Sottostazioni elettriche digitali: come applicare lo Zero Trust con MATRIX

Dalla teoria all’impianto: lo scenario NovaGrid mostra come applicare MATRIX a sottostazioni elettriche digitali in cui SCADA moderni convivono con IED e sistemi legacy.

Le parti precedenti della serie hanno descritto le sei fasi di MATRIX e la matrice di allocazione. Resta da vedere come il metodo funziona su un impianto.

Questa quinta parte apre la sezione di validazione con uno scenario illustrativo: NovaGrid, un operatore di distribuzione ipotetico ma verosimile. Qui un sistema SCADA moderno convive con apparati legacy che governano un centinaio di sottostazioni secondarie. Seguirlo fase per fase è il modo più diretto per capire il framework.

Validazione di MATRIX nelle sottostazioni elettriche digitali

Lo scenario NovaGrid mostra come applicare MATRIX a un’infrastruttura elettrica con SCADA moderni, IED e apparati legacy.

La validazione del framework adotta un approccio multi metodo articolato su tre componenti complementari: una validazione di copertura rispetto agli standard di riferimento, una validazione comparativa rispetto agli schemi esistenti e una validazione retrospettiva condotta su un incidente reale e documentato. Lo scenario illustrativo delle sottostazioni digitali, descritto nel seguito, fornisce il sostrato a cui le tre componenti fanno riferimento.

Sottostazioni elettriche digitali: lo scenario NovaGrid

Per mostrare il framework all’opera consideriamo uno scenario applicativo relativo a un ipotetico operatore di distribuzione, qui denominato NovaGrid, che gestisce un parco di sottostazioni elettriche digitali. Una sottostazione svolge la funzione di abbassare i livelli di alta tensione provenienti dalla rete di trasmissione per alimentare i circuiti di distribuzione locale, regolando la fornitura in risposta alla domanda di abitazioni e piccole utenze. I sistemi di automazione di NovaGrid comunicano con IED, relè e altri apparati; un’interfaccia uomo-macchina di tipo web supporta gli operatori nel monitoraggio e nel comando locale e remoto, mentre un sistema SCADA fornisce la vista d’insieme sulla stabilità della rete e sulle manovre.

L’infrastruttura è il risultato di una stratificazione storica: accanto a un sistema SCADA moderno convivono apparati legacy che governano un centinaio di sottostazioni secondarie tramite protocolli proprietari non integrabili con il sistema di monitoraggio centrale, e la cui sostituzione integrale non è, allo stato, una priorità sostenibile per ragioni di costo e di affidabilità. Lo scenario è volutamente analogo, nelle sue caratteristiche tecniche, ai casi discussi nella letteratura recente sul tema,[1] ma i dettagli e le scelte qui presentati sono originali e funzionali alla sola illustrazione del metodo.

Applicando la fase M, NovaGrid ricostruisce i propri mission thread attorno alla trasformazione, regolazione e distribuzione dell’energia, identificando come DAAS critici i segnali di comando verso i dispositivi di protezione, i dati di telemetria del sistema SCADA e i servizi di automazione delle manovre. La caratterizzazione evidenzia che la conseguenza più grave non è la perdita di riservatezza dei dati, ma la perdita di integrità o disponibilità del comando: un’alterazione dei segnali inviati ai relè potrebbe compromettere la protezione del sistema e la continuità della fornitura.

Nella fase A, NovaGrid profila le proprie classi di asset. Le HMI su piattaforma Windows e i server SCADA mostrano un’idoneità elevata e uniforme, compatibile con controlli on-device. Gli IED moderni nelle sottostazioni primarie presentano un’idoneità intermedia. Gli apparati legacy delle sottostazioni secondarie, privi di gestione dell’identità e di controlli di accesso granulari, esibiscono un’idoneità minima e dovranno affidarsi a meccanismi esterni di enforcement.

