IEC 62443 zone e conduit: come applicarlo all'impianto reale senza un anno di consulenza

Perché IEC 62443 spaventa le PMI

IEC 62443 è lo standard internazionale di riferimento per la sicurezza dei sistemi di controllo industriale e delle reti OT. E' strutturato in una serie di documenti tecnici (le parti della serie 62443) che affrontano aspetti diversi: la gestione del rischio, i requisiti per i sistemi, i requisiti per i componenti, il processo di sviluppo sicuro dei prodotti.

Guardando la struttura completa dello standard, la reazione tipica in una PMI manifatturiera è di scoraggiamento: decine di documenti normativi, centinaia di requisiti, livelli di sicurezza (SL) da verificare su ogni componente. Il risultato è spesso la paralisi: lo standard viene percepito come qualcosa per le grandi organizzazioni con un team dedicato di ingegneri di sicurezza, non per chi gestisce un impianto con risorse limitate.

Questa percezione è sbagliata, o almeno incompleta. Due concetti fondamentali di IEC 62443, le zone di sicurezza e i conduit, sono strumenti pratici e applicabili anche in impianti di medie dimensioni. Non richiedono di implementare l'intero framework: richiedono di pensare con una logica diversa alla struttura della rete OT.

Zone di sicurezza: raggruppare per livello di rischio

Il concetto di zona (security zone) in IEC 62443 è semplice nella sua essenza: raggruppare gli asset che condividono lo stesso livello di rischio e gli stessi requisiti di sicurezza, e trattarli come un'unità omogenea.

Due asset appartengono alla stessa zona se:

• Hanno funzioni simili nell'ambito del processo industriale
• Richiedono lo stesso livello di protezione
• Condividono gli stessi requisiti di accesso (chi ci può entrare, come, quando)
• Sono soggetti agli stessi vincoli operativi in caso di incidente

In un impianto manifatturiero tipico, si possono identificare zone come:

Zona di campo (Field Zone): sensori, attuatori, dispositivi di campo intelligenti che interagiscono direttamente con il processo fisico. Questi dispositivi hanno spesso capacità di sicurezza limitate (no autenticazione, no cifratura), comunicano su protocolli semplici (Profibus, HART), e il loro ciclo di vita è misurato in decenni. Richiedono una protezione perimetrale robusta perché non possono proteggersi autonomamente.

Zona di controllo (Control Zone): PLC, RTU, DCS che eseguono la logica di controllo. E' il livello dove avvengono le decisioni che influenzano il processo fisico. Gli accessi a questa zona devono essere strettamente controllati: chi può modificare la logica di un PLC deve essere identificabile e autorizzato.

Zona di supervisione (Supervisory Zone): HMI, SCADA, workstation degli operatori. E' il livello dove gli operatori umani interagiscono con il sistema. Spesso contiene workstation basate su Windows con software SCADA commerciale.

Zona di storage e historization: historian, database di processo, sistemi di reporting. Questi sistemi aggregano dati dal processo e li rendono disponibili verso l'IT aziendale o verso sistemi di analytics.

DMZ OT: zona cuscinetto tra la rete OT e la rete IT/enterprise. Ospita i sistemi che devono comunicare in entrambe le direzioni: server di dati, sistemi di integrazione, proxy.

La suddivisione in zone non deve essere complessa per essere utile. Anche un'organizzazione che parte da zero può fare un primo raggruppamento ragionevole basandosi sulla funzione degli asset e sul loro livello di esposizione al rischio.

Conduit: le comunicazioni autorizzate tra zone

Il conduit è il canale di comunicazione autorizzato tra due zone. Non è solo un collegamento fisico di rete: è una definizione esplicita di cosa può passare tra le zone, in quale direzione, con quale protocollo e con quali controlli.

Per ogni conduit si deve definire:

• Le due zone che collega
• Quali protocolli sono autorizzati (e quali sono esplicitamente bloccati)
• La direzione del flusso (unidirezionale o bidirezionale)
• Chi è autorizzato a usarlo (sistemi specifici, non intere sottoreti)
• Come viene monitorato e loggato il traffico che vi transita

Un esempio concreto: tra la zona di supervisione SCADA e la zona historian, il conduit potrebbe autorizzare solo il traffico OPC-DA o OPC-UA in uscita dalla zona SCADA verso l'historian (scrittura dati di processo), bloccando qualsiasi connessione in direzione opposta. Il traffico SMB, RDP, HTTP verso o dall'historian verso SCADA non è necessario per la funzione operativa e va bloccato.

