Introduzione alla sicurezza dei sistemi di tecnologia operativa

La serie IEC 62443 è un insieme di standard riconosciuti a livello internazionale, sviluppati per affrontare la sicurezza informatica dei sistemi di automazione e controllo industriale (IACS).

Fornisce un quadro completo, basato sul rischio, per proteggere gli ambienti industriali durante l’intero ciclo di vita, dalla progettazione e implementazione fino al funzionamento e alla manutenzione.

A differenza dei tradizionali standard di sicurezza informatica, la norma IEC 62443 è specificamente pensata per le esigenze e i vincoli dei sistemi industriali, dove disponibilità, sicurezza e affidabilità sono fondamentali. Lo standard adotta un approccio di difesa multilivello e definisce le responsabilità di molteplici soggetti interessati, tra cui i proprietari degli asset, gli integratori di sistemi e i fornitori di prodotti.

Il tema della sicurezza OT (Operational Technology) è sempre più dibattuto tra i professionisti che si occupano di sicurezza di macchinari e processi. Di seguito, alcuni esempi recenti di attacchi informatici alle reti OT.

Il 1 ^° settembre 2025 , la casa automobilistica britannica Jaguar Land Rover (JLR) è stata colpita da un grave attacco informatico che ha provocato un blocco quasi totale delle sue attività produttive a livello globale. L’incidente ha interessato sia i sistemi informatici che i sistemi automatizzati di produzione e operativi (OT) ed è stato ampiamente descritto come uno degli attacchi informatici più dirompenti nel settore manifatturiero del Regno Unito.

Il 7 maggio 2021, la società statunitense Colonial Pipeline, operante nel settore degli oleodotti, ha rilevato un’intrusione informatica che l’ha costretta a interrompere i propri sistemi operativi, causando una diffusa carenza di carburante lungo la costa orientale degli Stati Uniti. L’attacco ha colpito direttamente le infrastrutture critiche (distribuzione di energia), costringendo a un’interruzione completa delle operazioni – un evento raro per un attacco ransomware – e ha messo in luce gravi lacune nella sicurezza informatica degli ambienti OT/ICS connessi alle reti IT. Gli aggressori sono riusciti ad accedere al sistema attraverso un account VPN compromesso e privo di autenticazione a più fattori (MFA). L’interruzione delle operazioni è iniziata il 7 maggio 2021 ed è proseguita per diversi giorni. Poco dopo l’incidente, Colonial Pipeline ha pagato agli aggressori circa 4,4 milioni di dollari in Bitcoin. Successivamente, le forze dell’ordine statunitensi hanno recuperato circa 2,3 milioni di dollari del riscatto.

Perché è stata sviluppata la norma IEC 62443

Con l’accelerazione della trasformazione digitale nei settori industriali, la distinzione tra sicurezza informatica (IT) e sicurezza operativa (OT) è diventata sempre più importante. Sebbene entrambi gli ambiti mirino a proteggere i sistemi dalle minacce informatiche , differiscono fondamentalmente per scopo, tolleranza al rischio e priorità operative. Comprendere queste differenze è essenziale per progettare strategie di cybersecurity efficaci nei moderni ambienti industriali.

In sostanza, la sicurezza informatica si concentra sulla protezione delle informazioni. Il suo obiettivo primario è garantire la riservatezza, l’integrità e la disponibilità dei dati, un concetto spesso riassunto nella triade CIA . I sistemi IT gestiscono dati aziendali come e-mail, registri finanziari, informazioni sui clienti e applicazioni aziendali. Una violazione della sicurezza informatica in genere comporta la perdita di dati, danni alla reputazione o sanzioni normative.

Al contrario, la sicurezza OT si concentra sulla protezione dei processi fisici . I sistemi OT controllano e monitorano le operazioni industriali come linee di produzione, generazione di energia, trattamento delle acque e sistemi di trasporto. In questi ambienti, la disponibilità e la sicurezza sono di primaria importanza. Un incidente di sicurezza informatica in un sistema OT può causare danni fisici, danni ambientali o persino la perdita di vite umane, rendendo le conseguenze potenzialmente molto più gravi rispetto ai sistemi IT tradizionali.

IT e OT differiscono notevolmente in termini di priorità dei 3 aspetti chiave dei sistemi elettronici:

• Disponibilità
• Riservatezza
• Integrità

Una delle differenze fondamentali tra la sicurezza IT e quella OT risiede nel modo in cui viene gestita la disponibilità dei sistemi. Negli ambienti IT, i tempi di inattività, pur essendo indesiderabili, sono spesso accettabili se consentono di correggere le vulnerabilità o di ripristinare i sistemi in sicurezza. Negli ambienti OT, invece, i tempi di inattività possono bloccare la produzione , danneggiare le apparecchiature o mettere a rischio il personale .

Di conseguenza, la sicurezza OT privilegia il funzionamento continuo e la stabilità del sistema, talvolta anche a scapito dell’applicazione immediata delle patch di sicurezza. Ciò contrasta con gli ambienti IT, dove aggiornamenti frequenti e rapidi cambiamenti sono la norma.