La fase T conduce alla mappatura della superficie d’attacco. NovaGrid riconosce di essere esposta soprattutto a tre delle categorie di minaccia canoniche: la minaccia interna, le vulnerabilità della supply chain e gli attori di tipo nation-state, con il ransomware come minaccia trasversale ad alto impatto, aggravata dalle fragilità dell’infrastruttura legacy. La mappatura individua punti di ingresso che vanno dall’accesso remoto dei fornitori agli aggiornamenti firmware, dai supporti rimovibili collegati alle workstation ai dispositivi legacy che costituiscono altrettanti blind spot. Particolare attenzione è riservata al rischio di manomissione in transito degli apparati – relè e controllori – durante la consegna dai fornitori, dove la discontinuità di visibilità nella logistica dell’ultimo miglio apre un varco di fiducia sfruttabile.

Nella fase R, NovaGrid pondera i controlli candidati rispetto ai vincoli operativi. La verifica riguarda, ad esempio, se l’introduzione di software antimalware o di scansioni in tempo reale interferisca con i processi critici dell’automazione, e se i controlli granulari desiderati – tali da impedire che un dispositivo compromesso di Livello 2 possa interagire con un controllore di Livello 1 senza superare verifiche di identità e autorizzazione in tempo reale – siano sostenibili sui diversi apparati. L’analisi conferma che ciò che è praticabile sulle sottostazioni primarie non lo è sulle secondarie, dove i protocolli legacy non supportano controlli di accesso granulari né gestione dell’identità.

La fase I consolida queste valutazioni nella matrice di allocazione (cfr. Tabella 1). Per HMI e server SCADA, NovaGrid prevede l’applicazione nativa dell’autenticazione a più fattori, della verifica della postura e del monitoraggio; tra apparati di pari livello impone confini logici e controlli di accesso stringenti per ostacolare il movimento laterale; per le connessioni remote di terze parti adotta una gestione centralizzata e sicura, valutando ogni tentativo di autenticazione al SCADA rispetto al policy engine. Per gli IED legacy, l’enforcement è delegato a un layer intermediario che offre un’interfaccia standardizzata verso i diversi protocolli e dispositivi, assicurando l’interoperabilità in attesa del dispiegamento della segnalazione digitale moderna nelle sottostazioni secondarie e della loro integrazione nell’architettura zero trust.

Infine, nella fase X, NovaGrid colloca questi interventi lungo una roadmap di maturità (cfr. Figura 5), partendo dalla messa in sicurezza degli asset a più alto rischio – engineering workstation, workstation operatore, historian – con controlli on-device, e procedendo per stadi successivi. L’organizzazione valuta che l’onere amministrativo e la complessità tecnica introdotti rientrino in soglie di rischio operativo accettabili, e riconosce esplicitamente che alcune sottostazioni secondarie potrebbero non essere adeguabili nel breve periodo, contabilizzandone il rischio residuo. Il risultato non è un impianto a prova di attacco, ma un sistema in cui la superficie d’attacco è ridotta, il movimento laterale è ostacolato, gli accessi critici sono verificati con continuità e ciò che resta scoperto è noto e monitorato.

Dallo scenario NovaGrid alla validazione di MATRIX

Lo scenario NovaGrid ha valore illustrativo. Nella sesta parte della serie l’autore sottopone MATRIX a tre verifiche più stringenti: la copertura rispetto agli standard, il confronto con i metodi esistenti e la rilettura dell’attacco alla rete elettrica ucraina del 2015. Il paper integrale «Zero Trust selettivo negli ambienti OT» è disponibile per il download.

Fonti:

[1] R. Brown, “Implementing Zero Trust in Operational Technology: A Practical Case Study,” SEI Insights (blog), Software Engineering Institute, Carnegie Mellon University, 16 giugno 2026.

https://www.ictsecuritymagazine.com/articoli/zero-trust-sottostazioni-elettriche-novagrid/