La sicurezza di una rete aziendale non dipende solo da firewall, autenticazioni e segmentazioni logiche. In moltissimi edifici, soprattutto dove convivono più reparti, più fornitori o più tenant, il punto debole reale è la rete fisica: canaline accessibili, controsoffitti ispezionabili in aree pubbliche, armadi in corridoio, patch panel non protetti, botole e cavedi senza controllo, locali tecnici con accessi non tracciati. In questi scenari è possibile causare disservizi selettivi, manomettere connessioni, introdurre modifiche non autorizzate o alterare il cablaggio senza che l’IT se ne accorga subito.
ISO IEC 24383 nasce per colmare proprio questo vuoto: mettere ordine e metodo nella protezione della rete fisica del cablaggio strutturato, definendo requisiti e raccomandazioni per ridurre accessi non autorizzati, manomissioni e modifiche non consentite all’infrastruttura ICT di edificio.
Che cos’è ISO IEC 24383 e cosa copre
La norma specifica requisiti e raccomandazioni per fornire sicurezza alla rete fisica composta da customer premises cabling conforme alla serie ISO IEC 11801 aggiornata, alle infrastrutture associate e agli spazi che ospitano apparati IT. Il perimetro riguarda cavi ICT, vie cavo, spazi e altri componenti dell’infrastruttura fisica, con l’obiettivo di proteggerli da accessi non autorizzati, manomissioni o modifiche.
La norma affronta quattro aree operative che, nella pratica, coincidono con l’intero ciclo di vita dell’impianto:
Linee guida per la valutazione del rischio.
Progettazione, pianificazione, selezione dei prodotti e pratiche di installazione basate su un livello richiesto di sensibilità delle informazioni.
Intrusion detection, intesa come trattamenti e controlli per rilevare o scoraggiare intrusioni e manomissioni sulla rete fisica.
Amministrazione e gestione dell’infrastruttura, includendo l’Automated Infrastructure Management, AIM.
È dichiarata applicabile sia a edifici e strutture esistenti sia a quelli in fase di progettazione o costruzione.
Cosa è fuori ambito, per evitare equivoci in progetto
ISO IEC 24383 non sostituisce gli standard di cybersecurity o di continuità operativa. La pagina di progetto BSI dichiara come fuori scope:
Metodi di protezione dei dati come la crittografia.
Pratiche di protezione da intercettazioni non a contatto, snooping audio, visivo o radio e forme simili di monitoraggio non autorizzato.
Eventi ambientali interni come surriscaldamento, incendio, scariche elettrostatiche, acqua.
Eventi ambientali esterni come incendi, alluvioni, terremoti, esplosioni, disastri naturali e impatti elettromagnetici legati ai fulmini.
Questa delimitazione è utile in capitolato: evita che la norma venga invocata per richieste che richiedono invece standard o discipline differenti.
Stato del progetto e riferimenti ufficiali disponibili
Nel portale ISO, il riferimento è indicato come ISO/IEC AWI 24383, edizione 1, con stato Under development. Il record ISO riporta lo stage New project approved 10.99, con data 23 maggio 2019. Nel medesimo record ISO è indicato che la stesura è iniziata.
Per interpretare correttamente questo dato, i codici di stadio ISO specificano che 10.99 corrisponde a New project approved, cioè approvazione formale del progetto che abilita il lavoro di sviluppo.
Sono inoltre presenti consultazioni nazionali su draft collegati a ISO/IEC 24383 ED1. Un esempio pubblico è la consultazione NSAI con finestra di review dal 27 dicembre 2025 al 20 febbraio 2026.
Operativamente, per progettisti e installatori, lo scenario è già chiaro: lo scope è definito e le aree operative coperte sono quelle che, in un impianto reale, determinano sicurezza e governabilità nel tempo.
https://www.iso.org/standard/78546.html
Sul portale BSI Standards Development è presente il progetto 2019 03351 associato a BS ISO IEC 24383, con descrizione dello scope e una timeline di sviluppo che include una data di publication start al 15 dicembre 2025.
Sono inoltre presenti consultazioni nazionali su draft collegati a ISO IEC 24383 ED1, come la pubblicazione di review in Irlanda con finestra 27 dicembre 2025 – 20 febbraio 2026.
https://standardsdevelopment.bsigroup.com/projects/2019-03351
Operativamente, per un progettista o installatore, il valore è già concreto: lo scope è definito in modo chiaro e le aree operative sono quelle che in un impianto reale determinano sicurezza e governabilità.
Perché serve una norma sulla sicurezza fisica del cablaggio
Il cablaggio strutturato è spesso trattato come impianto passivo, quindi percepito come neutro. In realtà è un vettore di rischio perché:
È diffuso e accessibile: attraversa corridoi, controsoffitti, cavedi, canaline, aree comuni.
Ha molti punti di giunzione e terminazione: rack, patch panel, prese, zone box, consolidamenti.