L’obiettivo principale della serie IEC 62443 è fornire un framework flessibile che faciliti l’individuazione e la gestione delle vulnerabilità attuali e future nei sistemi di controllo e automazione industriale (IACS) e l’applicazione delle necessarie misure di mitigazione in modo sistematico e difendibile. È importante comprendere che l’intento della serie IEC 62443 è quello di estendere la sicurezza aziendale, adattando i requisiti dei sistemi IT aziendali e combinandoli con i requisiti specifici di elevata disponibilità richiesti dagli IACS.

Che cos’è un IACS?

Il termine “Sistemi di Automazione e Controllo Industriale” (IACS) comprende i sistemi di controllo utilizzati negli impianti e nelle strutture di produzione e trasformazione, nei sistemi di controllo ambientale degli edifici, nelle operazioni geograficamente distribuite come le utenze (ad esempio, elettricità, gas e acqua), gli oleodotti e gli impianti di produzione e distribuzione del petrolio, nonché in altri settori e applicazioni come le reti di trasporto, che utilizzano risorse automatizzate o controllate o monitorate a distanza.

[IEC 62443-1-1: 2009] 3 Termini, definizioni e abbreviazioni

3.2.57 Sistemi di automazione e controllo industriale – IACS

Insieme di personale, hardware e software che possono influenzare il funzionamento sicuro, protetto e affidabile di un processo industriale.

NOTA Questi sistemi includono, a titolo esemplificativo ma non esaustivo:

Sistemi di controllo industriale, inclusi sistemi di controllo distribuito (DCS), controllori logici programmabili (PLC), unità terminali remote (RTU), dispositivi elettronici intelligenti, sistemi di supervisione e acquisizione dati (SCADA), sistemi di rilevamento e controllo elettronici in rete e sistemi di monitoraggio e diagnostica. (In questo contesto, i sistemi di controllo di processo includono le funzioni di base del sistema di controllo di processo e del sistema strumentato di sicurezza (SIS), siano essi fisicamente separati o integrati.)

sistemi informativi associati come controllo avanzato o multivariabile, ottimizzatori online, monitor dedicati delle apparecchiature, interfacce grafiche, sistemi di archiviazione dati di processo, sistemi di gestione della produzione e sistemi informativi di gestione degli impianti.

Interfacce interne, umane, di rete o meccaniche associate, utilizzate per fornire funzionalità di controllo, sicurezza e gestione della produzione a processi continui, a lotti, discreti e di altro tipo.

Il termine “sicurezza” è qui inteso come la prevenzione di intrusioni illegali o indesiderate, interferenze intenzionali o non intenzionali con il corretto e previsto funzionamento, o accessi impropri a informazioni riservate nei sistemi IACS. La sicurezza informatica, che è l’oggetto specifico di questa specifica tecnica, comprende computer, reti, sistemi operativi, applicazioni e altri componenti programmabili e configurabili del sistema.

Il pubblico di riferimento per la serie IEC 62443 comprende tutti gli utenti di IACS (inclusi i reparti operativi, di manutenzione, di ingegneria e le componenti aziendali delle organizzazioni utenti), i produttori, i fornitori, gli enti governativi coinvolti o interessati dalla sicurezza informatica dei sistemi di controllo, i professionisti dei sistemi di controllo e gli esperti di sicurezza. Poiché la comprensione reciproca e la cooperazione tra le tecnologie informatiche (IT) e le organizzazioni operative, ingegneristiche e produttive sono fondamentali per il successo complessivo di qualsiasi iniziativa di sicurezza, questa specifica tecnica rappresenta anche un riferimento per coloro che sono responsabili dell’integrazione di IACS e reti aziendali.

IEC 62443-3-2

 La norma IEC 62443-3-2 definisce le modalità di esecuzione della valutazione del rischio di un sistema integrato di controllo dell’inquinamento atmosferico (IACS).

Lo standard è sviluppato dallo stesso Comitato Tecnico IEC che elabora le norme di sicurezza funzionale IEC 61508 e IEC 61511 (IEC TC 65). Ciò significa che è più orientato ai rischi dei grandi impianti chimici che ai rischi di macchinari come una macchina di trasferimento o un laminatoio.

In ogni caso, non esiste una ricetta semplice per proteggere un sistema di automazione e controllo industriale (IACS), e c’è un buon motivo. La sicurezza, infatti, è una questione di gestione del rischio. Ogni IACS presenta un rischio diverso per l’organizzazione, a seconda delle minacce a cui è esposto, della probabilità che tali minacce si verifichino, delle vulnerabilità intrinseche del sistema e delle conseguenze in caso di compromissione. Inoltre, ogni organizzazione che possiede e gestisce un IACS ha una diversa tolleranza al rischio.

Lo standard definisce una serie di misure ingegneristiche che guideranno un’organizzazione attraverso il processo di valutazione del rischio di uno specifico sistema di controllo integrato (IACS) e di identificazione e applicazione di contromisure di sicurezza per ridurre tale rischio a livelli tollerabili.

