Datalit OT › Guide › Modello Purdue

Il modello Purdue: come separare uffici e impianto

A cura del team tecnico Datalit · Lettura: 5 minuti

Il modello Purdue è lo schema più usato per descrivere i livelli di una rete industriale, dal sensore in campo fino ai sistemi aziendali e a internet. Nato negli anni '90 per l'integrazione dei sistemi di produzione, oggi serve soprattutto a una cosa: decidere dove mettere i confini tra le diverse parti della rete.

I livelli

Livello 5Rete aziendale estesa e internet: cloud, sedi remote, servizi esterni

Livello 4Rete uffici: email, gestionale, ERP, PC degli impiegati

DMZ (3.5)Zona cuscinetto tra IT e OT: server di scambio dati, copie dello storico, accessi remoti, aggiornamenti

Livello 3Operazioni d'impianto: storico di processo (historian), MES, server di gestione

Livello 2Supervisione: SCADA, HMI, postazioni operatore

Livello 1Controllo: PLC, RTU, controllori

Livello 0Processo fisico: sensori, attuatori, motori, valvole

La regola d'oro: niente scorciatoie tra uffici e controllo

Il traffico non dovrebbe mai passare direttamente dal livello 4 (uffici) ai livelli 2 o 1 (supervisione e controllo). Tutto ciò che deve attraversare il confine passa dalla DMZ industriale, dove i dati vengono "parcheggiati" e prelevati, senza connessioni dirette.

Così, se un PC degli uffici viene infettato da un ransomware, l'attacco si ferma al confine e l'impianto continua a funzionare.

Gli errori che troviamo più spesso

Rete piatta: uffici, SCADA e PLC sulla stessa rete, magari sulla stessa VLAN.
Doppia scheda di rete: un PC di supervisione collegato sia alla rete uffici sia a quella di controllo, che di fatto unisce le due reti.
Accessi remoti diretti: router o software di assistenza che portano un fornitore dritto al livello 1.
Regole firewall "provvisorie" aperte per un intervento e mai richiuse.

Il modello oggi

Con cloud, sensori IoT e manutenzione predittiva, i dati salgono dal campo verso il cloud in modi che il modello originale non prevedeva. Il Purdue resta comunque utile come mappa di riferimento: si combina con l'approccio a zone e condotti della IEC 62443, che definisce come controllare ogni passaggio tra le zone.

Un primo controllo che puoi fare

Chiediti: un PC degli uffici può raggiungere direttamente una HMI o un PLC? Se la risposta è "sì" o "non lo so", la segmentazione è la prima cosa da sistemare.

Datalit progetta e realizza reti industriali segmentate con switch Hirschmann e Cisco e firewall FortiGate, in centrali elettriche, raffinerie e aziende manifatturiere. Contattaci per una verifica della tua rete.