Introduzione

Un attacco informatico a infrastrutture critiche, come ad esempio una centrale elettrica o un ospedale, può far crollare l’intero sistema e influire sul benessere fisico delle persone e sulla loro capacità di gestire un’impresa o ottenere servizi di base come acqua, cibo o assistenza sanitaria.

Tutte le aziende oggi hanno sistemi informatici; anche i fornitori di servizi critici dispongono di sistemi OT (Tecnologie operative). La sicurezza informatica è spesso associata all’IT e spesso è guidata dall’IT con l’obiettivo di proteggere il flusso di dati nel mondo virtuale. Tuttavia, le infrastrutture critiche e l’ambiente automatizzato nelle fabbriche o nelle abitazioni con applicazioni domotiche hanno requisiti di sicurezza che fanno parte del mondo reale. Si affidano alle tecnologie operative (OT) per garantire la corretta esecuzione di azioni automatizzate come l’arresto di una valvola per evitare il flusso eccessivo di sostanze chimiche o l’attivazione di un generatore per evitare un blackout, o, in ambito domotico, la chiusura e l’apertura di una serratura, l’attivazione o il disinserimento di un sistema di allarme.

Con l’emergere dell’Internet delle cose (IoT – Internet of Things) industriale e l’integrazione di macchine fisiche con sensori e software collegati in rete, i confini tra IT e OT si stanno offuscando. Man mano che sempre più oggetti sono connessi, comunicano e interagiscono tra loro, c’è stato un aumento del numero di endpoint e di potenziali modi in cui i criminali informatici possono accedere a reti e sistemi infrastrutturali. Una strategia di sicurezza approfondita a più livelli deve affrontare sia l’ambiente IT che quello OT.

Gli standard internazionali IEC come ISO/IEC 27001 e IEC 62443, insieme ai test e alla certificazione (valutazione della conformità) sono strumenti importanti per un programma di sicurezza informatica olistico e di successo.

Il Comitato Tecnico Congiunto ISO/IEC JTC1 sviluppa la serie di Norme ISO/IEC 27000 che costituiscono la famiglia di standard per i sistemi informatici (IT). Il Comitato Tecnico IEC TC 65 è responsabile inoltre della serie di Norme IEC 62443 per la tecnologia operativa che si trova nelle infrastrutture industriali e critiche, inclusi, a titolo esemplificativo ma non esaustivo, i servizi energetici, i sistemi di gestione dell’acqua, l’assistenza sanitaria e i sistemi di trasporto.

Queste Norme orizzontali, note anche come “norme di base”, sono indipendenti dalla tecnologia e possono essere applicate in molte aree tecniche. Ad esse si affiancano le “norme tecniche verticali” scritte per soddisfare specifiche esigenze tecniche, ad esempio nel settore energetico, manifatturiero, sanitario o marittimo, tra gli altri. Diversi Comitati Tecnici (CT) e SottoComitati (SC) preparano standard internazionali che proteggano domini specifici e mantengano al sicuro le risorse dell’industria e delle infrastrutture critiche.

Tra queste serie di Norme, a titolo di esempio:

• per le utenze elettriche: CEI EN 61850 per reti di comunicazione e sistemi per l’automazione di utenze elettriche, CEI EN 60870 per apparecchiature e sistemi di telecontrollo, CEI EN 62351 sulla gestione dei sistemi di alimentazione e lo scambio di informazioni associate;
• per gli impianti nucleari: CEI EN 62645 sulla protezione dei sistemi informativi e di controllo a microprocessore nelle centrali nucleari, CEI EN 62859 per la gestione delle interazioni tra sicurezza e sicurezza informatica.

Ad esse si affiancano i requisiti di sicurezza informatica stabiliti dalla Direttiva RED 2014/53/EU per i prodotti radio e dal Regolamento Delegato (UE) 2022/30 che definisce l’applicabilità dei requisiti essenziali di cybersicurezza e la data di applicazione ai prodotti che è stabilità per il 1 agosto 2024. In tale ambito è rilevante inoltre il contributo delle norme sviluppate dall’ETSI (European Telecomunications Standards Institute).

Contesto del caso di studio

L’evoluzione del settore elettro-energetico verso nuove funzionalità di generazione distribuita e flessibilità richiede una sempre più permeante digitalizzazione dell’infrastruttura di monitoraggio e controllo.

Gli aspetti di cyber security rappresentano quindi una priorità che deve essere affrontata al fine di garantire una corretta operatività del sistema. Anche la regolamentazione del settore, sia a livello europeo che nazionale, pone attenzione ai rischi a cui sono soggette le infrastrutture di controllo dei sistemi energetici.

Nel contesto di attuazione a livello nazionale dei regolamenti europei [1] si è sviluppato il progetto normativo del “Controllore Centrale di Impianto” (CCI), parte integrante della Norma Tecnica CEI 0-16 “Regola tecnica di riferimento per la connessione di Utenti attivi e passivi alle reti AT ed MT delle imprese distributrici di energia elettrica” [2].

In particolare, negli Allegati O e T della Norma CEI 0-16 sono definiti i principali compiti e funzionalità per il monitoraggio e controllo degli impianti di Generazione Distribuita (GD) al fine di adempiere agli obblighi normativi di osservabilità e necessità di esercizio della rete e possibilità di accesso al Mercato dei Servizi di Dispacciamento.

CCI – Controllore Centrale di Impianto

Il CCI è un dispositivo che presenta al DSO (o altro operatore) l’impianto di generazione distribuita sotteso come costituito da un singolo “generatore equivalente” visto dal Punto di Connessione (PdC), permettendo però l’osservabilità dei diversi elementi che compongono l’impianto stesso. I principali compiti sono:

• regolazione e controllo: coordinare il funzionamento dei diversi elementi costituenti l’impianto affinché l’impianto stesso operi in maniera da soddisfare al punto di connessione con la rete le richieste del DSO e di eventuali altri operatori;
• scambio dati: raccogliere dall’impianto informazioni da inviare al DSO utili al fine dell’osservabilità della rete.

Il campo di applicazione del CCI si riferisce alle nuove connessioni di impianti di produzione di potenza nominale complessiva uguale o superiore a 1000 kW connessi alla rete di media tensione denominati SGU (Significant Grid User) afferenti al perimetro standard definito nella delibera ARERA 36/2020/R/EEL e alle nuove connessioni di impianti connessi alla rete di media tensione partecipanti ai servizi di dispacciamento, qualunque sia la loro potenza complessiva.

In relazione ai requisiti del Regolamento SOGL richiesti dalla delibera ARERA 36/2020/R/EEL le funzionalità, come riportato nell’allegato O della CEI 0-16, sono articolate in tre diverse tipologie:

• obbligatorie: funzionalità sempre presenti in ogni tipologia di CCI attinenti allo scambio dati fra produttore e DSO;
• opzionali: funzionalità aggiuntive che il CCI deve essere predisposto a svolgere a supporto del sistema elettrico, relative ai servizi di regolazione della tensione e di limitazione della potenza al PdC;
• facoltative: funzionalità la cui implementazione dipende dall’iniziativa del produttore, relative alla partecipazione dell’impianto al Mercato dei servizi del Dispacciamento e alla gestione ottimale dell’impianto

Il CCI deve rendere disponibile in maniera sicura un insieme di misure e stati relativi all’impianto. Al fine di garantire l’interoperabilità e la sicurezza delle comunicazioni la Norma identifica il protocollo di trasporto TCP/IP per lo scambio dei flussi informativi tra i soggetti e viene indicato il modello dati e i servizi definiti nella CEI EN 61850 e mappati sullo stack ISO/OSI tramite il protocollo MMS (Manufacturing Message Specification) per la realizzazione delle funzioni di comunicazione del CCI.

Le problematiche di “cybersecurity” devono essere tenute in debito conto sia per quanto riguarda le prescrizioni di sicurezza cyber del componente hardware sia in riferimento ai canali di comunicazione all’impianto nel suo complesso [3].

CEI EN 62443 e Controllore Centrale di Impianto

Per la messa in sicurezza dell’infrastruttura che comprende il Controllore Centrale d’Impianto viene richiesta la conformità ad alcune parti della serie CEI EN 62443.

In particolare l’Allegato O della CEI 0-16 richiede la certificazione di conformità allo standard CEI EN 62443-4-1 e allo standard CEI EN 62443-4-2. Più precisamente, la Norma richiede per la sicurezza del prodotto CCI la certificazione ISA Secure Embedded Device Security Assurance (EDSA) v3.0.0 di conformità alle Norme IEC 62443-4-1 “Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements” e IEC 62443-4-2 “Security for industrial automation and control systems – Part 4-2: Technical security requirements for IACS components”.

La nuova versione v3.0.0 del processo di certificazione EDSA prevede quattro livelli di garanzia (assurance). In funzione di questi, devono essere eseguite sul dispositivo CCI e sul relativo processo di sviluppo, le analisi secondo le seguenti direzioni:

• Valutazione del processo di sviluppo:
  • Valutazione del processo di sviluppo della sicurezza relativo al dispositivo, componente essenziale per l’analisi di conformità allo standard CEI EN 62443-4-1;
  • Valutazione degli output del processo di sviluppo della sicurezza funzionali al dispositivo.
• Valutazione del dispositivo:
  • Valutazione della sicurezza funzionale del dispositivo, componente essenziale per l’analisi di conformità a CEI EN 62443-4-2.
• Analisi di robustezza del dispositivo in termini di analisi della robustezza dei protocolli di comunicazione.

CEI EN 62443-4-1 Sicurezza per automazione industriale e sistemi di controllo – Parte 4-1: Prescrizioni per un ciclo di vita sicuro per lo sviluppo di un prodotto

Prendendo in considerazione la sicurezza del processo di sviluppo del CCI, in riferimento alla Norma CEI EN 62443-4-1 viene richiesto il livello minimo di maturità ML3, le prestazioni del costruttore del CCI devono, cioè, essere ripetibili in tutta l’organizzazione e i processi devono essere effettivamente praticati ed esistono prove per dimostrare che ciò è avvenuto. Obiettivo della norma è descrivere i requisiti del ciclo di vita relativo allo sviluppo del prodotto, in questo caso il CCI.

Per un periodo transitorio limitato è ammessa la certificazione di conformità alla Norma IEC 62443-4-1 con livello di maturità ML2

CEI EN 62443-4-2 Sicurezza dei sistemi di automazione industriale e di controllo – Parte 4-2: Requisiti tecnici di sicurezza per componenti IACS

Inoltre, il dispositivo CCI nel suo complesso richiede la certificazione di conformità alla Norma CEI EN 62443-4-2. Il livello minimo richiesto è dato dal vettore SL = (2,2,2,1,1,1,3). Il vettore di livelli di sicurezza SL si riferisce alle sette categorie di requisiti fondamentali della norma e risulta così esplicitato:

• Requisito FR1 – identificazione e autenticazione: livello minimo SL2
  • Identificare e autenticare tutti gli utenti (umani, processi software e dispositivi) da meccanismi che proteggono dall’accesso non autenticato intenzionale da parte di entità utilizzando mezzi semplici con scarse risorse, competenze generiche e scarsa motivazione.
• Requisito FR2 – utilizzo: livello minimo SL2
  • Limitare l’uso del dispositivo in base a privilegi specifici per proteggersi contro elusione da parte di soggetti che utilizzano mezzi semplici con scarse risorse, competenze generiche e bassa motivazione.
• Requisito FR3 – integrità del sistema: livello minimo SL2, mantenendo il livello SL1 per le porte locali verso il campo
  • SL2: Proteggere l’integrità del dispositivo contro la manipolazione da parte di qualcuno che utilizza semplici mezzi con scarse risorse, competenze generiche e scarsa motivazione;
  • SL1: Proteggere l’integrità del dispositivo da manipolazioni casuali.
• Requisito FR4 – confidenzialità dei dati: livello minimo SL1
  • Impedire la divulgazione non autorizzata di informazioni tramite intercettazioni o esposizione casuale.
• Requisito FR5 – flusso dati: livello minimo SL1
  • Impedire la segmentazione casuale dei canali di comunicazione.
• Requisito FR6 – risposta tempestiva agli eventi: livello minimo SL1
  • Monitorare il funzionamento dei componenti e rispondere agli incidenti quando rilevati, raccogliendo e fornendo le prove forensi quando richieste.
• Requisito FR7 – disponibilità delle risorse: livello minimo SL3
  • Garantire che il componente operi in modo affidabile in condizioni di normali, anomale ed estreme e prevenga situazioni di “denial of service” da parte di entità che utilizzano mezzi sofisticati con risorse moderate, competenze specifiche e motivazione moderata.

Gli aspetti che vengono maggiormente stressati si riferiscono alla disponibilità (SL3) e integrità e autenticazione (SL2), aspetti particolarmente rilevanti nel contesto di monitoraggio e controllo del sistema elettro-energetico.

Mapping con standard tecnici

La serie di Norme EN CEI 62443 è indipendente dalla tecnologia, infatti viene utilizzata in diversi settori verticali. Risulta quindi necessario individuare opportuni standard tecnici che permettano la specifica più dettagliata per l’implementazione dei requisiti pervisti nelle norme più ad alto livello, come è la serie EN CEI 62443. Per quanto riguarda il CCI nell’Allegato T della Norma CEI 0-16 sono indicate diverse parti e indicazioni relative alla serie EN CEI 62351 [4].

La serie EN CEI 62443 definisce il “cosa”, cioè quali requisiti devono essere soddisfatti per garantire la sicurezza, ma non il “come”. Questo è compito di standard tecnici specifici del dominio, nel caso dei sistemi di monitoraggio e controllo del sistema elettro-energetico e quindi del CCI la serie di Norme EN CEI 62351 [4] indica in maniera dettagliata, considerando i protocolli di comunicazione impiegati, quali misure debbano essere implementate per soddisfare i requisiti dati a più alto livello, ad esempio, dalla serie EN CEI 62443.

In Tabella 1 vengono riportati alcuni esempi di mapping tra i requisiti della serie EN CEI 62443 e le parti della serie EN CEI 62351 che ne descrivono gli aspetti tecnici ed implementativi.

Riferimenti bibliografici

[1] Regolamento Europeo 2017/1485 SOGL “System Operation Guideline”.

[2] CEI 0-16 “Regola tecnica di riferimento per la connessione di Utenti attivi e passivi alle reti AT e MT delle imprese distributrici di energia elettrica” Marzo 2022.

[3] G. Dondossola, R. Terruggia, M. G. Todeschini, G. Bianco, M. Modica “L’implementazione della cybersecurity per lo scambio dati con utenti attivi MT” L’Energia Elettrica marzo/aprile 2022, numero 2 – volume 99, pag. 11.

[4] IEC 62351 SER – Power systems management and associated information exchange – Data and communications security.