[IEC 62443-3-3: 2009] 3 Termini, definizioni, termini abbreviati, acronimi e convenzioni

3.1.6 contromisura. Azione, dispositivo, procedura o tecnica che riduce una minaccia, una vulnerabilità o le conseguenze di un attacco eliminandolo o prevenendolo, minimizzando il danno che può causare o scoprendolo e segnalandolo in modo che si possano intraprendere azioni correttive.

Ambito di applicazione della norma

Questa parte della norma IEC 62443 stabilisce i requisiti per:

• definizione di un sistema in esame (SUC) per un sistema di automazione e controllo industriale (IACS);
• suddivisione del SUC in zone e condotti;
• valutazione del rischio per ciascuna zona e condotto;
• stabilire il livello di sicurezza obiettivo (SL-T) per ciascuna zona e condotto; e
• documentare i requisiti di sicurezza.

[IEC 62443-3-3: 2009] 3 Termini, definizioni, termini abbreviati, acronimi e convenzioni

3.1.1 Canale. Collegamento di comunicazione logico o fisico specifico tra risorse

3.1.3 Condotto. Raggruppamento logico di canali di comunicazione che condividono requisiti di sicurezza comuni e che collegano due o più zone.

3.1.25 Zona. Raggruppamento di risorse logiche o fisiche in base al rischio o ad altri criteri, come la criticità delle risorse, la funzione operativa, la posizione fisica o logica, l’accesso richiesto (ad esempio, il principio del minimo privilegio) o l’organizzazione responsabile.

Nota 1 alla voce: Insieme di risorse logiche o fisiche che rappresentano la partizione di un sistema in esame sulla base dei requisiti di sicurezza comuni, della criticità (ad esempio, elevato impatto finanziario, sanitario, sulla sicurezza o ambientale), della funzionalità e della relazione logica e fisica (inclusa la posizione).

Valutazione iniziale del rischio

Lo scopo della valutazione iniziale del rischio di sicurezza informatica è quello di ottenere una comprensione preliminare del rischio peggiore che il SUC (System Unit Center) presenta per l’organizzazione in caso di compromissione. Tale rischio viene in genere valutato in termini di impatto su salute, sicurezza, ambiente, interruzione dell’attività, perdita di produzione, qualità del prodotto, aspetti finanziari, legali, normativi, reputazione, ecc. Questa valutazione contribuisce a dare priorità alle valutazioni di rischio più dettagliate e facilita il raggruppamento delle risorse in zone e canali all’interno del SUC.

La valutazione iniziale del rischio consente una migliore suddivisione delle risorse in zone e condotti. Ciò è necessario per identificare le risorse che condividono requisiti di sicurezza comuni e per consentire l’individuazione di misure di sicurezza comuni necessarie per mitigare il rischio. L’assegnazione delle risorse IACS a zone e condotti può essere modificata in base ai risultati della valutazione dettagliata del rischio.

Valutazione dettagliata dei rischi

L’obiettivo principale della valutazione dettagliata del rischio secondo la norma IEC 62443-3-2 è:

• Identificare le minacce alla sicurezza informatica del sistema IACS
• Valutare il potenziale impatto degli incidenti informatici sulla sicurezza, sulle operazioni e sul business.
• Determinare i livelli di sicurezza target (SL-T) appropriati per ciascuna parte del sistema.
• Fornire input tracciabili per i requisiti di sicurezza del sistema

La valutazione è basata sul rischio, il che significa che i controlli di sicurezza sono proporzionali alle conseguenze e alla probabilità delle minacce informatiche.

Alcuni esempi di descrizioni delle minacce sono :

• Un dipendente non malintenzionato accede fisicamente alla zona di controllo del processo e inserisce una chiavetta USB in uno dei computer;
• Una persona di supporto autorizzata accede logicamente alla zona di controllo del processo utilizzando un laptop infetto; e
• Un dipendente, senza intenti malevoli, apre un’e-mail di phishing che compromette le sue credenziali di accesso.

L’obiettivo è determinare il livello di sicurezza richiesto per ogni zona e condotto. Non esiste un sistema di controllo sicuro al 100% , così come non esiste un sistema di controllo completamente infallibile . La serie IEC 62443 definisce 4 livelli di sicurezza.

I livelli di sicurezza IEC 62443

Nell’ambito della sicurezza funzionale, il livello di affidabilità di un sistema di sicurezza strumentato viene misurato in SIL (Safety Integrity Levels). Esistono 4 livelli SIL, dove SIL 1 è il più basso e SIL 4 indica un sistema di controllo di sicurezza molto affidabile.

Poiché il comitato tecnico che sviluppa gli standard SIL è lo stesso che sviluppa la serie IEC 62443, non dovrebbe sorprendere se definisse il livello di sicurezza che un sistema di controllo e automazione industriale (IACS) può avere, come SL o livelli di sicurezza.

Come per SIL, anche per SL esistono quattro livelli diversi (1, 2, 3 e 4), ognuno con un livello di sicurezza crescente. SL 0 è implicitamente definito come assenza di requisiti di sicurezza o di necessità di protezione.

