AO_440

Tutorial AUTOMAZIONE OGGI 108 | SETTEMBRE 2022 AUTOMAZIONE OGGI 440 standard IEC 62443. Nelle revisioni più re- centi, questo standard si è allontanato sem- pre più dalla struttura gerarchica verticale a favore di una suddivisione più elastica in ter- mini di zone e condotti . Le zone ( Zones ) sono raggruppamenti ben delimitati di dispositivi e sottosistemi adiacenti e caratterizzati da una comunanza in termini di tecnologia e di requisiti di sicurezza. I condotti ( Conduits ) sono i canali di comunicazione tra le zone e forniscono un punto preciso in cui monito- rare il flusso di dati da e verso una determi- nata zona. La ratio dietro questa segmentazione è quella di rendere possibile una suddivisione granu- lare del sistema in sottogruppi di dispositivi che nel loro contesto di utilizzo offrono vul- nerabilità simili, e proteggerli localmente nella maniera più appropriata. Ogni zona è caratte- rizzata da un livello di sicurezza obiettivo che deve essere condiviso da tutti i suoi elementi; se si vuole aggiungere un nuovo elemento, questo deve essere dotato di un grado di pro- tezione almeno pari a quello della zona di de- stinazione. In alternativa, il dispositivo meno sicuro può essere incluso in una zona di livello compatibile e connessa alla zona più protetta per mezzo di un condotto che innalzi (ad esempio introducendo un firewall) il livello di sicurezza. Questa ‘zonificazione granulare’ si può accompagnare agli altri strumenti di seg- mentazione del sistema, come l’uso di Proxy e la creazione di una o più DMZ. Un approccio ancora più orientato all’evolu- zione delle reti di controllo verso soluzioni ibride che incorporano tecnologie cloud, IoT e di Edge Computing è stato codificato nella Special Publication 800-207 del Nist riferito al concetto di architettura Zero Trust (ZTA). A differenza degli approcci tradizionali che si basano sulla creazione di perimetri di sicu- rezza, all’interno dei quali le comunicazioni tra nodi sono ritenute implicitamente sicure, la filosofia Zero Trust considera tutte le co- municazioni come compromesse e richiede una verifica di autenticità e integrità caso per caso basata sul particolare contesto. Tutti gli accessi sono soggetti a un’autenticazione rigorosa che applica policy di sicurezza spe- cifiche sulla base delle credenziali e della po- sizione dell’utente, del dispositivo del quale si richiede l’accesso, del tipo di dati in tran- sito e altro ancora, in quella che può essere considerata una microsegmentazione a livello software. Stabilire e mantenere la sicurezza Che sia implementata in hardware o in soft­ ware, la segmentazione del sistema agevola il processo di identificazione dei rischi alla sicurezza e aiuta a decidere quale tipo di con- tromisure (‘controlli’) adottare per mitigarli. Identificazione e protezione sono i primi due passi di un più generale programma di sicurezza che ogni azienda deve pianificare, implementare e costantemente rivedere. Il CyberSecurity Framework (CSF) messo a punto da Nist riassume in cinque punti le ope- razioni richieste a un sistema di cybersecurity affinché possa garantire la confidenzialità, integrità e disponibilità delle informazioni digitali: identify, protect, detect, respond e recover. Identificare e proteggere sono i due passi da seguire prima dell’eventualità di un attacco informatico e si inquadrano nell’am- bito della stesura di una strategia di sicurezza Nello standard ISA/IEC 62443 si privilegia il meccanismo di segmentazione della rete sulla base di zone e condotti