Serie IEC 62443

La serie IEC 62443 è un insieme di norme riconosciute a livello internazionale, sviluppate per affrontare la cybersecurity dei sistemi di Automazione Industriale e di Controllo (IACS). Fornisce un quadro completo e basato sul rischio per la protezione degli ambienti industriali lungo tutto il loro ciclo di vita, dalla progettazione e implementazione fino all’esercizio e alla manutenzione.
A differenza dei tradizionali standard di sicurezza IT, la IEC 62443 è specificamente adattata alle esigenze e ai vincoli dei sistemi industriali, nei quali disponibilità, sicurezza (safety) e affidabilità sono fattori critici. Lo standard adotta un approccio di difesa in profondità (defense-in-depth) e definisce ruoli e responsabilità per i diversi stakeholder, tra cui proprietari degli asset, system integrator e fornitori di prodotti.

Il tema della sicurezza OT è sempre più discusso tra i professionisti che si occupano di macchine e process safety. Di seguito sono riportati alcuni esempi recenti di attacchi informatici a reti OT.

Il 1° settembre 2025, il costruttore automobilistico britannico Jaguar Land Rover (JLR) è stato colpito da un grave attacco informatico che ha causato una quasi completa interruzione delle operazioni di produzione a livello globale. L’incidente ha interessato sia i sistemi IT sia i sistemi OT/di produzione automatizzati ed è stato ampiamente descritto come uno degli episodi di cyber-security più dirompenti nel settore manifatturiero del Regno Unito.

Il 7 maggio 2021, l’operatore statunitense di oleodotti per il trasporto di carburanti Colonial Pipeline ha individuato un’intrusione informatica che lo ha costretto a spegnere i propri sistemi di tecnologia operativa (OT), causando diffuse carenze di carburante lungo la costa orientale degli Stati Uniti.
L’attacco ha colpito direttamente un’infrastruttura critica (la distribuzione di energia), forzando un arresto completo delle operazioni (un esito raro per attacchi ransomware) e mettendo in evidenza gravi lacune di cybersecurity negli ambienti OT/ICS interconnessi con le reti IT. Gli aggressori hanno ottenuto l’accesso tramite un account VPN compromesso privo di autenticazione a più fattori (MFA). L’arresto delle operazioni si è verificato il 7 maggio 2021 ed è proseguito per diversi giorni. Colonial Pipeline ha pagato circa 4,4 milioni di dollari in Bitcoin agli attaccanti poco dopo l’incidente; successivamente, le autorità statunitensi sono riuscite a recuperare circa 2,3 milioni di dollari del riscatto.

Con l’accelerazione della trasformazione digitale nei settori industriali, la distinzione tra la sicurezza delle Information Technology (IT) e quella delle Operational Technology (OT) è diventata sempre più importante. Sebbene entrambi i domini mirino a proteggere i sistemi dalle minacce informatiche, essi differiscono in modo sostanziale per finalità, tolleranza al rischio e priorità operative. Comprendere queste differenze è essenziale per progettare strategie di cybersecurity efficaci negli ambienti industriali moderni.

Nel suo principio fondamentale, la sicurezza IT si concentra sulla protezione delle informazioni. Il suo obiettivo principale è quindi garantire riservatezza, integrità e disponibilità dei dati, spesso indicate come la triade CIA. I sistemi IT gestiscono dati aziendali quali e-mail, registrazioni finanziarie, informazioni sui clienti e applicazioni enterprise. Una violazione in ambito IT comporta generalmente perdita di dati, danni reputazionali o sanzioni normative.

Al contrario, la sicurezza OT è incentrata sulla protezione dei processi fisici. I sistemi OT controllano e monitorano operazioni industriali come linee di produzione, produzione di energia, trattamento delle acque e sistemi di trasporto. In questi contesti, disponibilità e sicurezza sono fondamentali. Un incidente di cybersecurity in ambito OT può causare danni fisici, impatti ambientali o persino perdita di vite umane, rendendo le conseguenze potenzialmente molto più gravi rispetto ai sistemi IT tradizionali.

IT e OT differiscono notevolmente anche in termini di priorità dei tre aspetti chiave dei sistemi elettronici:

• • Disponibilità
  • Riservatezza
  • Integrità

Una delle differenze principali tra la sicurezza IT e OT riguarda il modo in cui viene trattata la disponibilità dei sistemi. Negli ambienti IT, i tempi di inattività, sebbene indesiderabili, sono spesso accettabili se consentono di applicare patch di sicurezza o ripristinare i sistemi in modo sicuro. Negli ambienti OT, invece, il downtime può fermare la produzione, danneggiare le apparecchiature o mettere in pericolo il personale.

