IEC 62443 in pratica: dal gap assessment al primo piano di remediation

Cos'è e cosa non è IEC 62443

IEC 62443 è lo standard internazionale di riferimento per la cybersecurity dei sistemi di controllo industriale (IACS, Industrial Automation and Control Systems). È sviluppato congiuntamente da ISA (International Society of Automation) e IEC, ed è riconosciuto a livello globale come il framework tecnico per la sicurezza OT.

Cosa non è: IEC 62443 non è una checklist da compilare per ottenere una certificazione. È un framework articolato che copre processi, architetture, requisiti tecnici e criteri di maturità, pensato per essere applicato in modo proporzionale alla realtà specifica dell'organizzazione.

La confusione nasce dalla sua complessità: lo standard è composto da quattro serie (General, Policies & Procedures, System, Component), ciascuna divisa in parti, per un totale di oltre dieci documenti. Non è un corpo normativo lineare che si legge dall'inizio alla fine; è una biblioteca di riferimento.

La struttura: serie, parti e livelli di sicurezza

Le quattro serie coprono prospettive diverse:

• Serie 1 (General): terminologia, concetti, metriche. La base concettuale.
• Serie 2 (Policies & Procedures): orientata agli operatori di sistemi di controllo. Tratta di programmi di sicurezza, gestione delle patch, requisiti per i fornitori.
• Serie 3 (System): la parte più usata in pratica. Definisce i requisiti di sicurezza a livello di sistema, il modello di zone e conduit, i Security Level (SL) da SL 1 a SL 4.
• Serie 4 (Component): orientata ai produttori di componenti. Requisiti per lo sviluppo sicuro di prodotti.

I Security Level sono il cuore del modello: definiscono il livello di protezione richiesto contro attaccanti con diverse capacità, da attacchi accidentali (SL 1) a attaccanti motivati con risorse sofisticate (SL 4). La scelta del SL target per ciascuna zona è il risultato dell'analisi del rischio.

Il gap assessment: come si conduce

Un gap assessment IEC 62443 serve a capire la distanza tra lo stato attuale dell'organizzazione e i requisiti dello standard per il livello di sicurezza target. È il punto di partenza di qualsiasi programma strutturato.

Passo 1, Perimetro e inventario: definire cosa rientra nel campo di applicazione dell'assessment. Non necessariamente tutto l'ambiente OT: spesso si inizia da un sito specifico, una linea produttiva critica, o un sistema ad alto rischio. Poi censire tutti gli asset nel perimetro.

Passo 2, Definizione del Security Level target: per ogni zona dell'ambiente, definire il SL target in base all'analisi del rischio. Un sistema di controllo di un'infrastruttura critica ha target diversi da quello di una linea produttiva secondaria.

Passo 3, Raccolta delle evidenze: valutare lo stato attuale rispetto ai requisiti delle "Foundational Requirements" dello standard (FR 1-7: identificazione e autenticazione, controllo degli accessi, integrità dei dati, riservatezza dei dati, flusso di dati limitato, risposta tempestiva agli eventi, disponibilità delle risorse). La raccolta avviene attraverso interviste, ispezione della configurazione, analisi della documentazione e osservazione sul campo.

Passo 4, Analisi del gap: per ogni requisito, determinare il livello attualmente raggiunto (SL-A, Security Level Achieved) e confrontarlo con il target (SL-T). Il gap tra i due è la misura del lavoro da fare.

Passo 5, Report e prioritizzazione: documentare i gap con il loro impatto sul rischio e la fattibilità di remediation. Non tutti i gap hanno la stessa urgenza; la prioritizzazione deve bilanciare riduzione del rischio, costo di implementazione e impatto operativo.

Zone, conduit e il modello di sicurezza

Il modello di zone e conduit è il contributo più pratico e applicabile di IEC 62443 alle architetture OT.

Una zona è un raggruppamento logico di asset con requisiti di sicurezza simili e lo stesso livello di trust. Tutti gli asset all'interno di una zona possono comunicare liberamente tra loro; le comunicazioni tra zone devono passare attraverso conduit controllati.

Un conduit è il canale di comunicazione autorizzato tra zone. Non è necessariamente un dispositivo fisico (firewall, DMZ): può essere anche un processo (accesso fisicamente controllato, trasferimento dati su supporto isolato). Ma in pratica, i conduit si implementano con firewall, DMZ e sistemi di data diode dove richiesto.

La partizione in zone risponde a una logica semplice: se un attaccante compromette un asset in una zona, il danno dovrebbe essere contenuto alla zona stessa. I conduit sono i controlli di confine che impediscono la propagazione.

Da dove iniziare: priorità e quick win

Per la maggior parte delle organizzazioni che si approcciano a IEC 62443 per la prima volta, la sensazione è di essere di fronte a un sistema troppo articolato per sapere da dove partire. Alcune indicazioni pratiche:

Non cercare di coprire tutto subito: scegliere un perimetro limitato (un sito, un sistema critico) e condurre un assessment approfondito su quello. I risultati daranno una visione concreta della distanza dallo standard e un piano di lavoro realistico.

I quick win esistono: alcune misure hanno alto impatto sul rischio con basso costo di implementazione. La gestione delle credenziali di default, la segmentazione base tra IT e OT, la visibilità del traffico di rete: non sono requisiti avanzati di IEC 62443, ma la loro assenza è un gap immediato in quasi tutti gli assessment.

IEC 62443 non va letto da soli: la parte 2-1 (Security Management System) e la 3-3 (System Security Requirements) sono i documenti più usati in pratica. Iniziare da lì, preferibilmente con il supporto di chi ha esperienza nel condurre assessment IEC 62443 in ambienti industriali reali.

Lo standard è uno strumento, non un obiettivo. L'obiettivo è ridurre il rischio cyber nell'ambiente OT. IEC 62443 è il framework più rigoroso disponibile per farlo in modo strutturato.

L'angolo MON5

Un gap assessment IEC 62443 senza inventario è privo di fondamento, come ricorda il passo 1 descritto sopra. È il motivo per cui MON5 inizia dalla fase DISCOVER: asset discovery passiva o ibrida e topologia di rete, senza fermare la produzione, per dare al confronto con lo standard una base fattuale.

La fase ANALYZE mappa poi zone e conduit secondo IEC 62443 e correla le vulnerabilità CVE con score EPSS ed esposizione reale, trasformando i gap in un piano di remediation prioritizzato. Il percorso è modulare: si parte dall'assessment e si attivano capacità per fasi. Prenota un assessment OT per misurare la distanza dal tuo Security Level target.