È soggetto a interventi frequenti: nuove utenze, permute, ampliamenti, manutenzioni, lavori edilizi.
Coinvolge più figure: IT, facility, manutentori, appaltatori, fornitori di sicurezza e impiantisti.
Se non esiste un modello di controllo, l’infrastruttura può essere alterata senza autorizzazione, con impatti che vanno dal semplice disservizio fino alla compromissione di servizi critici come videosorveglianza, controllo accessi, reti di produzione e sistemi safety.
Concetti chiave: rete fisica, vie cavo e spazi
Per applicare correttamente ISO IEC 24383 occorre ragionare su tre oggetti che spesso nei progetti vengono gestiti separatamente:
Cavi ICT: rame, fibra, patch e backbone, inclusi i punti di terminazione e permutazione.
Vie cavo: canaline, passerelle, tubazioni, cavedi, pozzetti, attraversamenti e qualunque percorso fisico che ospita il cablaggio.
Spazi: locali tecnici, armadi, zone enclosure, cavedi tecnici, rack room, telecom room e aree in cui il cablaggio viene concentrato o reso accessibile.
La norma non chiede di blindare tutto allo stesso modo. Chiede di collegare rischi, sensibilità e controlli.
Metodo di applicazione coerente con ISO IEC 24383
1. Valutazione del rischio orientata all’infrastruttura fisica
La valutazione del rischio deve essere specifica per la rete fisica, non una copia della risk analysis IT generica. Deve rispondere a domande operative:
Quali servizi dipendono da quel tratto di cablaggio o da quello spazio tecnico
Qual è l’impatto di una modifica non autorizzata o di un disservizio intenzionale
Chi può accedere fisicamente a vie cavo e spazi, con quali modalità e in quali orari
Quali punti sono facilmente ispezionabili o manomissibili senza essere notati
Quali attività ordinarie generano rischio, come manutenzioni o lavori edili
La norma collega esplicitamente il design e le pratiche installative a un livello richiesto di sensibilità delle informazioni, quindi la valutazione deve produrre una classificazione utile e applicabile nel progetto.
2. Definizione di livelli di sensibilità e traduzione in requisiti
Il passaggio decisivo è tradurre la sensibilità in requisiti progettuali. In pratica, una stessa azienda può avere zone a differente criticità:
Aree pubbliche e comuni: rischio alto di accesso fisico non controllato.
Aree operative non presidiate: magazzini, corridoi, parcheggi, locali secondari.
Aree riservate: sale server, centrali di sicurezza, uffici direzionali, laboratori.
Aree con impianti critici: controllo accessi, safety, produzione, videosorveglianza.
Il progetto deve stabilire quali tratte e quali spazi devono essere protetti con quali controlli, in modo tracciabile.
3. Progettazione e pianificazione basate su requisiti di sicurezza
Qui entra la parte più pratica: la sicurezza fisica deve condizionare scelte che tradizionalmente vengono fatte solo per comodità o costo.
Scelta dei percorsi: preferire vie cavo meno esposte e più controllabili per dorsali e tratte critiche.
Riduzione dei punti accessibili: limitare botole e ispezioni in aree pubbliche per tratte sensibili.
Segregazione: separare fisicamente reti a differente sensibilità dove ha senso, evitando promiscuità che favoriscono manomissioni.
Scelta degli spazi: posizionare armadi e punti di permuta in aree presidiate o controllate.
Protezione degli enclosure: criteri per serrature, controllo accessi, registrazione accessi e gestione delle chiavi.
Questa parte è esplicitamente prevista da ISO IEC 24383 come design, planning, product selection e installation practices legate al livello di sensibilità.
4. Selezione prodotti e componenti con logica anti manomissione
La norma consente di giustificare una selezione che non guarda solo a prestazione e conformità elettrica, ma anche a:
Robustezza e protezione di armadi e box.
Sistemi di chiusura e possibilità di evidenza manomissione.
Soluzioni di pathway più chiuse e difficili da aprire senza lasciare segni.
Riduzione di connessioni intermedie non necessarie nelle tratte critiche.
Obiettivo: non rendere impossibile ogni azione, ma alzare la soglia di difficoltà e ridurre le opportunità.
Intrusion detection: rilevare, non solo proteggere
ISO IEC 24383 include intrusion detection come area coperta, definita come trattamenti e controlli.
Nella realtà, questo significa che per alcune aree e tratte ha senso prevedere misure che rendano rilevabile un accesso o una manomissione, come:
Contatti porta su rack e armadi, con log e allarmi.
Monitoraggio accessi ai locali tecnici tramite badge e registrazione eventi.
CCTV mirata su punti di permuta critici e accessi a cavedi.
Sigilli e marcature che rendono evidenti aperture non autorizzate durante audit periodici.
Procedure di ispezione programmata delle vie cavo nelle zone a rischio.