• SL 1:Protezione contro violazioni casuali o accidentali
• SL 2:Protezione contro le violazioni intenzionali mediante mezzi semplici con risorse limitate, competenze generiche e scarsa motivazione
• SL 3:Protezione contro le violazioni intenzionali mediante mezzi sofisticati con risorse moderate, competenze specifiche IACS e motivazione moderata
• SL 4:Protezione contro le violazioni intenzionali mediante mezzi sofisticati con risorse estese, competenze specifiche IACS e alta motivazione

Il processo inizia con la definizione del livello di sicurezza richiesto per un sistema. Questo livello viene definito Livello di Sicurezza Obiettivo (SL-T) e riflette il livello di protezione necessario per gestire i rischi identificati.

Una volta definito l’obiettivo, il sistema viene progettato per raggiungere tale livello di protezione. Durante la fase di progettazione, il team verifica se il sistema proposto è effettivamente in grado di raggiungere il livello di sicurezza richiesto. Ciò avviene solitamente attraverso diverse revisioni del progetto, durante le quali la sicurezza prevista del sistema viene rivista e confrontata con l’obiettivo prefissato.

Per raggiungere il livello di sicurezza richiesto, vengono selezionati componenti e tecnologie idonei. Qualora i componenti disponibili non soddisfino pienamente il livello richiesto, vengono aggiunte ulteriori misure di protezione per compensare.

Una volta che il sistema è stato costruito e messo in funzione, viene valutato il suo effettivo livello di sicurezza. Il livello di sicurezza raggiunto viene quindi confrontato con l’obiettivo iniziale per confermare che il sistema sia adeguatamente protetto e che eventuali rischi residui siano compresi e gestiti.

Obiettivo (SL-T), raggiunto (SL-A) e capacità (SL-C)

Ecco perché la norma IEC 62443 definisce 3 tipi di livelli di sicurezza: obiettivo, raggiunto e capacità. Questi tipi, pur essendo correlati, riguardano diversi aspetti del ciclo di vita della sicurezza.

• I livelli di sicurezza target SL-Trappresentano il livello di sicurezza desiderato per un particolare sistema IACS, zona o condotto. Questo livello viene solitamente determinato eseguendo una valutazione del rischio sul sistema e stabilendo che è necessario un livello di sicurezza specifico per garantirne il corretto funzionamento.
• I livelli di sicurezza raggiunti (SL-A)rappresentano il livello di sicurezza effettivo di un determinato sistema. Questi vengono misurati dopo che la progettazione del sistema è disponibile o quando il sistema è già in funzione. Vengono utilizzati per stabilire che un sistema di sicurezza soddisfa gli obiettivi originariamente definiti negli SL-T.
• I livelli di sicurezza di capacità SL-Crappresentano i livelli di sicurezza (SL) che i componenti o i sistemi possono fornire se configurati correttamente. Questi livelli indicano che un particolare componente o sistema è in grado di soddisfare i livelli di sicurezza di tipo T (SL-T) in modo nativo, senza la necessità di ulteriori contromisure compensative, se configurato e integrato correttamente.

[IEC 62443-1-1: 2009] 5 Concetti – 5.11 Livelli di sicurezza

5.11.2 Tipi di livelli di sicurezza – 5.11.2.1 Generale

Si possono definire tre diversi livelli di sicurezza, come segue:

 SL(target) – livello di sicurezza target per una zona o un condotto;

SL (raggiunto) – livello di sicurezza raggiunto per una zona o un condotto;

SL (capacità) – livello di sicurezza delle contromisure associate a una zona o a un condotto, oppure livello di sicurezza intrinseco dei dispositivi o dei sistemi all’interno di una zona o di un condotto.

SL 0: Nessun requisito specifico o protezione di sicurezza necessaria

SL 0 ha molteplici significati a seconda del contesto in cui viene applicato. Nel definire SL-C, significa che il componente o il sistema non soddisfa alcuni dei requisiti SL 1 per quella specifica FR. Questo si verifica più probabilmente per componenti o sistemi che fanno parte di una zona più ampia in cui altri componenti o sistemi forniscono contromisure compensative. Nel definire SL-T per una particolare zona, significa che il proprietario dell’asset ha determinato che i risultati della sua analisi del rischio indicano che non sono necessari tutti i requisiti specifici SL 1 per quella specifica FR su quel componente o sistema. Questo si verifica più probabilmente per i singoli componenti all’interno di un sistema o di una zona che non contribuiscono in alcun modo ai requisiti specifici della FR. Nel definire SL-A, significa che la particolare zona non soddisfa alcuni dei requisiti SL 1 per quella specifica FR.

SL 1: Protezione contro violazioni casuali o accidentali

Le violazioni della sicurezza, occasionali o casuali, sono generalmente dovute a una scarsa applicazione delle politiche di sicurezza. Possono essere causate tanto da dipendenti benintenzionati quanto da minacce esterne. Molte di queste violazioni saranno correlate alla sicurezza e verranno gestite applicando rigorosamente le politiche e le procedure.

