IEC 62443 è lo standard internazionale per la sicurezza dei sistemi di automazione e controllo industriale, e nasce da una constatazione che chi viene dall’informatica tende a sottovalutare: la tecnologia operativa, l’OT che governa turbine, linee di produzione, impianti idrici e reti elettriche, non è informatica con qualche peculiarità in più. È un mondo diverso, con priorità diverse, in cui le abitudini consolidate della sicurezza informatica non solo non bastano, ma a volte fanno danni. Applicare un aggiornamento che riavvia un server, in un ufficio, è routine; farlo su un controllore che regola un processo fisico può fermare la produzione o, nei casi peggiori, mettere a rischio l’incolumità delle persone.

Il punto di partenza dello standard è proprio questo ribaltamento delle priorità. Nella sicurezza informatica tradizionale la riservatezza viene prima di tutto: si protegge anzitutto il dato dallo sguardo altrui. Nell’OT l’ordine si capovolge, e al primo posto stanno la disponibilità e la sicurezza fisica, perché un impianto che si ferma o un processo che esce di controllo hanno conseguenze immediate e materiali. IEC 62443 ne prende atto, e lo fa nel modo più concreto: tratta la disponibilità come un requisito fondamentale a sé stante e deriva i propri controlli dalle esigenze dell’OT, non dalle consuetudini dell’ufficio. È questo a renderlo il riferimento per chi deve mettere in sicurezza la fabbrica senza romperla.

Perché l’OT non è l’informatica

La distanza tra i due mondi è fatta di vincoli concreti. I sistemi industriali hanno cicli di vita lunghissimi: macchinari e controllori installati dieci o vent’anni fa sono ancora in produzione, spesso basati su software che non riceve più aggiornamenti e che non si può sostituire senza fermare l’impianto. Molti non sono stati progettati per la sicurezza, parlano protocolli nati per reti chiuse e fidate, e non prevedono nulla che somigli a un’autenticazione robusta. La possibilità di applicare patch è limitata, perché ogni intervento va programmato dentro finestre di fermo rare e costose, e a volte non è proprio praticabile.

In questo contesto, copiare i controlli dell’informatica sull’OT fallisce in due modi: o non si applicano, perché i sistemi non li supportano, o si applicano e interferiscono con il processo, violando proprio quella disponibilità che è la priorità numero uno. IEC 62443 prende atto di questi limiti invece di ignorarli. Non chiede di rendere l’OT identico all’IT, ma offre un metodo per proteggerlo alle sue condizioni, accettando che un sistema non sempre si possa aggiornare e che la continuità del processo non sia negoziabile.

Zone e condotti: segmentare il mondo fisico

Il primo strumento dello standard è una logica di segmentazione pensata per l’industria. L’ambiente viene diviso in zone, gruppi di sistemi e componenti che condividono gli stessi requisiti di sicurezza per funzione e criticità, e le comunicazioni tra una zona e l’altra passano per condotti, canali controllati in cui si decide cosa può transitare. È la traduzione industriale del principio per cui una violazione in un punto non deve propagarsi al resto: se un’area meno critica viene compromessa, i condotti impediscono all’attaccante di raggiungere facilmente la sala di controllo o i sistemi che governano il processo.

Questa segmentazione ha un valore particolare al confine tra l’informatica e l’OT, il punto dove le due reti si incontrano e dove storicamente sono passati molti attacchi: trattare quel confine come un condotto sorvegliato, e non come un passaggio aperto, è una delle mosse più efficaci. La convergenza tra IT e OT, spinta dalla digitalizzazione degli impianti, ha reso questo principio ancora più urgente, perché ha collegato sistemi un tempo isolati a reti raggiungibili dall’esterno.

IEC 62443 misura la sicurezza per livelli, non per assoluti

Il secondo contributo dello standard è un modo pragmatico di stabilire quanta sicurezza serve, zona per zona. Invece di pretendere il massimo ovunque, cosa impossibile e controproducente in ambienti così vincolati, IEC 62443 definisce quattro livelli di sicurezza crescenti, dal primo, che protegge dagli errori involontari, fino al quarto, che difende da avversari sofisticati, molto motivati e dotati di risorse ingenti. A ogni zona si assegna un livello obiettivo in base al rischio e alle conseguenze di un suo cedimento, si verifica quale livello i componenti sono effettivamente in grado di garantire, e si misura quello davvero raggiunto: la distanza tra obiettivo e realtà diventa il programma di lavoro.

A dare struttura a questa misura ci sono i sette requisiti fondamentali su cui lo standard articola la sicurezza, una sorta di griglia delle dimensioni da presidiare.

I sette requisiti fondamentali

Sono il controllo dell’identificazione e dell’autenticazione, il controllo dell’uso, l’integrità del sistema, la riservatezza dei dati, la limitazione del flusso di dati, la risposta tempestiva agli eventi e la disponibilità delle risorse. Sette dimensioni, ciascuna un fronte distinto su cui lo standard misura la sicurezza di una zona. Vale la pena notare che la disponibilità compare come requisito fondamentale a sé stante, in coerenza con le priorità dell’OT: in un sistema industriale tenere acceso e funzionante l’impianto non è un effetto collaterale della sicurezza, ne è uno degli obiettivi primari. La stessa presenza, accanto, della riservatezza e dell’integrità mostra che lo standard non rinuncia a nulla, ma ordina le priorità in modo diverso da come farebbe l’informatica.

Da buona pratica a obbligo

Per anni la sicurezza dell’OT è stata materia da specialisti e da settori particolarmente esposti, lasciata alla buona volontà di chi gestiva gli impianti. Sta cambiando, e in fretta, sotto la spinta normativa. La direttiva NIS2, i cui obblighi si applicano dall’ottobre 2024, ha esteso obblighi di sicurezza più stringenti a un’ampia platea di operatori di infrastrutture critiche, dalla manifattura all’energia fino al settore idrico, con requisiti di governance e di notifica degli incidenti che toccano direttamente il mondo industriale. In contesti diversi, altre normative settoriali e nazionali stanno andando nella stessa direzione, e fanno di IEC 62443 il riferimento tecnico condiviso per dimostrare di essere in regola.

Il quadro si completa con l’evoluzione del rischio. Gli attacchi che colpiscono il manifatturiero e le infrastrutture critiche sono in crescita, e la digitalizzazione ha ampliato la superficie esposta collegando al resto del mondo sistemi nati per restare isolati. Lo standard stesso si è adeguato, arrivando a considerare esplicitamente l’Internet delle cose industriale e i servizi cloud che interagiscono con i dispositivi sul campo, segno che il confine tra OT e nuove tecnologie è ormai poroso. IEC 62443 conta adesso perché unisce due esigenze che premono insieme: una pressione normativa che rende la sicurezza industriale non più rinviabile, e una realtà tecnica in cui quella sicurezza va costruita rispettando i vincoli di impianti che non si possono trattare come computer da ufficio. È il ponte tra la mentalità dell’informatica e la fisica della fabbrica. Per chi gestisce un processo industriale, oggi non è più un riferimento facoltativo: è il terreno su cui si misura la capacità di restare operativi e sicuri allo stesso tempo.

Fonti

https://www.ictsecuritymagazine.com/industrial-cyber-security/iec-62443-sicurezza-ot/