Di conseguenza, la sicurezza OT dà priorità alla continuità operativa e alla stabilità del sistema, talvolta anche a scapito dell’applicazione immediata delle patch di sicurezza. Questo contrasta con gli ambienti IT, nei quali aggiornamenti frequenti e cambiamenti rapidi sono prassi standard.

L’obiettivo principale della serie IEC 62443 è fornire un quadro flessibile che consenta di affrontare le vulnerabilità attuali e future relative agli IACS (Industrial Automation and Control Systems) e di applicare le necessarie misure di mitigazione in modo sistematico e difendibile. È importante comprendere che l’intento della serie IEC 62443 è quello di costruire estensioni alla sicurezza enterprise, adattando i requisiti dei sistemi IT aziendali e combinandoli con le esigenze specifiche di elevata disponibilità richieste dagli IACS.

Il termine “Industrial Automation and Control Systems” (IACS) comprende i sistemi di controllo utilizzati negli impianti e nelle strutture di produzione e di processo, i sistemi di controllo ambientale degli edifici, le operazioni geograficamente distribuite come i servizi di pubblica utilità (ad esempio elettricità, gas e acqua), gli oleodotti e le infrastrutture per la produzione e la distribuzione del petrolio, nonché altri settori e applicazioni, come le reti di trasporto, che utilizzano asset automatizzati oppure controllati o monitorati da remoto.

[IEC 62443-1-1: 2009] 3 Terms, definitions and abbreviations

3.2.57 sistemi di automazione e controllo industriale – IACS

insieme di personale, hardware e software in grado di influenzare o incidere sul funzionamento sicuro, protetto e affidabile di un processo industriale.

NOTA Questi sistemi includono, a titolo esemplificativo ma non esaustivo:

  sistemi di controllo industriale, tra cui sistemi di controllo distribuito (DCS), controllori logici programmabili (PLC), unità terminali remote (RTU), dispositivi elettronici intelligenti, sistemi di supervisione, controllo e acquisizione dati (SCADA), sistemi elettronici di misura e controllo in rete, nonché sistemi di monitoraggio e diagnostica.
(In questo contesto, i sistemi di controllo di processo includono le funzioni di controllo di processo di base e i sistemi strumentati di sicurezza (SIS), indipendentemente dal fatto che siano fisicamente separati o integrati.)

sistemi informativi associati, quali sistemi di controllo avanzato o multivariabile, ottimizzatori online, sistemi dedicati di monitoraggio delle apparecchiature, interfacce grafiche, archivi storici di processo (process historians), sistemi di esecuzione della produzione (MES) e sistemi di gestione delle informazioni di impianto.

interfacce interne associate, umane, di rete o macchina, utilizzate per fornire funzionalità di controllo, sicurezza e supporto alle operazioni di produzione per processi continui, batch, discreti e altri tipi di processo.

Con il termine “sicurezza” qui si intende la prevenzione di penetrazioni illegali o indesiderate, di interferenze intenzionali o non intenzionali con il corretto e previsto funzionamento, oppure di accessi inappropriati a informazioni riservate negli IACS.

La cybersecurity, che rappresenta l’obiettivo specifico di questa specifica tecnica, comprende computer, reti, sistemi operativi, applicazioni e altri componenti programmabili e configurabili del sistema.

Il pubblico di riferimento della serie IEC 62443 include tutti gli utilizzatori di IACS (compresi i settori di esercizio degli impianti, manutenzione, ingegneria e le componenti corporate delle organizzazioni degli utenti), i produttori, i fornitori, le organizzazioni governative coinvolte o influenzate dalla cybersecurity dei sistemi di controllo, i professionisti dei sistemi di controllo e gli esperti di sicurezza.

Poiché la comprensione reciproca e la cooperazione tra le organizzazioni di Information Technology (IT) e quelle operative, di ingegneria e di produzione sono fondamentali per il successo complessivo di qualsiasi iniziativa di sicurezza, questa specifica tecnica costituisce inoltre un riferimento per i responsabili dell’integrazione tra IACS e le reti aziendali (enterprise).