Un semplice esempio potrebbe essere un operatore in grado di modificare un set point sulla stazione di ingegneria nella zona BPCS impostandolo su un valore al di fuori di determinate condizioni stabilite dal personale tecnico. Il sistema non ha imposto le opportune restrizioni di autenticazione e controllo per impedire la modifica da parte dell’operatore. Sempre utilizzando la Figura A.1, un altro esempio potrebbe essere una password inviata in chiaro sul canale tra la zona BPCS e la zona DMZ, consentendo a un tecnico di rete di visualizzarla durante la risoluzione dei problemi del sistema. Il sistema non ha imposto un’adeguata riservatezza dei dati per proteggere la password.

Un terzo esempio potrebbe essere quello di un ingegnere che intende accedere al PLC in una rete industriale, ma accede al PLC in una rete diversa. Il sistema non ha imposto le opportune restrizioni al flusso di dati, impedendo all’ingegnere di accedere al sistema sbagliato.

SL 2: Protezione contro le violazioni intenzionali mediante mezzi semplici con risorse limitate, competenze generiche e scarsa motivazione

I metodi semplici non richiedono grandi conoscenze da parte dell’attaccante. L’attaccante non ha bisogno di una conoscenza approfondita della sicurezza, del dominio o del sistema specifico preso di mira. Questi vettori di attacco sono ben noti e potrebbero essere disponibili strumenti automatizzati per aiutare l’attaccante. Sono inoltre progettati per attaccare un’ampia gamma di sistemi anziché mirare a un sistema specifico, quindi un attaccante non ha bisogno di un livello significativo di motivazione o di risorse a disposizione.

Un esempio potrebbe essere un virus che infetta la workstation di manutenzione nella zona DMZ dell’impianto e si diffonde alla workstation di ingegneria BPCS, poiché entrambe utilizzano lo stesso sistema operativo generico. Un altro esempio potrebbe essere un utente malintenzionato che compromette un server web nella rete aziendale tramite un exploit scaricato da Internet, sfruttando una vulnerabilità nota nel sistema operativo generico del server web. L’attaccante utilizza il server web come punto di appoggio per un attacco contro altri sistemi nella rete aziendale e nella rete industriale. Un terzo esempio potrebbe essere un operatore che visualizza un sito web sull’HMI situato nella rete industriale n. 1 e scarica un Trojan che apre una falla nei router e nei firewall, consentendo l’accesso a Internet.

SL 3: Protezione contro le violazioni intenzionali mediante mezzi sofisticati con risorse moderate, competenze specifiche IACS e motivazione moderata

Le tecniche sofisticate richiedono conoscenze avanzate in materia di sicurezza, conoscenze approfondite del dominio, conoscenze approfondite del sistema target o una combinazione di queste. Un attaccante che prende di mira un sistema SL 3 probabilmente utilizzerà vettori di attacco personalizzati per lo specifico sistema target. L’attaccante potrebbe sfruttare vulnerabilità in sistemi operativi poco noti, debolezze nei protocolli industriali, informazioni specifiche su un particolare target per violare la sicurezza del sistema o altri mezzi che richiedono maggiore motivazione, nonché competenze e conoscenze superiori a quelle richieste per i livelli SL 1 o 2.

Un esempio di metodi sofisticati potrebbe essere rappresentato da strumenti per la decifrazione di password o chiavi basati su tabelle hash. Questi strumenti sono disponibili per il download, ma il loro utilizzo richiede la conoscenza del sistema (come l’hash di una password da decifrare). Un altro esempio potrebbe essere un attaccante che ottiene l’accesso al FS-PLC tramite il canale seriale dopo aver ottenuto l’accesso al PLC di controllo sfruttando una vulnerabilità nel controller Ethernet. Un terzo esempio potrebbe essere un attaccante che ottiene l’accesso al data historian utilizzando un attacco di forza bruta attraverso il firewall DMZ industriale/aziendale, avviato dalla rete wireless aziendale.

SL 4: Protezione contro le violazioni intenzionali mediante mezzi sofisticati con risorse estese, competenze specifiche IACS e alta motivazione

SL 3 e SL 4 sono molto simili in quanto entrambi implicano l’utilizzo di metodi sofisticati per violare i requisiti di sicurezza del sistema. La differenza sta nel fatto che l’attaccante è ancora più motivato e dispone di risorse maggiori. Queste possono includere risorse di calcolo ad alte prestazioni, un gran numero di computer o periodi di tempo prolungati. Un esempio di metodi sofisticati con risorse maggiori potrebbe essere l’utilizzo di supercomputer o cluster di computer per condurre attacchi di forza bruta alle password utilizzando grandi tabelle hash.

Un altro esempio potrebbe essere una botnet utilizzata per attaccare un sistema sfruttando simultaneamente molteplici vettori di attacco. Un terzo esempio potrebbe essere un’organizzazione criminale che ha la motivazione e le risorse per impiegare settimane ad analizzare un sistema e sviluppare exploit “zero-day” personalizzati.

Come è strutturata la serie IEC 62443

La serie IEC 62443 è strutturata in quattro parti principali, ognuna delle quali affronta un diverso aspetto della sicurezza informatica industriale:

• Generale,
• Politiche e procedure,
• Sistema,
• Componente.

