Il modello Purdue è il riferimento più diffuso per ragionare sull'architettura delle reti industriali. Organizza un impianto in livelli, dal processo fisico in basso fino all'IT aziendale in alto, e fornisce ai team un vocabolario condiviso su dove collocare i sistemi e come dovrebbero connettersi.
Questo articolo spiega i livelli in termini semplici, si concentra sul confine IT/OT dove risiede la maggior parte delle decisioni di sicurezza ed è onesto su dove il modello entra in tensione con operazioni moderne e connesse al cloud.
01Punti chiave
- 01
Il modello Purdue organizza i sistemi industriali in livelli, dal processo fisico fino all'IT aziendale.
- 02
Il confine IT/OT, spesso implementato come una DMZ al livello 3.5, è dove risiedono i controlli di sicurezza più importanti.
- 03
Il modello si mappa naturalmente sulle zone e sui conduit della IEC 62443, dando struttura alla segmentazione.
- 04
La connettività moderna, l'analisi in cloud e l'accesso remoto mettono in tensione la gerarchia rigida e richiedono controlli di confine deliberati.
- 05
Usato come mappa e non come imposizione, il modello continua a indicare dove ridurre la raggiungibilità e imporre la direzione dei flussi.
02Cos'è il modello Purdue
Il modello Purdue, derivato dalla Purdue Enterprise Reference Architecture, suddivide un ambiente industriale in livelli funzionali. Ogni livello rappresenta uno strato dell'operatività, dai sensori e attuatori a contatto con il processo fisico fino ai sistemi aziendali che gestiscono l'impresa.
Il suo valore è la comprensione condivisa. Quando tutti concordano sul livello a cui appartiene un sistema, le conversazioni su segmentazione, flusso dei dati e rischio diventano concrete anziché astratte.
Il modello Purdue è una mappa dell'impianto: indica dove i sistemi appartengono e con quali vicini dovrebbero comunicare.
03I livelli, da 0 a 5
- Livello 0 - Processo
- Le apparecchiature fisiche: sensori, attuatori e il processo stesso.
- Livello 1 - Controllo di base
- Controllori come PLC e RTU che pilotano direttamente il processo.
- Livello 2 - Supervisione d'area
- SCADA, HMI e sistemi di supervisione che gli operatori usano per gestire un'area.
- Livello 3 - Operazioni di sito
- Sistemi di gestione delle operazioni di produzione, historian e gestione della produzione a livello di sito.
- Livello 3.5 - DMZ IT/OT
- La zona demilitarizzata che intermedia il traffico tra OT e IT, dove i dati vengono scambiati senza connessioni dirette attraverso il confine.
- Livelli 4-5 - Impresa
- Logistica aziendale e IT corporate, inclusi ERP, posta elettronica e la rete aziendale più ampia.
04La DMZ IT/OT al livello 3.5
L'idea di sicurezza più importante del modello è che OT e IT non dovrebbero connettersi direttamente. Si incontrano invece in una DMZ al livello 3.5, dove sistemi intermediari intermediano i dati in modo che nessun host di un lato raggiunga direttamente l'altro.
È qui che risiedono tipicamente i data diode, i gateway unidirezionali e i servizi intermediati. La DMZ è il confine più determinante di una rete industriale, perché è il percorso che un attaccante sul lato aziendale deve attraversare per raggiungere l'operatività.
05Come si mappa sulle zone IEC 62443
I livelli Purdue si traducono in modo pulito nelle zone e nei conduit della IEC 62443. I livelli diventano zone raggruppate per fiducia e conseguenza, e le connessioni tra di essi diventano conduit da controllare deliberatamente.
Usarli insieme è potente: il modello Purdue indica dove si collocano i sistemi, mentre il modello a zone e conduit indica come imporre i confini tra di essi. Uno fornisce la mappa, l'altro la disciplina di controllo.
06Dove il modello entra in tensione
La gerarchia rigida presuppone che i dati si muovano livello per livello. Le operazioni moderne infrangono questo presupposto: l'analisi in cloud vuole i dati direttamente dal livello 3, i fornitori remoti vogliono accesso in profondità nell'impianto e i dispositivi IIoT dialogano con Internet dai livelli più bassi.
- Connettività cloud che scavalca la risalita ordinata attraverso ciascun livello.
- Accesso remoto e dei fornitori che raggiunge in profondità l'OT per il supporto.
- Sensori IIoT che comunicano verso l'esterno senza rispettare la gerarchia.
- Reti piatte in cui i livelli esistono sulla carta ma non nel cablaggio.
Queste pressioni non rendono il modello inutile; rendono i suoi confini più importanti. La domanda diventa come consentire i nuovi flussi senza dissolvere la separazione che il modello proteggeva.
07Applicare i controlli per livello
Il modello è più utile quando guida le decisioni sulla raggiungibilità. Ogni confine tra livelli è un punto in cui chiedersi cosa debba attraversarlo, in quale direzione e con quale frequenza.
Per i confini che dovrebbero essere unidirezionali o connessi solo in modo intermittente, uno schema di connettività controllata AIRGAPNET può imporre la separazione voluta dal modello, mantenendo i dati in risalita verso l'alto e impedendo l'accesso a ritroso verso il basso. Il modello identifica il confine; il controllo lo rende reale.
08Riflessione conclusiva
Il modello Purdue resiste perché offre ai team industriali una mappa comune. Anche quando il cloud e l'accesso remoto complicano il quadro, i livelli continuano a indicare dove si trovano i confini determinanti e quale separazione si sta cercando di preservare.
Trattalo come una guida, non come una gabbia. Usa i livelli per individuare i tuoi confini, mappali su zone e conduit e imponi quelli più importanti, in particolare la DMZ IT/OT, con controlli adeguati al flusso dei dati.
FAQDomande frequenti
Cos'è il modello Purdue?
Il modello Purdue è un'architettura di riferimento che organizza un ambiente industriale in livelli funzionali, dal processo fisico al livello 0 fino all'IT aziendale ai livelli 4 e 5. Fornisce ai team OT un vocabolario condiviso su dove si collocano i sistemi e come si connettono.
Quali sono i livelli del modello Purdue?
Il livello 0 è il processo fisico, il livello 1 il controllo di base come i PLC, il livello 2 la supervisione d'area come SCADA e HMI, il livello 3 le operazioni di sito e gli historian, il livello 3.5 la DMZ IT/OT e i livelli 4 e 5 il business aziendale e l'IT corporate.
Cos'è la DMZ IT/OT al livello 3.5?
È una zona demilitarizzata in cui OT e IT scambiano dati attraverso sistemi intermediari anziché connessioni dirette. È dove risiedono tipicamente i data diode, i gateway unidirezionali e i servizi intermediati, ed è il confine più determinante della rete.
Che relazione ha il modello Purdue con la IEC 62443?
I livelli Purdue si mappano in modo pulito sulle zone e sui conduit della IEC 62443. Il modello Purdue indica dove si collocano i sistemi, mentre il modello a zone e conduit indica come imporre i confini tra di essi.
Il modello Purdue è ancora rilevante con cloud e IIoT?
Sì, anche se la connettività moderna mette in tensione la sua gerarchia rigida. L'analisi in cloud, l'accesso remoto e l'IIoT scavalcano il flusso livello per livello, il che rende i confini del modello più importanti da imporre deliberatamente, non meno.
SRCFonti ufficiali
Dalla mappa al confine imposto
Individua i tuoi confini, poi rendili reali.
Usa i livelli Purdue per individuare i tuoi confini più determinanti, poi imponi la DMZ IT/OT e i flussi unidirezionali con controlli adeguati a ciascun flusso di dati.