ISO 27001 negli ambienti OT: come estendere l'ISMS oltre il perimetro IT

Perché ISO 27001 da sola non basta nell'OT

ISO 27001 è lo standard di riferimento per i sistemi di gestione della sicurezza delle informazioni. È lo standard più diffuso al mondo in ambito cybersecurity, ed è presente nella quasi totalità delle grandi organizzazioni industriali almeno per la parte IT.

Il problema è che ISO 27001 è stato progettato con l'IT in mente. I suoi controlli, la sua terminologia, il suo risk framework: tutto riflette un modello dove la priorità è la riservatezza delle informazioni, dove i sistemi possono essere fermati per la manutenzione, dove il patching è un processo normale e atteso.

Nell'OT, le priorità sono invertite: prima la disponibilità operativa, poi l'integrità dei dati di processo, infine la riservatezza. Un sistema OT non si spegne per installare una patch. Un controllo di sicurezza che introduce latenza può essere inaccettabile su una rete di controllo. Un audit su un PLC in produzione richiede coordinamento con l'ingegneria di processo, non solo con il team IT.

Estendere ISO 27001 all'OT è possibile e utile, ma richiede adattamenti consapevoli.

Definire lo scope: dove finisce l'IT e dove inizia l'OT

La prima sfida nell'estensione di ISO 27001 all'OT è la definizione dello scope. ISO 27001 richiede di definire esplicitamente cosa rientra nel sistema di gestione: quali siti, quali processi, quali asset.

Per gli ambienti OT, lo scope deve essere definito con cura. Alcune considerazioni:

Convergenza IT/OT: in molte organizzazioni moderne, il confine tra IT e OT è fluido. I sistemi MES comunicano con l'ERP; gli HMI hanno connessioni di rete; i dati di produzione vanno nel cloud per l'analisi. Dove finisce l'IT e dove inizia l'OT non è sempre ovvio, e la risposta impatta direttamente sullo scope dell'ISMS.

Approccio graduale: è spesso più pratico iniziare con lo scope IT certificato e aggiungere gradualmente le componenti OT, piuttosto che cercare di coprire tutto in un unico progetto. Una linea produttiva pilota, un sito specifico, possono essere punti di partenza realistici.

Documentazione dell'esclusione: se certi sistemi OT sono esplicitamente esclusi dallo scope, la giustificazione deve essere documentata e giustificabile rispetto al rischio complessivo.

I controlli dell'Annex A applicati all'industriale

ISO 27001:2022 include 93 controlli nell'Annex A, organizzati in quattro temi (Organizzativi, People, Fisici, Tecnologici). Non tutti si applicano allo stesso modo all'OT.

Controlli che si applicano direttamente: gestione degli asset (identificare e classificare tutti i dispositivi OT), controllo degli accessi (limitare l'accesso ai sistemi di controllo), backup (proteggere le configurazioni dei PLC), incident management (procedure per rispondere a incidenti che coinvolgono sistemi OT).

Controlli che richiedono adattamento: vulnerability management (i cicli di patching OT sono molto più lenti di quelli IT, vanno documentate le ragioni e i controlli compensativi), change management (le modifiche ai sistemi OT richiedono test e validazione più estesi), monitoraggio della sicurezza (i log dei dispositivi OT hanno formati e volumi diversi da quelli IT).

Controlli da applicare con attenzione: alcuni controlli IT standard non sono direttamente trasferibili all'OT senza rischiare impatti operativi. I penetration test aggressivi su sistemi di controllo live possono causare interruzioni. Le policy di password complesse non sempre si applicano ai dispositivi che non supportano interfacce di autenticazione moderne.

ISO 27001 + IEC 62443: complementari, non alternativi

Una domanda frequente: se un'organizzazione vuole coprire la sicurezza OT, deve scegliere tra ISO 27001 e IEC 62443?

La risposta è: sono complementari, non alternativi.

ISO 27001 fornisce il framework di management: il sistema di gestione, i processi, le politiche, l'approccio al rischio, gli audit interni, la revisione della direzione. È orientato all'organizzazione.

IEC 62443 fornisce i requisiti tecnici specifici per i sistemi di controllo industriale: il modello di zone e conduit, i Security Level, i requisiti di sistema e di componente. È orientato alla tecnologia e all'architettura.

Un'organizzazione industriale matura li usa insieme: ISO 27001 come framework di governance del programma di sicurezza, IEC 62443 come standard tecnico di riferimento per i requisiti OT. I controlli IEC 62443 possono essere mappati sull'Annex A di ISO 27001, creando un sistema integrato anziché due silo paralleli.

Audit e mantenimento della certificazione in ambienti OT

Ottenere la certificazione ISO 27001 per uno scope che include ambienti OT è possibile, ma gli audit richiedono competenze specifiche da parte degli auditor.

I punti su cui gli auditor si concentrano negli ambienti OT:

• Inventario degli asset: l'inventario OT è spesso meno maturo di quello IT. La mancanza di inventario completo è una non conformità diretta.
• Risk assessment: il risk assessment deve includere scenari OT-specifici, non solo minacce IT. Interruzione della produzione, compromissione della safety, danno fisico agli impianti.
• Controlli compensativi: per i controlli che non possono essere implementati direttamente sui sistemi OT (patch non applicabili, autenticazione non supportata), devono essere documentati i controlli compensativi adottati e la loro efficacia.
• Business continuity: i piani di continuità operativa devono coprire gli scenari di incidente OT, con procedure di ripristino che tengano conto dei tempi e delle dipendenze specifiche degli ambienti industriali.

La certificazione non è l'obiettivo finale: è una misura della maturità del programma. Un'organizzazione industriale che integra davvero OT nello scope ISO 27001 ha compiuto un passo significativo verso una gestione della sicurezza realmente coerente.

L'angolo MON5

Gli auditor che esaminano uno scope ISO 27001 esteso all'OT partono quasi sempre dallo stesso punto: l'inventario degli asset. MON5 copre questa evidenza con l'inventario asset continuo della fase ANALYZE, alimentato da discovery passiva che non interferisce con la produzione, e documenta vulnerabilità e controlli compensativi correlando le CVE con score EPSS ed esposizione reale: il materiale che serve al registro dei rischi accettati.

La mappatura su zone e conduit IEC 62443 sostiene inoltre l'integrazione tra i due standard descritta nell'articolo. Un assessment OT è il modo più rapido per arrivare all'audit con evidenze solide.