Il modello castello e fossato: come pensa (e fallisce) la cybersecurity OT classica

Se avete mai parlato con un ingegnere di cybersecurity di come proteggere un impianto industriale, probabilmente avete sentito l'espressione "modello castello e fossato" (castle-and-moat). È una delle analogie più antiche — e più utili — del settore per spiegare, senza gergo tecnico, come sono state tradizionalmente protette le reti industriali (OT). Ed è anche l'analogia perfetta per spiegare perché quella protezione, da sola, non basta più.

L'idea originale: un solo grande muro

Un castello medievale si difendeva con una logica semplice: un alto muro perimetrale, un fossato tutt'intorno, un unico cancello sorvegliato. Tutto ciò che stava dentro era considerato "fidato"; tutto ciò che stava fuori era ostile. Se il muro reggeva, l'interno era al sicuro.

Per decenni, le reti OT (i sistemi che controllano PLC, SCADA, robot e linee di produzione) sono state progettate esattamente così:

• Il muro è il firewall perimetrale tra la rete di impianto (OT) e la rete aziendale (IT).
• Il fossato è la separazione fisica o logica che rende più difficile l'accesso diretto dall'esterno.
• Il cancello sorvegliato è l'unico punto di accesso remoto, di solito una VPN o un jump server.
• L'interno del castello è l'intera rete di impianto: PLC, HMI, storici dati — tutto trattato come "zona fidata" una volta entrati.

Questa logica ha funzionato ragionevolmente bene finché le reti OT erano fisicamente isolate ("air-gapped") e nessuno dall'esterno aveva bisogno di accedervi. Il problema è che questa premessa non è più vera da oltre dieci anni.

Perché il castello a un solo muro non protegge più

Il modello a perimetro unico ha un difetto strutturale: una volta superato il muro, si ha accesso a tutto. E oggi ci sono molti più modi per superarlo rispetto a quando è stato progettato:

• Un fornitore esterno si collega con il proprio portatile per assistere una macchina — e quel portatile è già infetto.
• Un dipendente collega una chiavetta USB con un aggiornamento firmware che porta con sé malware senza saperlo.
• Una VPN di manutenzione remota è stata aperta anni fa e nessuno l'ha più controllata da allora.
• La convergenza IT/OT (spinta da Industria 4.0, manutenzione predittiva, dashboard cloud) moltiplica i punti di connessione tra rete aziendale e impianto.

In tutti questi casi, l'attaccante non scavalca il muro dall'esterno: è già dentro il fossato, e il modello castello-e-fossato non ha alcuna risposta a questo. È lo stesso motivo per cui l'IT sta migrando da anni verso modelli "zero trust" — con la differenza che in OT non si può applicare zero trust allo stesso modo: un PLC del 2008 non può autenticarsi con certificati moderni, e un fermo non pianificato causato da un incidente di sicurezza può costare molto più che su un server d'ufficio.

La traduzione reale: zone e condotti (IEC 62443)

Qui l'analogia smette di essere una bella metafora e diventa ingegneria applicata. La norma IEC 62443 — lo standard di riferimento per la cybersecurity nei sistemi di automazione e controllo industriale — non propone "un muro più grande". Propone tanti muri più piccoli, organizzati per criticità.

In termini di castello: invece di un unico perimetro esterno, si hanno un cortile esterno, una cinta muraria interna, un mastio — e ogni anello ha il proprio cancello e il proprio livello di sorveglianza. In termini IEC 62443, questo si chiama segmentazione in zone e condotti:

• Zone: gli asset vengono raggruppati per funzione e criticità — la rete di un PLC di sicurezza funzionale non è la stessa cosa della rete di una stampante di etichette. Ogni zona ha il proprio Security Level target (SL da 1 a 4).
• Condotti: ogni comunicazione tra zone passa attraverso un punto controllato e verificato — nessun traffico libero solo "perché siamo già dentro il castello".
• Difesa in profondità: se un attaccante compromette una zona, la segmentazione limita il movimento laterale verso le zone più critiche — il cortile esterno può cadere senza che cada il mastio.

Questo non elimina il perimetro (il muro esterno resta necessario), ma smette di essere l'unica linea di difesa. La domanda non è più "il muro regge?", ma "se il muro cade, cosa può raggiungere l'attaccante?"

Cosa significa in un audit reale

Quando facciamo l'audit di un impianto, la domanda che conta davvero non è se avete un firewall (quasi tutti ce l'hanno), ma:

1. La rete di impianto è segmentata per zone di criticità reale, o è un'unica rete piatta con un firewall all'ingresso?
2. C'è visibilità su cosa comunica tra le zone, o si assume che "tutto ciò che è interno è fidato"?
3. Gli accessi remoti (fornitori, manutenzione) passano per un condotto verificato, o è una VPN aperta dal 2015?
4. Gli asset più critici — quelli che fermano la produzione o mettono a rischio le persone — sono nella zona con il livello di sicurezza più alto, o mescolati con tutto il resto?

Un castello a un solo muro costa meno da costruire. Ma quando cade, cade tutto intero. Un impianto segmentato in zone e condotti costa di più da progettare — ma quando qualcosa va storto, cade una zona, non l'intero impianto.

Se volete sapere a che punto di questo spettro si trova il vostro impianto, è esattamente ciò che valutiamo in un audit IEC 62443: non se avete un muro, ma quanti muri avete e dove sono posizionati.