Cybersecurity OT nell'industria chimica: dove sicurezza informatica e sicurezza fisica si incontrano

Quando il cyber rischio diventa fisico

Nell'industria manifatturiera classica, un attacco informatico all'OT può causare fermi produttivi, danni alle macchine, perdite economiche. Nell'industria chimica le conseguenze potenziali sono di ordine diverso: rilascio di sostanze tossiche nell'ambiente, esplosioni, incendi, danni alle persone che lavorano nell'impianto e alle comunità circostanti.

Questa differenza cambia radicalmente il profilo di rischio e l'approccio alla sicurezza. Non si tratta di proteggere la produzione, ma di proteggere la sicurezza fisica delle persone e dell'ambiente. Il cyber risk diventa, in questo contesto, un risk safety a tutti gli effetti.

Il concetto di convergenza safety/security nell'industria chimica non è astratto: i sistemi di controllo industriale regolano pressioni, temperature, portate, livelli: parametri che, se alterati deliberatamente da un attaccante, possono portare a condizioni pericolose che nessuna procedura operativa manuale è in grado di gestire abbastanza velocemente. La velocità con cui un sistema di controllo può portare un processo fuori dai limiti di sicurezza è spesso superiore alla velocità di reazione umana.

Safety Instrumented System: l'ultimo baluardo e il caso Triton

I Safety Instrumented System (SIS) sono progettati come ultimo layer di protezione contro le condizioni operative pericolose. Quando un processo si avvicina a parametri critici (pressione eccessiva, temperatura oltre i limiti, livello di liquido infiammabile troppo alto) è il SIS che attiva le misure di emergenza: chiusura di valvole, attivazione di sistemi di vent, avvio delle procedure di shutdown sicuro.

La progettazione dei SIS segue standard specifici (IEC 61511 per il settore process industry) e prevede separazione fisica e logica dai sistemi di controllo normali (DCS, PLC). Il principio è che anche in caso di guasto o compromissione del sistema di controllo principale, il SIS rimanga funzionale e indipendente.

Il 2017 ha dimostrato che questa separazione può essere violata. L'attacco documentato come Triton (o TRISIS) ha preso di mira i Safety Instrumented System Triconex di Schneider Electric installati in un impianto petrolchimico in Arabia Saudita. L'attaccante, dopo aver ottenuto accesso alla rete OT attraverso l'IT, ha sviluppato malware specificamente progettato per riprogrammare i Safety PLC, con l'obiettivo di disabilitare le protezioni di emergenza e causare un incidente fisico.

L'attacco fallì per un errore nel codice del malware che causò un arresto di sicurezza del SIS prima che la riprogrammaazione fosse completata, rivelando così la presenza dell'attaccante. Senza questo errore, le conseguenze potevano essere catastrofiche. Le organizzazioni che analizzarono Triton conclusero che l'attaccante era disposto ad accettare vittime umane come conseguenza dell'attacco.

Il messaggio di Triton per l'industria chimica è inequivocabile: i Safety Instrumented System non sono immuni agli attacchi cyber. La loro separazione fisica è necessaria ma non sufficiente.

IEC 61511 e la dimensione cyber della safety

La norma IEC 61511, che regola i Safety Instrumented System nel settore process industry, ha incorporato nella sua revisione del 2016 (Edizione 2) requisiti espliciti per la sicurezza informatica. La Clausola 8.2.4 richiede che venga condotta una valutazione del cyber risk come parte della process hazard analysis, e che i SIS siano inclusi nell'ambito di questa valutazione.

Nella pratica, questo significa che l'analisi di sicurezza dei SIS non può più fermarsi alle cause di guasto fisico (failure modes, common cause failures, diagnostic coverage): deve includere anche la possibilità di attacchi deliberati che compromettano la funzione di sicurezza. Il Security Assessment dei SIS è ora parte integrante del ciclo di vita SIS.

Le implicazioni operative sono significative. La configurazione dei SIS deve essere gestita come configurazione critica, con controlli di accesso fisico e logico, registrazione di ogni modifica, e procedure di verifica che ogni cambiamento non alteri la funzione di sicurezza. Le reti di comunicazione verso i SIS devono essere trattate come reti ad alta criticità, con segmentazione rigorosa e monitoraggio del traffico.

Un requisito specifico e spesso sottovalutato: i SIS moderni, a differenza dei loro predecessori analogici, sono spesso basati su hardware programmabile con interfacce di comunicazione. Queste interfacce, necessarie per il monitoraggio e la configurazione, sono anche potenziali vettori di attacco. Gestire questo trade-off tra funzionalità e sicurezza è una delle sfide tecniche più delicate del settore.

