IEC 62443 & RTLS — OT cybersecurity.
RTLS è una tecnologia operativa. Funziona insieme ai tuoi PLC, SCADA, MES e Historian, e il suo compromesso può ripercorrersi in produzione.
IEC 62443 è il framework che la maggior parte dei team OT aziendali utilizza per definirlo e proteggerlo. Questo è il riassunto a livello operatore.
Il modello Purdue e dove vive RTLS
IEC 62443 eredita la Purdue Enterprise Reference Architecture: un modello a livelli in cui il Livello 0 è per sensori/attuatori, il Livello 1 per il controllo di base,
il Livello 2 per la supervisione (HMI), il Livello 3 per le operazioni di produzione (MES) e per il Livello 4–5 per l'IT aziendale.
I componenti RTLS operano su più livelli: ancoraggi e gateway a L1-L2, piattaforma di localizzazione a L3, analytics e reporting a L4. L'architettura deve rispettare i condotti tra queste zone.
Livelli di sicurezza — SL 1 fino a SL 4
IEC 62443 definisce quattro Livelli di Sicurezza per capacità dell'attaccante: SL 1 contro l'uso improprio casuale, SL 2 contro attacchi intenzionali non sofisticati, SL 3 contro attacchi specificamente mirati sofisticati, SL 4 contro attacchi sofisticati a risorse estese.
La maggior parte delle implementazioni industriali di RTLS mira a SL 2 su tutta la piattaforma, con SL 3 per i livelli di gestione e integrazione. Raggiungere questi obiettivi richiede sia la capacità del fornitore sia le scelte di progettazione del deployment.
Zone, condotti e ciò che li attraversa
Ogni architettura IEC 62443 definisce zone (raggruppamenti logici di apparecchiature con requisiti di sicurezza comuni) e condotti (i percorsi di comunicazione controllati tra di essi).
Per RTLS ciò tipicamente significa: una zona di ancoraggio dedicata a RTLS a L1-L2, una zona di analisi a L3 e condotti espliciti monitorati verso MES, WMS e storico.
Il traffico cross-zone utilizza protocolli autenticati e criptati con una lista di permessi rigorosa — non reti piatte.
Gestione delle patch, distribuzione sicura e ciclo di vita
IEC 62443 richiede una sicurezza continua durante tutto il ciclo di vita del deployment, non solo al passaggio di consegne.
Ciò significa processi documentati di gestione delle patch, impostazioni di vendor sicure per default, valutazione periodica delle vulnerabilità e manuali di risposta agli incidenti specifici per OT (dove 'staccare' raramente è una risposta accettabile).
Questi sono progettati come parte delle fasi 1 e 3 del Metodo di Programma TRACIO.
Domande frequenti
Serve la certificazione IEC 62443 o solo l'allineamento?
La maggior parte delle imprese punta all'allineamento IEC 62443 con pratiche di progettazione e operative documentate — non con la certificazione formale.
La certificazione formale (tipicamente 62443-4-1 per i prodotti o 62443-2-1 per i processi) è richiesta solo in contesti regolamentati specifici (alcune infrastrutture critiche, altre di difesa).
L'allineamento è sufficiente per la stragrande maggioranza delle implementazioni industriali.
Quale livello di sicurezza dovremmo mirare?
SL 2 per la maggior parte degli RTLS industriali, SL 3 per i livelli di gestione e integrazione e per implementazioni in infrastrutture critiche o con profili di minaccia elevati. Ti aiutiamo a definire il livello appropriato per zona al gate 1, in collaborazione con il tuo CISO.
Come influisce questo sulla selezione dei fornitori?
In modo significativo. I fornitori che non riescono a spiegare il proprio ciclo di vita dello sviluppo della sicurezza (tipicamente compatibile 62443-4-1) escludono dalla shortlist.
La maggior parte dei fornitori enterprise RTLS ora è presente, ma la verifica non è banale — la eseguiamo durante la valutazione dei fornitori.
Possiamo adattare l'allineamento IEC 62443 a una distribuzione esistente?
Sì, ma più costoso che progettarlo dentro. Il retrofit di solito significa risegmentare la rete, ri-chiavi dei certificati dei dispositivi, rafforzare le configurazioni delle piattaforme e ricostruire le procedure di risposta agli incidenti.
Facciamo questo lavoro come parte di Programma di salvataggio Fidanzamenti.
Ultimo aggiornamento: