuove funzionalità, miglioramenti non legati alla sicurezza) sono forniti ai clienti con un abbonamento attivo a Optimo IoT Cloud.

Gli aggiornamenti firmware, compresi quelli di sicurezza, possono essere installati con uno qualsiasi dei metodi descritti in Aggiornamento firmware: via OTA dalla piattaforma cloud, tramite l'interfaccia web locale, oppure tramite chiavetta USB.

9. Istruzioni per un uso sicuro

Messa in servizio sicura

Installare il gateway come descritto in Installazione, rispettando le istruzioni di sicurezza.
Accedere all'interfaccia web locale utilizzando le credenziali univoche riportate sulle etichette del dispositivo/confezione, come descritto in Guida rapida.
Modificare le credenziali dell'interfaccia web locale al primo accesso.
Abilitare l'autenticazione multifattore sugli account con privilegi di amministrazione.
Preferire la VPN di accesso remoto all'esposizione diretta dei dispositivi di campo o dell'interfaccia web locale su una rete instradabile.
Rivedere e limitare le regole del firewall alle sole porte necessarie per l'installazione.

Installazione degli aggiornamenti di sicurezza

Applicare gli aggiornamenti firmware come descritto in Aggiornamento firmware e Aggiornamento OTA. Gli aggiornamenti OTA tramite la piattaforma cloud sono il metodo raccomandato, poiché non richiedono l'accesso fisico al gateway.

Implicazioni sulla sicurezza dei dati delle modifiche di configurazione

Le modifiche alle impostazioni di rete, alla configurazione delle sorgenti dati o ai permessi utente possono influire su quali dati vengono raccolti, dove vengono inviati e chi può accedervi. La configurazione è sincronizzata tra il gateway e la piattaforma cloud (vedi Risorse → Configurazione gateway AL300); verificare le modifiche apportate da ogni collaboratore con accesso alla configurazione, e limitare tale accesso utilizzando il modello di ruoli/asset descritto al §4.

Dismissione sicura

Prima di rimuovere dal servizio il gateway, smaltirlo o trasferirlo a terzi:

Eseguire un ripristino alle condizioni di fabbrica per cancellare in modo irreversibile tutta la configurazione, le credenziali e i dati acquisiti memorizzati localmente sul dispositivo.
Rimuovere eventuali schede SIM inserite.
Smaltire il dispositivo seguendo le istruzioni di Dismissione e smaltimento, incluso il conferimento tramite raccolta differenziata secondo la normativa RAEE.