Datalit OT › Guide › IEC 62443

IEC 62443 spiegata semplice: lo standard per la sicurezza degli impianti

A cura del team tecnico Datalit · Lettura: 6 minuti

La IEC 62443 è la famiglia di standard internazionali dedicata alla sicurezza informatica dei sistemi di automazione e controllo industriale (IACS): PLC, DCS, SCADA, HMI e le reti che li collegano. È il riferimento più usato da produttori, integratori e gestori di impianti, e un buon punto di partenza anche per rispondere agli obblighi NIS2 sulla parte OT.

Perché serve uno standard dedicato

In un ufficio la priorità è proteggere i dati. In un impianto viene prima la disponibilità e la sicurezza delle persone e dei processi: un sistema non si può riavviare quando si vuole, un aggiornamento va provato, un antivirus aggressivo può rallentare un controllo in tempo reale. La IEC 62443 tiene conto di questi vincoli.

Chi fa cosa: tre ruoli

• Gestore dell'impianto (asset owner): definisce i rischi accettabili, gestisce e mantiene il sistema in esercizio.
• Integratore di sistema: progetta, installa e configura la soluzione nel rispetto dei requisiti. È il ruolo che Datalit svolge negli impianti.
• Produttore (product supplier): sviluppa componenti sicuri, come PLC, switch e software.

I concetti chiave

Zone

Gruppi di dispositivi con esigenze di sicurezza simili: per esempio la zona di controllo di una linea, la zona di supervisione, la zona uffici. All'interno di una zona i dispositivi si "fidano" tra loro.

Condotti

I canali di comunicazione tra le zone. Ogni condotto è controllato, in genere con un firewall, e lascia passare solo il traffico necessario. Un ransomware che entra negli uffici trova così la strada sbarrata verso il controllo.

Livelli di sicurezza (SL)

Ogni zona riceve un livello di sicurezza obiettivo, da SL 1 (protezione da errori e violazioni casuali) a SL 4 (protezione da attacchi sofisticati con molte risorse). Il livello si sceglie in base al rischio: non tutto l'impianto deve essere al massimo.

Requisiti di base

Lo standard organizza i requisiti in sette aree: identificazione e autenticazione, controllo d'uso, integrità del sistema, riservatezza dei dati, flussi di dati limitati, risposta tempestiva agli eventi, disponibilità delle risorse.

Le parti più usate

• IEC 62443-2-1: il programma di sicurezza del gestore dell'impianto.
• IEC 62443-3-2: analisi del rischio e suddivisione in zone e condotti.
• IEC 62443-3-3: requisiti di sicurezza del sistema per ogni livello SL.
• IEC 62443-4-1 e 4-2: sviluppo sicuro e requisiti dei singoli componenti, per i produttori.

Come si applica in pratica

1. Inventario di dispositivi e comunicazioni, meglio con un monitoraggio passivo che non disturba l'impianto.
2. Analisi del rischio e definizione di zone e condotti.
3. Livello SL obiettivo per ogni zona.
4. Interventi: segmentazione, firewall, accessi remoti controllati, hardening, backup delle configurazioni.
5. Mantenimento: monitoraggio continuo, gestione delle vulnerabilità e revisioni periodiche.

Datalit applica questi principi nei progetti di segmentazione e cyber remediation in centrali elettriche, raffinerie e opere idrauliche. Contattaci per valutare la tua rete d'impianto.

Leggi anche: Il modello Purdue · Monitoraggio passivo della rete OT