Generale (IEC 62443-1-x)

La parte generale fornisce i concetti fondamentali, la terminologia e i modelli utilizzati nell’intera serie IEC 62443. Stabilisce un linguaggio comune e un quadro concettuale per tutti i soggetti coinvolti nella sicurezza informatica industriale. Gli elementi chiave includono:

• Definizioni dei concetti chiave della sicurezza informatica, quali zone, canali, livelli di sicurezza e rischio.
• Descrizione delle architetture tipiche dell’automazione industriale e dei relativi scenari di minaccia.
• Introduzione della strategia di difesa multilivello per i sistemi industriali.
• Allineamento dei concetti di sicurezza informatica con le considerazioni relative alla sicurezza e all’affidabilità.

Questa parte ha principalmente carattere informativo e funge da fondamento concettuale dello standard. Garantisce che tutte le parti interessate, sia tecniche che non tecniche, condividano una comprensione comune dei principi di sicurezza informatica prima di passare all’implementazione.

Politiche e procedure (IEC 62443-2-x)

La sezione Politiche e procedure si concentra sugli aspetti organizzativi e gestionali della sicurezza informatica. Definisce come le aziende dovrebbero istituire, gestire e migliorare continuamente i propri programmi di sicurezza informatica.

Gli argomenti principali includono:

• Governance della sicurezza informatica e assegnazione delle responsabilità.
• Processi di valutazione e gestione del rischio.
• Gestione degli asset e gestione del ciclo di vita del sistema.
• Gestione degli incidenti, gestione delle patch e gestione delle modifiche.
• Requisiti per i fornitori di servizi e gli integratori.

Questa sezione si rivolge principalmente ai proprietari di asset e ai fornitori di servizi, garantendo che la sicurezza informatica sia integrata nei processi organizzativi anziché essere considerata una questione puramente tecnica. Sottolinea che i sistemi sicuri non possono esistere senza una gestione strutturata, personale qualificato e procedure documentate.

Sistema (IEC 62443-3-x)

La sezione “Sistemi ” affronta la sicurezza informatica a livello dell’intero sistema di automazione industriale. Definisce i requisiti tecnici per la progettazione e l’implementazione di architetture di sistema sicure. I concetti chiave includono:

• Zone e condotti: raggruppamento di risorse con requisiti di sicurezza simili e controllo della comunicazione tra di esse.
• Livelli di sicurezza (SL 1–4): rappresentano una resistenza crescente contro attori malevoli con capacità e motivazioni diverse.
• Requisiti di sicurezza a livello di sistema per il controllo degli accessi, la segmentazione della rete, l’integrità del sistema, il monitoraggio e la disponibilità.
• Integrazione sicura di componenti provenienti da diversi fornitori.

Questa parte è particolarmente rilevante per gli integratori di sistemi e gli architetti della sicurezza informatica, in quanto traduce gli obiettivi di sicurezza aziendali in architetture tecniche concrete.

Componente (IEC 62443-4-x)

La sezione Componenti si concentra su singoli prodotti come PLC, RTU, HMI, interruttori industriali e componenti software. Definisce:

• Garantire i requisiti del ciclo di vita dello sviluppo per i fornitori di prodotti.
• Capacità di sicurezza tecniche che i componenti devono fornire, come autenticazione, autorizzazione, comunicazione sicura e controlli di integrità.
• Livelli di funzionalità di sicurezza allineati ai requisiti di sicurezza a livello di sistema.

Questa sezione garantisce che i componenti industriali siano progettati tenendo conto della sicurezza informatica e possano essere integrati in modo sicuro in sistemi più ampi. È particolarmente rilevante per i produttori e i fornitori di prodotti.

I requisiti fondamentali (FR)

Nell’ambito della sicurezza funzionale, per raggiungere un determinato livello SIL, concetti come guasti casuali e guasti sistematici rivestono un ruolo fondamentale.

Nella sicurezza IACS (o sicurezza OT) si raggiunge un elevato livello di protezione grazie a una serie di “strumenti” o “tecniche” chiamati Requisiti Fondamentali (FR). Ciascun FR descrive una caratteristica o “protezione” che l’IACS dovrebbe possedere.

La norma IEC 62442 definisce 7 requisiti fondamentali (FR) che costituiscono la struttura di base per i requisiti di sicurezza sia del sistema che dei componenti. Ciascun requisito fondamentale affronta un diverso aspetto della sicurezza informatica e, insieme, formano un quadro completo di difesa multilivello.

• FR 1 – Controllo di identificazione e autenticazione (IAC).Garantisce che utenti e dispositivi siano correttamente identificati e autenticati.
• FR 2 – Controllo d’uso (UC).Garantisce che gli utenti autenticati possano eseguire solo azioni consentite.
• FR 3 – Integrità del sistema (SI).Protegge il sistema da modifiche non autorizzate o codice dannoso.
• FR 4 – Riservatezza dei dati (DC).Protegge i dati sensibili dalla divulgazione non autorizzata.
• FR 5 – Flusso di dati limitato (RDF).Controlla e limita la comunicazione tra zone e condotti.
• FR 6 – Risposta tempestiva agli eventi (TRE).Garantisce che il sistema sia in grado di rilevare, segnalare e rispondere agli eventi di sicurezza.
• FR 7 – Disponibilità delle risorse (RA).Assicura che il sistema continui a funzionare anche in condizioni avverse (ad esempio, attacchi DoS).

