Zone e condotti IEC 62443 spiegati: guida pratica alla segmentazione OT

01Punti chiave

1. 01

   IEC 62443 è la serie ISA/IEC per la sicurezza dei sistemi di automazione e controllo industriale.

2. 02

   Una zona raggruppa asset con requisiti di sicurezza comuni; un condotto è la connessione definita tra le zone.

3. 03

   I livelli di sicurezza esprimono la robustezza della protezione che una zona o un condotto deve garantire.

4. 04

   Progettare bene significa mappare i flussi di dati reali sui condotti, per poi scegliere i controlli adatti a ciascun condotto.

5. 05

   Firewall, data diode e disconnessione sono strumenti complementari per presidiare diversi tipi di condotto.

02Che cos'è IEC 62443

IEC 62443, sviluppata insieme a ISA, è una serie di standard dedicati alla sicurezza dei sistemi di automazione e controllo industriale. Abbraccia persone, processi e tecnologia, coprendo tutto, dalla gestione del programma ai requisiti tecnici per sistemi e componenti.

Per l'architettura di rete, il suo contributo più influente è il modello a zone e condotti, che offre ai team un modo strutturato di ragionare sulla segmentazione, invece di trattare una rete OT come un unico spazio piatto.

L'idea di fondo: raggruppare gli asset in zone in base al bisogno di sicurezza e consentire loro di comunicare solo attraverso condotti definiti.

03Zone e condotti: le definizioni

Zona

Un raggruppamento di asset che condividono requisiti di sicurezza comuni, in base a funzione, rischio e conseguenza. Tutto ciò che si trova in una zona è trattato a un livello di fiducia simile.

Condotto

Un percorso di comunicazione definito tra le zone. Tutto il traffico che attraversa il confine di una zona dovrebbe passare attraverso un condotto, dove può essere controllato.

Confine di fiducia

Il bordo di una zona, dove la differenza di fiducia tra due zone è presidiata dai controlli sul condotto.

La disciplina imposta dal modello è che non deve esistere alcun attraversamento non gestito tra le zone. Se il traffico si sposta tra zone, lo fa attraverso un condotto che hai progettato deliberatamente.

04I livelli di sicurezza e il loro significato

IEC 62443 utilizza i livelli di sicurezza per esprimere quanto robusta debba essere la protezione. Invece di un vago senso di importanza, a una zona o a un condotto viene assegnato un livello di sicurezza obiettivo in base alla minaccia a cui deve resistere.

I livelli si scalano dalla protezione contro un'esposizione casuale o accidentale fino alla protezione contro aggressori sofisticati, ben equipaggiati e determinati. Il livello di sicurezza obiettivo di una zona determina i requisiti dei condotti che la toccano: una zona ad alta conseguenza giustifica controlli di condotto più robusti.

L'utilità pratica è il confronto. Assegnando livelli obiettivo, un team può vedere dove il progetto attuale è carente e dare priorità ai condotti che proteggono le zone più critiche.

05Mappare i flussi di dati sui condotti

Una buona segmentazione parte dai flussi di dati reali, non da un diagramma di reti ideali. Per ogni flusso che attraversa il confine di una zona, il progetto dovrebbe indicare cosa si sposta, in quale direzione e perché.

• Individua ogni flusso che attraversa il confine di una zona e la ragione di business che lo motiva.
• Indica la direzione richiesta: scambio bidirezionale, oppure pubblicazione in una sola direzione.
• Assegna al condotto un requisito basato sul livello di sicurezza obiettivo delle zone che collega.
• Elimina i flussi che esistono solo per abitudine; il condotto migliore è spesso quello di cui non hai bisogno.
• Documenta il condotto in modo che il suo scopo e la sua direzione possano essere rivisti nel tempo.

06Dove si collocano firewall, data diode e disconnessione

Condotti diversi richiedono controlli diversi. Il modello non prescrive un'unica tecnologia; ti chiede di presidiare ciascun condotto in modo appropriato al flusso e alla differenza di fiducia.

Condotto con firewall

Per traffico bidirezionale o direzionale governato che richiede policy, ispezione e registrazione tra le zone.

Condotto con data diode

Per flussi di sola pubblicazione, in cui una zona a fiducia più alta invia dati verso l'esterno e nessun traffico deve tornare indietro attraverso quel percorso.

Condotto disconnesso per impostazione predefinita

Per flussi necessari solo in modo intermittente, in cui il condotto è fisicamente aperto solo durante finestre approvate.

Per i condotti che dovrebbero essere unidirezionali o offline per impostazione predefinita, uno schema di connettività controllata AIRGAPNET può essere valutato insieme a firewall e data diode, così che il controllo corrisponda al condotto invece di costringere ogni confine nello stesso stampo.

07Errori comuni

• Disegnare le zone sulla carta ma lasciare attraversamenti non gestiti nella rete reale.
• Trattare ogni condotto come un problema di firewall, quando alcuni flussi sono unidirezionali o intermittenti.
• Assegnare i livelli di sicurezza una sola volta senza mai rivederli man mano che il sistema cambia.
• Lasciare che i condotti accumulino flussi nel tempo finché non riflettono più il progetto documentato.
• Dimenticare che i controlli del condotto hanno a loro volta piani di gestione da proteggere.

Il modello vale solo quanto la disciplina che lo sostiene. Le zone e i condotti funzionano quando il progetto documentato e la rete in esercizio restano la stessa cosa.

08Riflessione conclusiva

Le zone e i condotti danno ai team OT un linguaggio condiviso per la segmentazione: raggruppare per fiducia, collegare attraverso percorsi definiti e dimensionare i controlli sulla conseguenza. Trasformano un obiettivo astratto in un progetto concreto e verificabile.

Parti dai flussi, assegna livelli di sicurezza onesti e scegli il controllo adatto a ciascun condotto. Il risultato è un'architettura che puoi spiegare, difendere e dimostrare.

FAQDomande frequenti

SRCFonti ufficiali