ETD

• Cybersecurity
• IEC62443
• Nuovo Regolamento Macchine
• Operational Technology
• OT

This thesis documents the design of a secure OT (Operational Technology) network architecture for the control system of a Toscotec S.p.A. tissue machine, developed according to the IEC 62443 international standard, specifically conceived for the cybersecurity of industrial automation and control systems. This work is set against a backdrop of increasing exposure of OT systems to cyber threats, driven by the progressive erosion of the physical isolation (air gap) that protected these environments for decades, combined with a European regulatory framework that has recently elevated cybersecurity to an essential requirement for CE marking of industrial machinery.

The methodology applied is based on the ZCR (Zone and Conduit Requirements) process, defined by the IEC 62443-3-2 standard, structured into seven sequential steps. The first step required defining the System Under Consideration (SUC) and conducting a complete inventory of the existing infrastructure. This work led to the cataloguing of 58 assets and the identification of 19 security weaknesses, mainly attributable to four categories: inadequate account management (shared and non-nominative credentials), unfiltered RDP access between workstations, lack of effective traffic segmentation between networks, and insufficient endpoint hardening (USB and Ethernet ports not disabled, antivirus not properly configured).

The second step led to partitioning the architecture into five security zones: Field (Z1), PLC Control (Z2), Supervision (Z3), OT Servers/Virtualized System (Z4), and Remote Access (Z5). These are connected by five conduits, defined by applying the criteria set out by the standard and adapting the Purdue reference model to the specifics of the Toscotec architecture. In the third step, each zone was assigned a Security Level Target (SL-T), representing the protection objective required based on the criticality of the assets it contains and the potential consequences of a compromise: Z2 and Z4, which include the PLCs and the server infrastructure respectively, were assigned the highest level (SL-T 3), while Z3 and Z5 were assigned SL-T 2.

The fourth step, the Risk Assessment, was conducted with an unmitigated approach, meaning without considering existing controls, in order to estimate the system's intrinsic risk. Fourteen threat scenarios were identified, evaluated according to the formula R = Severity × Likelihood on a 1-4 scale: the result highlighted 8 scenarios in the high-risk band and 6 in the medium-risk band, with an average risk value of 9 on a maximum scale of 16. Among the most critical scenarios are unauthorized modification of PLC logic from the engineering station, lateral movement across non-segmented networks toward the controllers, and the compromise of VPN credentials, which would have allowed direct access to the control systems by bypassing the perimeter firewall.

The fifth step, the gap analysis, compared the security level actually achieved (SL-A) with the target objective, assessing the effectiveness of existing controls against the seven Foundational Requirements defined by IEC 62443-3-3. The result showed an SL-A of 1 for all zones, with the sole exception of Z1 (the field area, protected by physical isolation), revealing critical gaps of two levels in Z2 and Z4, and one level in Z3 and Z5.

The sixth step concerned the definition of the countermeasures needed to close these gaps, following the ALARP (As Low As Reasonably Practicable) principle and prioritizing the activation of functionalities already present but not configured, before introducing new components. Nine main countermeasures were designed: the introduction of a redundant Domain Controller for managing nominative digital identities organized across three user levels; protection of the PLC project through a layered password scheme, separated for ordinary logic and for safety functions; a dedicated Management Bus to isolate infrastructure administration traffic, with segregation of the iLO interfaces; a new industrial firewall between the control networks and the virtualized system; strengthening of the external perimeter through WatchGuard firewall redundancy; activation of two-factor authentication (OTP) on the mGuard VPN device; attestation of hypervisor integrity through Secure Boot and TPM 2.0; centralized logging across all major components; and systematic endpoint hardening.

The application of these countermeasures produced a substantial and measurable reduction in the risk profile: none of the 8 scenarios originally in the high-risk band remains in that category, the average risk value drops from 9 to 3.9 (a 57% reduction), and all five zones reach their respective Security Level Target, with advancements of two levels in Z2 and Z4 and one level in Z3 and Z5. A particularly relevant practical aspect is that this result was achieved without replacing any existing hardware components, making the approach applicable also as an upgrade path for already installed and operational plants, without requiring prolonged machine downtime.

The seventh and final step formally verified the completeness and traceability of the process carried out, confirming the architecture's compliance with the requirements of IEC 62443-3-2 and with the essential cybersecurity requirements of the Machinery Regulation (EU) 2023/1230, while also aligning with the principles of the Cyber Resilience Act (EU) 2024/2487. Some of the designed countermeasures have already been implemented and tested on the virtualized system, while full validation of the architecture, including field hardware components, is planned during the commissioning phase of the first tissue machine to adopt it — an activity already scheduled and one that will serve as the reference architectural baseline for future control systems produced by the company.

Il presente lavoro di tesi documenta la progettazione di un'architettura di rete OT (Operational Technology) sicura per il sistema di controllo di una macchina tissue prodotta da Toscotec S.p.A., sviluppata secondo lo standard internazionale IEC 62443, specificamente concepito per la cybersicurezza dei sistemi di automazione e controllo industriale. Il contesto in cui si inserisce questo lavoro è quello di una crescente esposizione dei sistemi OT a minacce informatiche, dovuta alla progressiva erosione dell'isolamento fisico (air gap) che per decenni ha protetto questi ambienti, unita a un quadro normativo europeo che ha recentemente elevato la cybersecurity a requisito essenziale per la marcatura CE delle macchine industriali.