Di seguito, vengono descritti più dettagliatamente.

FR 1 – Controllo di identificazione e autenticazione (IAC)

Scopo: Garantire che tutti gli utenti, i dispositivi e le entità software siano correttamente identificati e autenticati prima di accedere al sistema.

Descrizione: Questo requisito garantisce che solo le entità autorizzate possano accedere alle risorse di sistema. Include meccanismi come nomi utente e password, certificati, token o altri metodi di autenticazione. L’autenticazione deve essere adeguata al livello di rischio e può essere applicata a persone, dispositivi o applicazioni.

Una solida identificazione e autenticazione impediscono l’accesso non autorizzato e l’usurpazione d’identità, che spesso rappresentano i primi passi degli attacchi informatici.

Esempi di controlli:

• Account utente univoci (nessuna credenziale condivisa)
• Politiche di password rigorose o certificati
• Autenticazione a più fattori ove richiesta
• Autenticazione del dispositivo per l’accesso alla rete

FR 2 – Controllo dell’uso (UC)

Scopo: Garantire che gli utenti autenticati possano eseguire solo le azioni per le quali sono autorizzati.

Descrizione: Il controllo degli usi si concentra sull’autorizzazione piuttosto che sull’autenticazione. Una volta che un utente o un sistema è autenticato, le sue azioni devono essere limitate in base a ruoli e permessi definiti. Ciò limita gli usi impropri accidentali e riduce il potenziale impatto di credenziali compromesse.

Esempi di controlli:

• Liste di controllo degli accessi (ACL)
• Separazione dei privilegi (operatore vs ingegnere vs amministratore)
• Restrizioni di accesso per funzioni critiche per la sicurezza
• Applicazione dei principi del minimo privilegio

FR 3 – Integrità del sistema (SI)

Scopo: Proteggere il sistema da modifiche non autorizzate o involontarie.

Descrizione: L’integrità del sistema garantisce che software, firmware, configurazioni e dati rimangano affidabili e inalterati, a meno che le modifiche non siano autorizzate. Ciò include la protezione contro malware, modifiche di configurazione non autorizzate e manomissioni.

Esempi di controlli:

• Avvio sicuro e controlli di integrità del firmware
• Rilevamento e prevenzione del malware
• Gestione della configurazione e tracciamento delle modifiche
• Verifica della firma del codice e dell’aggiornamento

FR 4 – Riservatezza dei dati (DC)

Scopo: Prevenire l’accesso non autorizzato a informazioni sensibili.

Descrizione: Questo requisito garantisce che i dati sensibili, come dati operativi, credenziali o informazioni proprietarie, siano protetti dalla divulgazione. Sebbene la riservatezza sia spesso meno critica della disponibilità negli ambienti OT, è comunque essenziale per prevenire lo spionaggio e gli attacchi laterali.

Esempi di controlli:

• Crittografia dei dati in transito e a riposo
• Protocolli di comunicazione sicuri
• Controlli di accesso per i repository di dati sensibili

FR 5 – Flusso di dati limitato (RDF)

Scopo: Controllare e limitare i percorsi di comunicazione all’interno e tra i sistemi.

Descrizione: Questo requisito impone la segmentazione del sistema in zone e canali, garantendo che i dati fluiscano solo dove esplicitamente consentito. Riduce al minimo la propagazione degli attacchi e limita il raggio d’azione di una violazione.

Esempi di controlli:

• Segmentazione e zonizzazione della rete
• Firewall e gateway di sicurezza industriale
• Inserimento in lista bianca di percorsi e protocolli di comunicazione
• Zone demilitarizzate (DMZ) tra reti IT e OT

 FR 6 – Risposta tempestiva agli eventi (TRE)

Scopo: Garantire l’individuazione, la segnalazione e la risposta tempestive agli eventi di sicurezza informatica.

Descrizione: I sistemi devono essere in grado di rilevare attività anomale o dannose e di generare avvisi in modo che gli operatori possano intervenire prima che si verifichino danni. Ciò include meccanismi di registrazione, monitoraggio e allarme.

Esempi di controlli:

• Registrazione e avviso degli eventi di sicurezza
• Sistemi di rilevamento delle intrusioni (IDS)
• Sincronizzazione temporale per una correlazione accurata degli eventi
• procedure di risposta agli incidenti

FR 7 – Disponibilità delle risorse (RA)

Scopo: Garantire che il sistema rimanga operativo e resiliente in condizioni avverse.

Descrizione: La disponibilità delle risorse si concentra sulla protezione del sistema da condizioni di negazione del servizio, guasti alle apparecchiature o esaurimento delle risorse. È particolarmente critica negli ambienti industriali, dove i tempi di inattività possono avere conseguenze sulla sicurezza o economiche.

