CI Fortify impone l’isolamento fisico dei sistemi OT vitali

🛡️ Executive Summary

• CI Fortify chiede di identificare i sistemi OT indispensabili e predisporre punti capaci di separarli completamente dalle reti meno fidate.
• VLAN e MPLS non garantiscono isolamento: i servizi vitali richiedono infrastrutture dedicate, cifratura, data diode e piani operativi manuali.
• I piani devono essere graduati, testati periodicamente e verificati attraverso routing table, monitoraggio dei flussi e gestione protetta della rete.

L’Australian Signals Directorate ha pubblicato una nuova guida CI Fortify che definisce come le organizzazioni responsabili di infrastrutture critiche possano isolare i sistemi Operational Technology durante un attacco informatico o una fase di minaccia elevata. Il documento non considera sufficiente la normale segmentazione tra reti IT e OT: l’obiettivo finale è permettere ai servizi essenziali di continuare a funzionare anche dopo la completa disconnessione dalle reti aziendali, da Internet, dai fornitori e dalle infrastrutture condivise. La strategia coinvolge impianti energetici, acquedotti, trasporti, telecomunicazioni e sistemi industriali, ma richiede anche procedure manuali, capacità locali, comunicazioni di emergenza e verifiche periodiche dell’effettiva separazione.

CI Fortify parte dai servizi essenziali e non dagli apparati

Il primo passaggio consiste nell’identificare il numero minimo di sistemi, reti e servizi abilitanti necessario per continuare a erogare una funzione critica. L’inventario non deve limitarsi a PLC, sistemi SCADA, sensori e workstation ingegneristiche, ma includere autenticazione, DNS, DHCP, sincronizzazione temporale, backup, storage, virtualizzazione, alimentazione elettrica, gruppi elettrogeni, raffreddamento e sicurezza fisica. La dipendenza da una sola componente IT condivisa può infatti rendere impossibile l’isolamento dell’OT senza provocare l’arresto dell’impianto. Questo principio amplia il tradizionale modello di segmentazione descritto nella guida alla sicurezza industriale ICS e OT, perché obbliga l’organizzazione a collegare ogni asset alla funzione operativa realmente sostenuta. Devono essere identificati anche i clienti critici dipendenti dal servizio, come ospedali, installazioni militari, reti di emergenza e altre utility, definendo livelli minimi misurabili di erogazione, qualità, disponibilità e recupero. Un operatore elettrico può stabilire la potenza minima da garantire, mentre un gestore idrico deve determinare portata, pressione e qualità dell’acqua sostenibili durante il funzionamento isolato. Solo dopo questa classificazione è possibile suddividere host e reti in zone caratterizzate da livelli omogenei di criticità, fiducia ed esposizione alla minaccia. Il criterio non è quindi isolare tutto indiscriminatamente, ma costruire un nucleo vitale capace di funzionare indipendentemente dal resto dell’organizzazione.

Ogni collegamento OT deve avere un punto di interruzione

Dopo aver identificato i sistemi vitali, gli operatori devono mappare tutte le connessioni che attraversano il perimetro OT. L’elenco comprende reti aziendali, accessi remoti dei fornitori, collegamenti di manutenzione, ambienti cloud, connessioni Internet, reti mobili, collegamenti radio, satellitari, Wi-Fi e interdipendenze con altre infrastrutture critiche. Per ogni flusso devono essere registrati proprietario, provider, protocollo, applicazione, direzione del traffico, requisiti di disponibilità, Recovery Point Objective e Recovery Time Objective. Devono essere mantenuti aggiornati anche diagrammi architetturali, configurazioni di firewall, router e VPN, oltre ai contatti di emergenza delle terze parti. La necessità deriva dal fatto che gli attori ostili sfruttano frequentemente dispositivi esposti, credenziali remote e connessioni dei fornitori per raggiungere ambienti industriali, come dimostrano gli attacchi contro PLC Rockwell nelle infrastrutture critiche.

La semplice conoscenza del collegamento non basta: ogni connessione deve corrispondere a un punto tecnico nel quale il traffico possa essere bloccato rapidamente e in modo prevedibile. CI Fortify distingue inoltre tra separazione fisica e isolamento. La prima richiede infrastrutture indipendenti, mentre il secondo rappresenta la capacità operativa di disconnettere i sistemi e continuare a erogare il servizio. Una rete può essere separata sulla carta ma non realmente isolabile se dipende da Active Directory, storage, hypervisor o apparati di rete condivisi con l’ambiente corporate. La guida ufficiale CI Fortify per l’isolamento dei sistemi vitali chiede quindi di integrare i punti di interruzione nell’architettura prima dell’incidente, evitando di improvvisare modifiche di routing durante una crisi.

L’isolamento fisico resta il livello di protezione più efficace

Secondo l’ASD, la separazione fisica completa dei sistemi OT vitali rappresenta la forma di protezione più efficace. Per essere realmente indipendente, una rete critica non deve condividere con le reti meno fidate switch, router, ripetitori, multiplexing, server, hypervisor o altre risorse attive. Anche UPS, generatori, raffreddamento e controlli degli accessi fisici devono essere amministrati dal dominio più sicuro e non da sistemi corporate esposti. La guida riconosce però che l’air gap completo non è sempre compatibile con infrastrutture distribuite, servizi Internet-facing e impianti che dipendono da comunicazioni geografiche.