Definire i conduit significa esplicitare ciò che oggi è implicito o inconsapevole. Nella maggior parte degli impianti non documentati, i flussi di comunicazione tra zone esistono già, ma non sono stati mai formalizzati: tutto è autorizzato di default perché nessuno ha mai definito cosa non lo è.

Come partire da zero: visibilità prima della segmentazione

L'approccio pragmatico per chi non ha documentazione della propria rete OT segue tre fasi in sequenza.

Fase 1: visibilità

Prima di disegnare zone e conduit, serve sapere cosa c'è sulla rete. Il monitoraggio passivo del traffico OT permette di costruire un inventario degli asset (con indirizzi IP, protocolli usati, comportamento di comunicazione) senza interferire con il processo produttivo. Questa fase risponde alle domande fondamentali: quanti dispositivi ci sono, di che tipo, con chi comunicano, su quali protocolli.

Senza questa baseline, qualsiasi disegno di zone e conduit è teorico e potenzialmente sbagliato.

Fase 2: identificazione delle zone

Con l'inventario in mano, si può fare un primo raggruppamento degli asset in zone candidate. Non è necessario che sia perfetto al primo tentativo: è un documento vivo che si raffina nel tempo. L'obiettivo della prima iterazione è avere una struttura di base che rifletta la realtà dell'impianto, non un modello teorico ideale.

In questa fase emergono spesso sorprese: asset che si credeva fossero in una zona separata e invece comunicano liberamente con zone adiacenti, sistemi legacy che parlano con destinazioni inaspettate, dispositivi dimenticati che nessuno sa esattamente cosa facciano.

Fase 3: definizione e implementazione dei conduit

Con le zone identificate, si definiscono i conduit: quale traffico è necessario tra quali zone. Si parte dai conduit critici (accesso remoto dei vendor, connessioni IT-OT, accessi SCADA) e si costruisce la lista dei flussi autorizzati. Tutto il traffico non in lista è candidato a essere bloccato o almeno monitorato con attenzione.

L'implementazione tecnica dei conduit si traduce in regole di firewall (o di segmentazione tramite VLAN e router) che riflettono la politica definita. Il monitoring OT passivo verifica che i conduit si comportino come previsto e rileva deviazioni.

Da zone e conduit alle regole IEC 62443 formali

Una volta che le zone e i conduit sono definiti e implementati, si ha una base su cui costruire la compliance formale IEC 62443.

Lo standard definisce quattro livelli di sicurezza (SL 1-4) per le zone: da SL 1 (protezione base contro attacchi non intenzionali) a SL 4 (protezione contro attacchi di stato con risorse sofisticate). La maggior parte degli impianti manifatturieri punta a SL 2 per le zone di controllo critiche, che richiede protezione contro attacchi deliberati con risorse e motivazione moderate.

I requisiti tecnici associati a ogni livello di sicurezza IEC 62443 diventano molto più gestibili quando si lavora zona per zona, piuttosto che cercare di applicare lo standard all'intera rete come un blocco unico. Per ogni zona si verifica quali requisiti tecnici si applicano in base al livello target: autenticazione degli accessi, cifratura delle comunicazioni tra zone, integrità delle configurazioni.

Questo approccio permette di iniziare a costruire conformità IEC 62443 in modo incrementale: prima le zone più critiche (controllo, supervisione), poi quelle con requisiti meno stringenti (field, historian). E' un percorso misurabile e con risultati verificabili a ogni step, non un progetto monolitico che richiede anni prima di produrre valore.

La differenza tra un impianto OT casuale e uno strutturato secondo zone e conduit IEC 62443 non sta solo nella compliance formale. Sta nella capacità di rispondere a domande precise: "se un attaccante compromette la workstation dell'operatore, quali sistemi può raggiungere?" Con le zone e i conduit ben definiti, la risposta è nota e controllabile. Senza, la risposta è "non lo sappiamo".

L'angolo MON5

Visibilità prima della segmentazione: la sequenza in tre fasi descritta in questo articolo è la stessa su cui è costruita MON5. La fase DISCOVER ricava inventario e topologia di rete dal traffico osservato passivamente, senza interferire con la produzione, e mostra chi comunica davvero con chi: la base per disegnare zone realistiche invece di modelli teorici.

Nella fase ANALYZE zone e conduit IEC 62443 diventano oggetti gestiti dalla piattaforma: il monitoraggio continuo verifica che i conduit si comportino come definito e segnala i flussi fuori politica. Per costruire la prima mappa di zone del tuo impianto, inizia da un assessment OT.