Zone e conduit: applicare IEC 62443 nell'impianto chimico

L'architettura di sicurezza raccomandata per gli impianti chimici si basa sui concetti di zone e conduit definiti da IEC 62443. Una zona è un raggruppamento logico di asset con requisiti di sicurezza simili e separata dalle altre zone attraverso controlli appropriati. Un conduit è il canale di comunicazione controllato tra zone.

Nell'impianto chimico la zonizzazione tipica prevede zone distinte per: i Safety Instrumented System (zona con i requisiti di sicurezza più elevati), il sistema di controllo distribuito (DCS), i sistemi di supervisione e historian, e la rete IT di gestione. Tra ogni zona esistono conduit con controlli proporzionali al differenziale di sicurezza.

La sfida pratica è che molti impianti chimici italiani, specialmente quelli con decenni di storia operativa, non sono stati progettati con questa architettura. Hanno reti OT piatte, interconnessioni non documentate, sistemi legacy che non possono essere aggiornati senza interrompere la produzione. Applicare retroattivamente i principi di zonizzazione richiede un lavoro di analisi e ristrutturazione graduale.

Il punto di partenza, in ogni caso, è la visibilità: sapere cosa c'è nella rete, come i sistemi comunicano tra loro, dove si trovano i confini effettivi (non quelli documentati) tra le diverse zone funzionali. Senza questa visibilità, qualsiasi progetto di ristrutturazione architetturale lavora su assunzioni che possono essere errate.

Monitoraggio passivo: visibilità senza interferire con i processi

Il monitoraggio della sicurezza OT in un impianto chimico deve rispettare un vincolo fondamentale: non può interferire con i processi di controllo. In un impianto dove i safety loop hanno tempi di risposta nell'ordine dei milliseconds, qualsiasi strumento che generi traffico attivo sulla rete di controllo è inaccettabile.

Il monitoraggio passivo, basato su tap di rete e analisi del traffico senza iniezione di pacchetti, è l'unico approccio compatibile con i requisiti di un impianto chimico. Un sensore posizionato su una SPAN port del switch di rete OT può catturare tutto il traffico, analizzarlo e rilevare anomalie senza mai trasmettere un singolo byte sulla rete di produzione.

Questo approccio permette di: identificare tutti i dispositivi attivi sulla rete (inclusi quelli non documentati), monitorare i pattern di comunicazione dei SIS per rilevare accessi anomali, rilevare modifiche alla configurazione dei sistemi di controllo, e correlare eventi tra le diverse zone dell'impianto.

Un aspetto specifico del monitoraggio in ambito chimico: la correlazione tra eventi OT e parametri di processo. Un cambio di set point su un PLC diventa più significativo se correlato con le letture dei sensori di pressione e temperatura nelle ore successive. Questa correlazione permette di distinguere le modifiche operative normali da quelle che portano il processo verso condizioni anomale.

Risposta agli incidenti: quando non si può spegnere

La risposta agli incidenti in un impianto chimico deve tenere conto di un vincolo che non esiste nell'IT: non si può semplicemente "spegnere" un sistema chimico in produzione. Un reattore chimico in corso non può essere fermato istantaneamente senza rischi: c'è una procedura di shutdown sicuro che richiede tempo, sequenza corretta, supervisione attiva.

Questo significa che la risposta a un incidente cyber in un impianto chimico deve avvenire in coordinamento stretto con il team di operations, e deve prioritizzare la sicurezza del processo fisico rispetto alla risposta informatica. Se un sistema di controllo è compromesso ma il processo è stabile, la sequenza corretta può essere: stabilizzare il processo, preparare uno shutdown pianificato, poi investigare e ripristinare i sistemi.

I playbook di incident response per il settore chimico devono essere sviluppati con il contributo del process safety team, non solo del team di sicurezza informatica. Devono definire le soglie di decisione: quando uno shutdown di emergenza è necessario nonostante i rischi, quando è possibile continuare il monitoraggio mentre si prepara un shutdown controllato, come mantenere le funzioni di safety durante un incident response che coinvolge i sistemi di controllo.

La preparazione è tutto: un impianto chimico che non ha mai fatto un esercizio di incident response OT non sarà in grado di coordinare efficacemente la risposta nel momento in cui ne avrà bisogno.

L'angolo MON5

Come nota l'articolo, in un impianto chimico il monitoraggio passivo non è una preferenza ma un vincolo: nessuno strumento può iniettare traffico su reti dove i safety loop rispondono in millisecondi. MON5 è progettata su questo principio: NDR passivo fuori banda che osserva il traffico verso DCS e Safety Instrumented System da SPAN port o tap, senza trasmettere un solo byte sulla rete di controllo.

La piattaforma supporta inoltre la zonizzazione IEC 62443: mappa i confini effettivi tra le zone, fa emergere i conduit non documentati e segnala qualsiasi comunicazione anomala verso i controller SIS. Per chi parte da una rete piatta stratificata in decenni, il percorso comincia con un assessment OT condotto senza interrompere il processo.