In questi casi sono raccomandati collegamenti dedicati, come coppie di fibra separate o lunghezze d’onda CWDM riservate ai sistemi vitali. Quando occorre utilizzare reti di operatori telefonici o provider, il collegamento deve essere considerato non fidato e potenzialmente ostile. La cifratura non dovrebbe essere affidata alle funzioni integrate nei dispositivi industriali, ma a apparati dedicati collocati sul confine della rete critica. Per i servizi Layer 2 possono essere utilizzate tecnologie come MACsec, mentre i collegamenti Layer 3 possono essere protetti mediante IPsec, GETVPN o DMVPN, assicurando che dall’interfaccia esterna transitino soltanto pacchetti appartenenti al tunnel cifrato. L’accesso amministrativo agli apparati deve provenire esclusivamente da workstation privilegiate interne al dominio OT. Quando il trasferimento di dati deve continuare anche durante l’isolamento, la guida indica data diode e soluzioni cross-domain, che possono imporre flussi unidirezionali o mediare lo scambio tra domini con livelli di fiducia differenti. Questi strumenti richiedono però progettazione specialistica: una data diode configurata male può interrompere handshake necessari e compromettere l’integrità operativa del processo industriale.

VLAN e MPLS non equivalgono alla separazione delle reti critiche

CI Fortify avverte che controlli amministrativi come VLAN, MPLS, access control list, route map e black hole routing offrono una segmentazione utile, ma non devono essere considerati equivalenti all’isolamento fisico o crittografico. Le VLAN operano sulla stessa infrastruttura e dipendono dall’integrità delle configurazioni e del control plane; un aggressore con privilegi sugli apparati può modificarle, propagare nuove rotte o riaprire connessioni precedentemente bloccate. Per questo motivo dovrebbero essere utilizzate soprattutto all’interno dello stesso dominio di sicurezza e come misura transitoria verso architetture più robuste. Le configurazioni non devono propagarsi automaticamente, i trunk 802.1Q devono autorizzare soltanto le VLAN necessarie e la VLAN nativa deve essere sostituita con un identificativo inutilizzato e disabilitato. Le zone Internet-facing e le DMZ non dovrebbero condividere switch o collegamenti fisici con l’OT. Anche MPLS non garantisce riservatezza o separazione per impostazione predefinita: quando trasporta traffico OT e IT sulla stessa rete del provider, il confine industriale deve aggiungere cifratura e filtri capaci di impedire qualsiasi comunicazione estranea al tunnel autorizzato. Il rischio riguarda inoltre piattaforme SD-WAN, orchestratori di rete e sistemi Network as Code, la cui compromissione può consentire a un attore ostile di modificare contemporaneamente numerosi punti di controllo. La minaccia è concreta soprattutto quando i dispositivi di frontiera presentano vulnerabilità sfruttabili, come negli attacchi globali contro router Cisco SD-WAN. Il piano di isolamento deve quindi proteggere anche l’infrastruttura che applica la separazione: management plane, credenziali amministrative, console, automazioni e accessi out-of-band diventano parte del sistema vitale.

Il distacco deve essere graduato ma arrivare alla separazione totale

La guida raccomanda un piano di isolamento progressivo, collegato a criteri di attivazione definiti prima dell’incidente. In uno scenario applicato a una rete elettrica, la prima fase può disabilitare l’accesso remoto dei lavoratori attraverso jump host collocati nella rete intermedia; la seconda elimina gli accessi OT disponibili dagli uffici locali; la terza interrompe tutte le connessioni tra IT e OT; la quarta separa i collegamenti meno importanti con reti industriali peer; la quinta isola completamente l’ambiente OT e i sistemi vitali. Ogni passaggio riduce la superficie d’attacco ma produce conseguenze operative crescenti, perciò deve essere coordinato con responsabili di impianto, fornitori, altre utility e soggetti dipendenti dal servizio. L’isolamento può interrompere telemetria, manutenzione remota, gestione documentale, aggiornamenti e processi automatici, costringendo il personale a usare procedure manuali per un periodo prolungato. Il piano deve essere testato nella sua interezza e non soltanto su un singolo impianto, perché molte dipendenze emergono esclusivamente quando più sistemi vengono disconnessi contemporaneamente. Una copia offline e cartacea delle procedure deve restare disponibile nel caso in cui repository, intranet e sistemi documentali risultino irraggiungibili. Dopo il distacco, gli operatori devono verificare routing table, route statiche, aggiornamenti delle adiacenze e flussi di rete per accertare che non esistano collegamenti residui o ricreati accidentalmente. Il monitoraggio deve proseguire per tutta la durata dell’isolamento attraverso sensori locali, SIEM on-premises e test di raggiungibilità tra reti critiche e non critiche. La separazione introduce infine nuovi rischi: sistemi non aggiornati, minore visibilità esterna e maggiore uso di supporti rimovibili, che possono attraversare l’air gap portando malware. L’isolamento non è quindi uno spegnimento d’emergenza, ma una modalità operativa autonoma che deve essere progettata, esercitata e mantenuta come parte della continuità del servizio.