La metodologia applicata si fonda sul processo ZCR (Zone and Conduit Requirements), definito dallo standard IEC 62443-3-2, articolato in sette step sequenziali. Il primo step ha richiesto la definizione del System Under Consideration (SUC) e la conduzione di un inventario completo dell'infrastruttura esistente. Questo lavoro ha portato alla catalogazione di 58 asset e all'identificazione di 19 criticità di sicurezza, riconducibili principalmente a quattro categorie: gestione carente degli account (credenziali condivise e non nominative), accesso RDP non filtrato tra le stazioni di lavoro, assenza di segmentazione effettiva del traffico tra le reti, e hardening insufficiente degli endpoint (porte USB e Ethernet non disabilitate, antivirus non configurati).

Il secondo step ha portato al partizionamento dell'architettura in cinque zone di sicurezza — Campo (Z1), Controllo PLC (Z2), Supervisione (Z3), Server OT/Sistema Virtualizzato (Z4) e Accesso Remoto (Z5) — collegate da cinque conduit, definiti applicando i criteri previsti dalla norma e adattando il modello di riferimento Purdue alle specificità dell'architettura Toscotec. Nel terzo step è stato assegnato a ciascuna zona un Security Level Target (SL-T), ovvero l'obiettivo di protezione richiesto in base alla criticità degli asset contenuti e alle conseguenze potenziali di una compromissione: Z2 e Z4, che includono rispettivamente i PLC e l'infrastruttura server, hanno ricevuto il livello più elevato (SL-T 3), mentre Z3 e Z5 sono stati assegnati a SL-T 2.

Il quarto step, il Risk Assessment, è stato condotto con approccio unmitigated, cioè senza considerare i controlli esistenti, per stimare il rischio intrinseco del sistema. Sono stati identificati 14 scenari di minaccia, valutati secondo la formula R = Severità × Probabilità su scala 1-4: il risultato ha evidenziato 8 scenari in fascia di rischio alta e 6 in fascia media, con un valore medio di rischio pari a 9 su una scala massima di 16. Tra gli scenari più critici figurano la modifica non autorizzata della logica PLC dalla stazione di ingegneria, il movimento laterale tra reti non segmentate verso i controllori, e la compromissione delle credenziali VPN che avrebbe consentito un accesso diretto ai sistemi di controllo bypassando il firewall perimetrale.

Il quinto step, la gap analysis, ha confrontato il livello di sicurezza effettivamente raggiunto (SL-A) con l'obiettivo target, valutando l'efficacia dei controlli esistenti rispetto ai sette Foundational Requirements definiti da IEC 62443-3-3. Il risultato ha mostrato un SL-A pari a 1 per tutte le zone, con l'unica eccezione di Z1 (l'area di campo, protetta da isolamento fisico), evidenziando gap critici di due livelli su Z2 e Z4 e di un livello su Z3 e Z5.

Il sesto step ha riguardato la definizione delle contromisure necessarie a colmare questi gap, seguendo il principio ALARP (As Low As Reasonably Practicable) e privilegiando l'attivazione di funzionalità già presenti ma non configurate, prima di introdurre nuovi componenti. Sono state progettate nove contromisure principali: l'introduzione di un Domain Controller ridondante per la gestione di identità digitali nominative articolate su tre livelli di utenza; la protezione del progetto PLC tramite password stratificata, separata per la logica ordinaria e per le funzioni di sicurezza; un Management Bus dedicato per isolare il traffico di amministrazione dell'infrastruttura, con segregazione delle interfacce iLO; un nuovo firewall industriale tra le reti di controllo e il sistema virtualizzato; il rafforzamento del perimetro esterno con ridondanza dei firewall WatchGuard; l'attivazione dell'autenticazione a due fattori (OTP) sul dispositivo VPN mGuard; l'attestazione dell'integrità dell'hypervisor tramite Secure Boot e TPM 2.0; il logging centralizzato su tutti i componenti principali; e l'hardening sistematico degli endpoint.

L'applicazione di queste contromisure ha prodotto una riduzione sostanziale e quantificabile del profilo di rischio: nessuno degli 8 scenari originariamente in fascia alta permane in quella categoria, il valore medio di rischio scende da 9 a 3,9 (pari a una riduzione del 57%), e tutte le cinque zone raggiungono il proprio Security Level Target, con avanzamenti di due livelli su Z2 e Z4 e di un livello su Z3 e Z5. Un aspetto di particolare rilevanza pratica è che questo risultato è stato ottenuto senza alcuna sostituzione di componenti hardware esistenti, rendendo l'approccio applicabile anche come percorso di adeguamento su impianti già installati e operativi.

Il settimo e ultimo step ha verificato formalmente la completezza e la tracciabilità del processo condotto, confermando la conformità dell'architettura ai requisiti di IEC 62443-3-2 e ai requisiti essenziali di cybersicurezza del Regolamento Macchine (UE) 2023/1230, allineandosi inoltre ai principi del Cyber Resilience Act (UE) 2024/2487. Alcune delle contromisure progettate sono già state implementate e testate sul sistema virtualizzato, mentre la validazione completa dell'architettura, inclusi i componenti hardware di campo, è prevista durante la fase di commissioning della prima macchina tissue che la adotterà, attività già pianificata e che costituirà la base architetturale di riferimento per i futuri sistemi di controllo prodotti dall'azienda.