Zero trust nell’OT: la matrice MATRIX assegna i controlli agli asset industriali

• Quarta parte della serie sul framework MATRIX per lo zero trust selettivo nell'OT
• La matrice assegna le capability a ogni classe di asset: nativa, intermediata, compensativa o non praticabile
• Roadmap in cinque fasi, dalla baseline all'ottimizzazione
• Il rischio residuo sui dispositivi legacy va registrato, non nascosto

Il framework MATRIX, dedicato all’adozione selettiva dello zero trust negli ambienti OT (operational technology), arriva alla sua parte conclusiva. La quarta puntata della serie, pubblicata da ICT Security Magazine, descrive come le informazioni raccolte nelle fasi precedenti diventino priorità, matrice di allocazione e roadmap di maturità.

Risk & tradeoff: il compromesso con la continuità operativa

Nell’OT la sicurezza si scontra con disponibilità, safety, prestazioni e costi. Lo spazio dei compromessi (tradeoff space) è l’insieme delle soluzioni che bilanciano questi requisiti in tensione. Un controllo che introduce latenza inaccettabile, o che richiede fermi impianto incompatibili con il servizio, non risolve il problema: ne crea uno nuovo.

Per ogni controllo candidato si valuta quindi sia la riduzione del rischio sia gli effetti collaterali. Si combinano tre elementi: la criticità di missione dell’asset (fase M), il suo profilo di idoneità (fase A) e l’esposizione alle minacce (fase T). Ne nasce una graduatoria che indica dove investire per ottenere il maggior beneficio a parità di impatto operativo. La graduatoria non è statica e va riesaminata periodicamente.

La matrice di allocazione

La matrice incrocia, sulle righe, le classi di asset e, sulle colonne, le capability zero trust da dispiegare. Tra queste:

• gestione dell’identità e autenticazione a più fattori (MFA);
• microsegmentation;
• autorizzazione continua basata su policy;
• protezione crittografica e controlli di integrità;
• verifica della postura dei dispositivi;
• monitoraggio con registrazione centralizzata.

Ogni cella indica come la capability può essere realizzata, con quattro esiti: applicazione nativa sul dispositivo, applicazione mediata da un layer intermediario, controllo compensativo esterno oppure non praticabilità.

Nell’esempio illustrativo della fonte, HMI/workstation e server SCADA hanno quasi ovunque applicazione nativa. Gli IED moderni (livello 1) alternano nativo e intermediato. Gli IED/RTU legacy dipendono da un layer intermediario, con la postura del dispositivo non praticabile. Per i dispositivi di campo (livello 0) restano solo controlli compensativi su microsegmentation e monitoraggio. I valori sono esemplificativi e vanno determinati caso per caso.

Il layer intermediario può offrire un’interfaccia standardizzata verso protocolli e apparati eterogenei e fungere da punto di applicazione delle politiche. Dove nemmeno questo è possibile, si usano controlli compensativi: segmentazione rigorosa, monitoraggio passivo del traffico, restrizione fisica degli accessi. Il rischio residuo viene registrato esplicitamente.

Roadmap di maturità

La fase finale (Execution) prevede una progressione per stadi, non un dispiegamento simultaneo:

• Fase 0 – Baseline: inventario degli asset, segmentazione secondo il modello Purdue, visibilità iniziale.
• Fase 1 – Quick win: MFA, gestione degli accessi remoti, logging centralizzato.
• Fase 2 – Identità e microsegmentazione: confini logici tra apparati di pari livello, postura dei dispositivi.
• Fase 3 – Enforcement granulare: policy engine, autorizzazione continua, layer intermediario.
• Fase 4 – Ottimizzazione: automazione, metriche, rivalutazione e gestione del residuo.

Il monitoraggio continuo rende lo zero trust uno stato dinamico: ispezione e registrazione del traffico alimentano la rivalutazione periodica delle decisioni.

Il rischio residuo

Secondo il framework, alcuni impianti e dispositivi legacy possono non essere ragionevolmente adeguabili. Chi li mantiene in servizio deve contabilizzare il rischio e decidere, su base informata, se e quando sostituirli. MATRIX non promette protezione totale, ma una protezione «consapevole, tracciabile e proporzionata».

Nella quinta parte della serie il framework sarà applicato a NovaGrid, un operatore di distribuzione elettrica con sottostazioni digitali, apparati moderni e legacy. Il paper integrale «Zero Trust selettivo negli ambienti OT» è disponibile per il download.

Fonte: ICT Security Magazine · Foto: ICT Security Magazine