Articolo Pubblicazioni

Da ISA-99 a IEC 62443: come nasce lo standard per la sicurezza dei sistemi industriali

di · Pubblicato il 12 ottobre 2009

Abstract

Dal 2002 il comitato ISA99 dell’International Society of Automation lavora a una serie di norme sulla sicurezza dei sistemi di automazione e controllo industriale. Dopo il primo documento del 2007 su concetti e modelli, a gennaio 2009 è uscito quello sui programmi di sicurezza, e a luglio l’IEC ha pubblicato la specifica tecnica 62443-1-1. L’articolo spiega perché la sicurezza degli impianti richiede un approccio diverso da quello dei sistemi informativi aziendali, che cosa prevedono i documenti e come si applica il modello per zone e condotti.

Vincenzo Calabrò | Da ISA-99 a IEC 62443: come nasce lo standard per la sicurezza dei sistemi industriali
 

Impianti via via più connessi

Per decenni i sistemi di controllo degli impianti industriali, dalle reti elettriche alle raffinerie, dalle acque alle linee di produzione, sono stati isolati e basati su tecnologie proprietarie. Negli ultimi dieci anni la situazione è cambiata. I sistemi SCADA e DCS usano ormai computer con sistemi operativi commerciali, reti Ethernet e protocolli TCP/IP, e sono collegati alla rete aziendale per trasferire dati di produzione e permettere la manutenzione da remoto. La comodità ha un prezzo, perché le vulnerabilità dell’informatica tradizionale arrivano fino agli impianti.
Alcuni episodi lo hanno già mostrato. Nel 2003 il worm Slammer è entrato nella rete di una centrale nucleare statunitense, che in quel momento era ferma, e ha bloccato per ore un sistema di monitoraggio della sicurezza. Lo stesso anno il worm Blaster ha rallentato i sistemi di diverse aziende di servizi. Non si trattava di attacchi mirati, ma bastava un computer non aggiornato collegato alla rete sbagliata.

Perché le regole dell’IT sono insufficienti

Applicare agli impianti le stesse regole dei sistemi informativi aziendali non funziona, per alcune ragioni precise:
  • la priorità è la disponibilità e la sicurezza delle persone, mentre nell’IT viene di solito prima la riservatezza dei dati;
  • molti sistemi devono funzionare senza interruzioni per anni, e un riavvio per installare una patch può fermare la produzione;
  • i componenti hanno cicli di vita di quindici o vent’anni e girano su sistemi operativi che i produttori non aggiornano più;
  • i protocolli industriali sono nati senza autenticazione né cifratura;
  • un antivirus o una scansione di rete possono rallentare un sistema in tempo reale fino a renderlo inaffidabile.

Il lavoro del comitato ISA99

Il comitato ISA99 è nato nel 2002 per affrontare questi problemi con norme specifiche. Riunisce produttori di sistemi, utilizzatori, consulenti e enti pubblici. La serie prevista è articolata in più parti, che vanno dai concetti generali ai requisiti tecnici dei sistemi e dei componenti. I primi documenti sono:
  • ANSI/ISA-99.00.01-2007, che definisce terminologia, concetti e modelli, compreso il modello di riferimento a livelli dell’impianto;
  • ANSI/ISA-99.02.01-2009, pubblicato a gennaio, che descrive come costruire un programma di sicurezza per un sistema di automazione e controllo;
  • due rapporti tecnici sulle tecnologie di sicurezza disponibili e sul loro uso negli impianti.
Nel frattempo l’IEC, la Commissione elettrotecnica internazionale, ha avviato l’adozione dei documenti con il nome di serie 62443. A luglio è uscita la specifica tecnica IEC/TS 62443-1-1, che corrisponde alla prima parte di ISA99. L’obiettivo è avere un riferimento internazionale unico per produttori e utilizzatori.

Zone e condotti

Il concetto più utile introdotto da ISA99 è quello di zone e condotti. Una zona è un gruppo di componenti con gli stessi requisiti di sicurezza, per esempio i controllori di una linea di produzione o i server di supervisione. Un condotto è il canale di comunicazione fra due zone, come il collegamento tra la rete di controllo e la rete aziendale. La sicurezza si progetta definendo le zone, assegnando a ciascuna un livello di protezione adeguato ai rischi e controllando in modo rigoroso il traffico che attraversa i condotti, con firewall, zone demilitarizzate e regole che ammettono solo le comunicazioni necessarie.

Il programma di sicurezza

Il documento del 2009 descrive il programma di sicurezza come un sistema di gestione, sul modello di quelli già noti nell’IT ma adattato all’impianto. Gli elementi principali sono:
  1. l’analisi del rischio, che considera le conseguenze fisiche, ambientali ed economiche di un incidente;
  2. la definizione di ruoli e responsabilità, con il coinvolgimento sia dell’IT sia dei responsabili di produzione;
  3. le contromisure tecniche e organizzative, dalla segmentazione delle reti al controllo degli accessi, dalla gestione dei supporti rimovibili alla manutenzione da remoto;
  4. il monitoraggio, la gestione delle modifiche e il miglioramento continuo.

Il modello di riferimento

Il documento del 2007 propone anche un modello a livelli dell’impianto, che riprende quello già usato per integrare produzione e sistemi aziendali. In basso ci sono il processo fisico, i sensori e gli attuatori. Sopra si trovano il controllo di base, con PLC e controllori, la supervisione con le postazioni degli operatori e i server SCADA, la gestione delle operazioni di sito e infine la rete aziendale con i sistemi di pianificazione. Ogni livello ha esigenze diverse di disponibilità e di prestazioni, e il modello aiuta a disegnare le zone in modo coerente con l’architettura reale.
La distinzione fra livelli aiuta anche a stabilire chi decide. Le scelte sui livelli più bassi spettano ai responsabili di impianto e ai fornitori dei sistemi di controllo, quelle sulla rete aziendale all’IT. La sicurezza dell’insieme richiede che le due funzioni lavorino insieme, cosa che in molte aziende ancora non avviene.

Che cosa possono fare oggi le aziende

Anche senza attendere il completamento della serie, i gestori di impianti possono partire da alcuni passi concreti. Serve un inventario dei sistemi di controllo e delle loro connessioni, compresi i modem e gli accessi di manutenzione dimenticati. Conviene separare la rete di controllo da quella aziendale con una zona intermedia, limitare l’uso di chiavette USB e portatili esterni e definire con i fornitori come applicare gli aggiornamenti senza fermare la produzione. Sono misure semplici che riducono molto l’esposizione, in attesa di norme più dettagliate sui requisiti dei sistemi e dei componenti.
Un ultimo consiglio riguarda i contratti. Quando si acquista un nuovo sistema di controllo conviene chiedere al fornitore come gestisce le vulnerabilità, con quali tempi rilascia gli aggiornamenti, se li ha verificati sulla propria piattaforma e quali accessi da remoto richiede per la manutenzione. Inserire questi requisiti nei capitolati costa poco e orienta il mercato verso prodotti progettati con più attenzione alla sicurezza.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn