Zero Trust nell'OT: principi applicabili e limiti reali in campo industriale

Il perimetro è morto: cosa significa nelle reti industriali

Per decenni la sicurezza OT si è basata su un'assunzione semplice: la rete industriale è fisicamente separata dall'esterno, quindi è sicura. L'air gap, il perimetro fisico, l'isolamento dalla rete IT erano la difesa principale.

Quell'assunzione è obsoleta. La convergenza IT/OT, l'accesso remoto, i sistemi di telecontrollo, le connessioni cloud per l'analisi dei dati di produzione: ogni organizzazione industriale moderna ha rotto, in un modo o nell'altro, il proprio perimetro. E quando il perimetro non esiste più, la security basata sul perimetro smette di funzionare.

Zero Trust parte da questo riconoscimento: non fidarsi di nessun utente, dispositivo o flusso di rete per default, indipendentemente da dove si trova. Ogni accesso va autenticato, autorizzato e continuamente validato. È una filosofia progettata esattamente per il mondo senza perimetro in cui viviamo.

I cinque pilastri del Zero Trust applicati all'OT

1. Identità verificata Ogni utente e dispositivo deve dimostrare la propria identità prima di ottenere accesso. Nell'OT questo si traduce in: autenticazione forte per operatori e tecnici, identità macchina per i dispositivi che comunicano tra loro, nessuna credenziale condivisa o predefinita mai lasciata attiva.

2. Accesso con minimo privilegio Un PLC che deve inviare dati a un sistema MES non dovrebbe poter comunicare con nient'altro. Un operatore che lavora su una linea specifica non dovrebbe vedere le altre. Il principio è: accesso esattamente alle risorse necessarie, niente di più.

3. Micro-segmentazione Invece di dividere la rete in due grandi zone (IT e OT), si definiscono perimetri molto piccoli attorno a sistemi o funzioni specifiche. Una violazione in un segmento non si propaga automaticamente agli altri. Nell'OT, questo mappa naturalmente sul concetto di zone e conduit di IEC 62443.

4. Monitoraggio continuo Zero Trust non è uno stato di configurazione che si raggiunge una volta. Richiede visibilità costante su tutto il traffico, rilevamento delle anomalie, correlazione degli eventi. Nell'OT, dove il comportamento dei dispositivi è altamente prevedibile, le deviazioni dal baseline sono segnali ad alto valore.

5. Assunzione di compromissione Il quinto pilastro è mentale più che tecnico: progettare i sistemi assumendo che prima o poi qualcosa sarà compromesso, e costruire le difese per contenere il danno e rilevare la compromissione il prima possibile.

I limiti reali: PLC legacy, protocolli senza autenticazione

Applicare Zero Trust all'OT è più complesso che applicarlo all'IT. I motivi sono tecnici e pratici.

Dispositivi legacy incompatibili: un PLC degli anni 2000 non può autenticarsi. Non ha le capacità computazionali, non supporta i protocolli moderni, non può essere aggiornato senza rischiare l'operatività. Questi dispositivi esistono in ogni impianto industriale e rimarranno in servizio per anni o decenni.

Protocolli industriali senza sicurezza nativa: Modbus, DNP3, Profibus non prevedono autenticazione o crittografia. Non è un difetto di implementazione, è una scelta progettuale dell'epoca in cui sono stati sviluppati. Imporre Zero Trust su questi protocolli richiede architetture di compensazione (gateway, proxy), non una configurazione del dispositivo.

Latenza e affidabilità prima di tutto: nell'OT, un millisecondo di latenza aggiuntivo può essere inaccettabile. Le soluzioni di sicurezza che introducono latenza o che possono bloccare traffico legittimo rischiano di interrompere i processi. Zero Trust nell'OT deve essere progettato con vincoli operativi che nell'IT semplicemente non esistono.

Cicli di aggiornamento decennali: un sistema IT viene aggiornato ogni 3-5 anni. Un sistema SCADA che controlla un impianto critico può rimanere invariato per 15-20 anni. Le finestre di manutenzione sono rare e le modifiche architetturali richiedono validazione lunga.

Un approccio graduale: da dove iniziare

Zero Trust nell'OT non si implementa in un progetto: si costruisce nel tempo con passi incrementali.

Priorità 1, Visibilità: non si può applicare Zero Trust su ciò che non si vede. Il primo passo è sempre l'inventario completo degli asset e la baseline del traffico di rete. Senza sapere chi parla con chi, non si può decidere cosa autorizzare e cosa bloccare.

Priorità 2, Segmentazione grossolana: separare IT e OT con una DMZ è il passo successivo. Non è ancora Zero Trust, ma riduce drasticamente la superficie di attacco e crea la base per segmentazioni più granulari.

Priorità 3, Controllo degli accessi umani: gli operatori e i tecnici (inclusi i vendor) sono il vettore più controllabile. Implementare MFA e accesso just-in-time per gli accessi remoti è realizzabile oggi, senza toccare i dispositivi legacy.

Priorità 4, Micro-segmentazione progressiva: partendo dalle aree più critiche (o più recenti), introdurre segmentazioni sempre più granulari man mano che si acquisisce visibilità e comprensione del traffico.

Zero Trust non è un prodotto, è una strategia

Il mercato ha risposto all'hype Zero Trust con una proliferazione di prodotti che promettono di "implementare Zero Trust" in pochi mesi. Nell'OT, questa promessa va presa con cautela.

Zero Trust è una direzione, non una destinazione. È un insieme di principi che guidano decisioni architetturali, di processo e di tecnologia nel tempo. Nell'OT, dove i vincoli operativi e i sistemi legacy pongono limiti reali, il valore sta nel fare passi concreti nella direzione giusta, non nell'inseguire un modello ideale che non si adatta all'ambiente reale.

L'obiettivo pratico: ogni anno, la fiducia implicita nella rete industriale dovrebbe essere un po' meno implicita di prima.

L'angolo MON5

Vale la pena dirlo con chiarezza: la fiducia esplicita la impongono i meccanismi di enforcement della strategia Zero Trust, i firewall e gli strumenti di micro-segmentazione che decidono cosa passa e cosa no. MON5 non è uno di questi: non applica la segmentazione e non blocca traffico inline. Il suo contributo sta a monte e a valle dell'enforcement, ed è la visibilità che lo rende possibile e misurabile.

"Priorità 1: visibilità" è infatti anche il punto di partenza del percorso MON5. La fase DISCOVER costruisce l'inventario degli asset e la baseline del traffico con discovery passiva o ibrida, senza fermare la produzione: esattamente i dati necessari per decidere, in una strategia Zero Trust, cosa autorizzare. La micro-segmentazione progressiva trova poi supporto nella fase ANALYZE, che mappa zone e conduit secondo IEC 62443.

A valle, il monitoraggio continuo della fase PROTECT verifica nel tempo che i flussi reali rispettino quelli previsti e segnala le comunicazioni che violano l'architettura. Per misurare quanta fiducia implicita c'è oggi nella tua rete, inizia con un assessment OT.