Esempi di controlli:

• Meccanismi di ridondanza e di failover
• Gestione della capacità e controllo del carico
• Protezione contro gli attacchi denial-of-service
• Alimentazione di riserva e percorsi di comunicazione

I vettori SL

I sistemi di sicurezza strumentati utilizzano da tempo i livelli di integrità della sicurezza (SIL) per esprimere il livello di riduzione del rischio necessario a proteggere le persone e l’ambiente. I SIL forniscono una misura quantitativa unica basata sulla probabilità di guasti pericolosi, che può essere stimata utilizzando modelli di affidabilità consolidati. Ciò rende la valutazione del rischio per la sicurezza complessa, ma in gran parte prevedibile e misurabile.

I sistemi di sicurezza, tuttavia, operano in un contesto molto più ampio e meno prevedibile . Oltre a proteggere la salute e la sicurezza, devono anche salvaguardare le operazioni, la proprietà intellettuale e la resilienza organizzativa. Gli incidenti di sicurezza non sono in genere causati da guasti casuali, ma da azioni umane , accidentali o intenzionali, il che li rende molto più difficili da modellare quantitativamente . Di conseguenza, la sicurezza informatica non può essere ridotta a un singolo valore numerico come la sicurezza funzionale, ma si basa su approcci stratificati e basati sul rischio.

I livelli di sicurezza

I livelli di sicurezza forniscono un approccio qualitativo per affrontare la questione della sicurezza di una zona. In quanto metodo qualitativo, la definizione del livello di sicurezza è applicabile per confrontare e gestire la sicurezza delle zone all’interno di un’organizzazione. Con la disponibilità di un maggior numero di dati e lo sviluppo di rappresentazioni matematiche di rischio, minacce e incidenti di sicurezza, questo concetto si evolverà verso un approccio quantitativo per la selezione e la verifica dei livelli di sicurezza (SL). Sarà applicabile sia alle aziende utenti finali, sia ai fornitori di sistemi di controllo integrato (IACS) e prodotti di sicurezza. Verrà utilizzato per selezionare i dispositivi IACS e le contromisure da impiegare all’interno di una zona e per identificare e confrontare la sicurezza delle zone in diverse organizzazioni appartenenti a vari settori industriali.

Nella prima fase di sviluppo, la serie di norme IEC 62443 tende a utilizzare livelli di sicurezza qualitativi, impiegando termini come “basso”, “medio” e “alto”. Il proprietario dell’asset dovrà definire autonomamente il significato di tali classificazioni per la propria specifica applicazione. L’obiettivo a lungo termine della serie IEC 62443 è quello di convertire il maggior numero possibile di livelli e requisiti di sicurezza in descrizioni, requisiti e metriche quantitative, al fine di stabilire applicazioni ripetibili della norma in diverse aziende e settori.

Quando si progetta un nuovo sistema (greenfield) o si rivede la sicurezza di un sistema esistente (brownfield), il primo passo consiste nel suddividere il sistema in diverse zone e definire i condotti che le collegano, ove necessario. I dettagli su come procedere sono forniti nella norma IEC 62443-3-2. Una volta definito il modello a zone del sistema, a ciascuna zona e a ciascun condotto viene assegnato un livello di sicurezza (SL) target, basato su un’analisi delle conseguenze, che descrive il livello di sicurezza desiderato per la rispettiva zona o condotto. Durante questa analisi iniziale di zone e condotti, non è necessario aver completato una progettazione dettagliata del sistema. È sufficiente descrivere le funzionalità che devono essere fornite dalle risorse in una zona e i collegamenti tra le zone al fine di soddisfare gli obiettivi di sicurezza.

Il vettore SL

Anziché comprimere i livelli di sicurezza (SL) in un singolo numero, è possibile utilizzare un vettore di SL che impiega i sette fattori di rischio (FR) sopra menzionati, anziché un singolo fattore di protezione . Questo vettore di SL consente di definire separazioni precise tra i livelli di sicurezza per i diversi FR, utilizzando un linguaggio specifico. Tale linguaggio può basarsi sulle conseguenze aggiuntive associate ai sistemi di sicurezza o sui diversi attacchi contro gli obiettivi di sicurezza affrontati dai FR. Il linguaggio utilizzato nelle definizioni dei livelli di sicurezza può contenere spiegazioni pratiche sul perché un sistema sia più sicuro di un altro, senza dover necessariamente collegare tutto alle conseguenze in termini di salute, sicurezza e ambiente (HSE).

Un vettore può essere utilizzato per descrivere i requisiti di sicurezza di una zona, di un condotto, di un componente o di un sistema in modo più efficace rispetto a un singolo numero. Questo vettore può contenere un requisito SL specifico oppure un valore pari a zero per ciascuno dei requisiti fondamentali.

ESEMPIO 1 → SL-T (Zona BPCS) = { 2 2 0 1 3 1 3 }

ESEMPIO 2 → SL-C (SIS Engineering Workstation) = { 3 3 2 3 0 0 1 }

ESEMPIO 3 → SL-C (RA, FS-PLC) = 4