La scelta dei controlli deve discendere dal rischio, non dalla moda. In un progetto serio, intrusion detection viene applicata dove l’impatto di una manomissione è reale e misurabile.
Administration e AIM: la sicurezza fisica senza gestione è solo un’illusione
La norma include l’amministrazione dell’infrastruttura e cita l’Automated Infrastructure Management, AIM.
Questo è il punto che differenzia un impianto ordinato da un impianto governato.
Senza una disciplina amministrativa, una rete fisica può essere modificata in modo non autorizzato e nessuno riesce a ricostruire cosa è cambiato. AIM e, più in generale, una gestione rigorosa devono garantire:
Inventario asset e mappatura porte e collegamenti sempre aggiornata.
Tracciamento delle permute e delle variazioni tramite workflow autorizzativo.
Audit periodici con riconciliazione tra stato reale e documentazione.
Regole di etichettatura coerenti, utili a manutenzione e audit, senza esporre informazioni sensibili in aree accessibili.
Handover completo tra installatore e gestione, con as built verificabile.
AIM non è obbligatorio in ogni contesto, ma la norma lo include perché, dove la sensibilità è alta, la tracciabilità automatizzata riduce drasticamente errori umani e modifiche non autorizzate.
Applicazione su edifici esistenti: approccio per fasi
La norma si applica anche a edifici esistenti.
In un retrofit reale conviene lavorare per fasi, partendo da ciò che riduce subito l’esposizione senza demolizioni:
Fase 1: mappatura e classificazione
Censire spazi e vie cavo, identificare punti di permuta, tratte critiche e aree accessibili al pubblico.
Classificare per sensibilità e impatto.
Fase 2: controlli rapidi ad alto rendimento
Spostare permute critiche in armadi controllati.
Applicare controllo accessi ai locali tecnici e log eventi.
Ridurre accessi liberi a rack e box in corridoio.
Introdurre disciplina di change management.
Fase 3: interventi strutturali mirati
Riprogettare percorsi di dorsali in aree più protette.
Segregare tratte dove la promiscuità genera rischio.
Integrare intrusion detection e AIM dove il rischio lo giustifica.
Applicazione su nuove costruzioni: requisiti da inserire a progetto
In nuove costruzioni l’errore più comune è progettare prima percorsi e spazi per comodità architettonica e poi tentare di aggiungere sicurezza. L’impostazione corretta è opposta:
Definire i livelli di sensibilità per aree e servizi.
Progettare spazi tecnici e vie cavo coerenti con i livelli definiti.
Stabilire sin da capitolato chi può accedere e come viene tracciato l’accesso.
Definire regole di posa, terminazione, etichettatura e documentazione.
Prevedere già in gara eventuali requisiti AIM e integrazione con processi di gestione.
Questo rende l’impianto governabile per anni e riduce la deriva tipica del post consegna.
Output e documenti di progetto utili in gara e in capitolato
Per rendere ISO IEC 24383 applicabile e verificabile, un progetto dovrebbe produrre deliverable chiari. In ambito NetCabling, quelli più difendibili in audit e in contenzioso sono:
Mappa dei livelli di sensibilità per aree, servizi e tratte.
Risk assessment della rete fisica con elenco minacce e mitigazioni.
Elenco spazi tecnici con requisiti di accesso, controllo e tracciamento.
Schema vie cavo con classificazione per criticità e requisiti di protezione.
Regole di installazione e handover, includendo as built e procedure di change control.
Piano intrusion detection per aree e punti critici, con criteri di allarme e audit.
Specifiche di administration e, dove richiesto, requisiti AIM e integrazione con ticketing.
Questi elementi trasformano la sicurezza fisica da concetto generico a requisito contrattuale misurabile.
Conclusione
ISO IEC 24383 porta un messaggio semplice e spesso ignorato: la rete fisica del cablaggio strutturato è un asset da proteggere, al pari degli apparati attivi, perché può essere oggetto di accessi non autorizzati, manomissioni e modifiche non consentite. La norma struttura il tema con un metodo completo: valutazione del rischio, progettazione e installazione basate sulla sensibilità delle informazioni, intrusion detection e gestione amministrativa includendo AIM.
Per aziende, enti e facility, adottare questa logica significa ridurre i disservizi inspiegabili, rendere tracciabili le modifiche, proteggere i servizi critici e soprattutto evitare che la sicurezza della rete venga affidata al caso o alla sola buona volontà di chi interviene sul campo.
Essendo un progetto in sviluppo, perimetro e requisiti potranno evolvere fino alla pubblicazione.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Fonti ufficiali consultate:
ISO, scheda progetto ISO/IEC AWI 24383.
ISO, codici di stadio ISO e significato di 10.99.
NSAI, consultazione pubblica su ISO/IEC 24383 ED1.
https://www.iso.org/standard/78546.html
https://www.iso.org/stage-codes.html
https://www.nsainep.ie/Home/Details/35919
https://standardsdevelopment.bsigroup.com/projects/2019-03351
