Fondamenti per la sicurezza informatica OT

Fondamenti per la sicurezza informatica OT: guida all’inventario delle risorse per proprietari e operatori

Sintesi

Nella creazione di un’architettura difendibile moderna, è essenziale che i proprietari e gli 
operatori di tecnologie operative (OT) in tutti i settori delle infrastrutture critiche creino un inventario delle risorse OT integrato da una
tassonomia OT. L’utilizzo di questi strumenti aiuta proprietari e operatori a identificare quali risorse nel loro ambiente debbano 
essere protette e protette, e a strutturare le difese di conseguenza per ridurre il rischio che un incidente di sicurezza informatica 
rappresenti per la missione e la continuità del servizio dell’organizzazione.

Un inventario delle risorse è un elenco organizzato e aggiornato regolarmente dei sistemi, dell’hardware e del software di un’organizzazione 
. Per gli ambienti OT, un aspetto fondamentale della creazione di un inventario delle risorse è lo sviluppo di una tassonomia OT: un 
sistema di categorizzazione che organizza e assegna priorità alle risorse OT, facilitando l’identificazione dei rischi, 
la gestione delle vulnerabilità e la risposta agli incidenti, classificando le risorse in base alla funzione e alla criticità.

Questa guida descrive un processo che consente ai proprietari e agli operatori di OT di creare un inventario delle risorse e una 
tassonomia OT. Questo processo include la definizione dell’ambito e degli obiettivi dell’inventario, l’identificazione delle risorse, 
la raccolta degli attributi, la creazione di una tassonomia, la gestione dei dati e l’implementazione della gestione del ciclo di vita delle risorse. 
Questi passaggi definiscono un approccio completo e sistematico alla creazione e al mantenimento di un inventario delle risorse OT 
e di una tassonomia OT, consentendo alle organizzazioni di mantenere un registro accurato e aggiornato delle proprie risorse OT.

Inoltre, questa guida illustra come i proprietari e gli operatori di OT possono gestire, migliorare e utilizzare il proprio
inventario di risorse per proteggere i beni più vitali. Le fasi includono la sicurezza informatica e la gestione del rischio OT, 
la manutenzione e l’affidabilità, il monitoraggio e la reportistica delle prestazioni, la formazione e la sensibilizzazione e 
il miglioramento continuo. Affrontando questi aspetti, le organizzazioni possono migliorare la propria sicurezza complessiva 
e garantire l’affidabilità e la sicurezza dei propri ambienti OT.

Per illustrare esempi concreti di tassonomie OT, la CISA ha sviluppato tassonomie concettuali attraverso 
sessioni di lavoro con organizzazioni del settore energetico e del settore idrico e delle acque reflue (vedere Appendice 
B: Tassonomia per le organizzazioni del settore petrolifero e del gas , Appendice C: Tassonomia per le organizzazioni del settore elettrico e 
Appendice D: Acqua e acque reflue ). Non si tratta di tassonomie autorevoli per questi settori, ma sono 
pensate per aiutare le organizzazioni specifiche di ciascun settore a sviluppare i propri sistemi di classificazione delle risorse.

Introduzione

La tecnologia operativa (OT) comprende un’ampia gamma di tecnologie che comprendono l’automazione dei processi, la strumentazione, le operazioni ciberfisiche e i sistemi di controllo industriale (ICS). Molti sistemi OT sono sempre più connessi a operazioni e applicazioni aziendali che si basano su dati di processo e analisi delle tendenze per le operazioni. Se non assemblate e integrate in modo sicuro, queste connessioni possono aprire la strada a possibili attacchi informatici che si muovono tra le reti.

L’OT è essenziale per i servizi infrastrutturali critici come la produzione e la distribuzione di energia, nonché il trattamento delle acque e delle acque reflue, il che lo rende un bersaglio primario per i cybercriminali che cercano di interrompere o distruggere sistemi e servizi o di compiere altre attività illecite, come l’estorsione. Gli incidenti informatici OT possono avere gravi conseguenze per i proprietari e gli operatori di OT, come perdite finanziarie, interruzioni operative e compromissioni dell’ambiente, della salute e della sicurezza umana. I cybercriminali possono causare incidenti in diversi modi, tra cui sfruttando:

• Vulnerabilità in software/firmware difettosi o obsoleti per ottenere l’accesso ai sistemi OT.
• Meccanismi di autenticazione deboli per ottenere l’accesso non autorizzato ai sistemi OT.
• Segmentazione di rete insufficiente per spostarsi lateralmente dagli ambienti IT a quelli OT e tra i sistemi OT.
• Protocolli OT non sicuri per intercettare le comunicazioni, iniettare comandi dannosi e interrompere o manipolare i processi industriali.
• Punti di accesso remoto non sicuri per accedere ai sistemi OT, consentendo spostamenti laterali o il comando e il controllo.

La creazione di un inventario delle risorse è necessaria per costruire un’architettura difendibile moderna ed è uno degli obiettivi prestazionali di sicurezza informatica (CPG) di CISA. ¹ Un’architettura difendibile moderna mitiga i rischi attraverso una progettazione e un’implementazione ponderate del sistema che consentono ai difensori informatici OT di identificare, prevenire e rispondere alle minacce informatiche, garantendo al contempo affidabilità, continuità operativa, sicurezza e conformità ai requisiti normativi. ²  Un inventario delle risorse OT , ovvero un elenco organizzato e regolarmente aggiornato dei sistemi OT, hardware e software di un’organizzazione, è fondamentale per progettare un’architettura difendibile moderna perché senza un inventario, le organizzazioni non sanno cosa hanno e cosa dovrebbe essere protetto e messo in sicurezza.

Lo sviluppo di un inventario delle risorse è un processo in più fasi in cui i proprietari e gli operatori OT identificano, classificano e documentano le risorse. I proprietari e gli operatori OT che sviluppano una tassonomia OT come parte del processo di inventario possono migliorare significativamente il processo. Una tassonomia OT è un sistema di categorizzazione utilizzato per organizzare e dare priorità alle risorse OT, facilitando l’identificazione dei rischi, la gestione delle vulnerabilità e la risposta agli incidenti. La tassonomia aiuta i proprietari e gli operatori a condurre gli inventari delle risorse facilitando la classificazione delle risorse per funzione e/o criticità e visualizzando le relazioni e le dipendenze tra le risorse.

Questa guida, redatta dalla Cybersecurity and Infrastructure Security Agency (CISA) e dai seguenti partner, ³ presenta gli elementi chiave e le best practice per la creazione di un inventario delle risorse, nonché gli approcci accettati dal settore per lo sviluppo di una tassonomia OT:

•  Agenzia per la protezione dell’ambiente (EPA)
• Agenzia per la sicurezza nazionale (NSA)
• Ufficio federale di investigazione (FBI)
• Centro australiano per la sicurezza informatica dell’Australian Signals Directorate (ACSC dell’ASD)
• Centro canadese per la sicurezza informatica (Cyber ​​Centre)
• Ufficio federale tedesco per la sicurezza informatica (BSI)
• Centro nazionale per la sicurezza informatica dei Paesi Bassi (NCSC-NL)
• Centro nazionale per la sicurezza informatica della Nuova Zelanda (NCSC-NZ)

Questa guida sottolinea l’importanza di una pianificazione proattiva, della collaborazione tra i team IT e OT e, ove possibile e appropriato, dell’integrazione di tecnologie all’avanguardia per anticipare potenziali minacce. Il panorama OT è in continua evoluzione. Questa guida non intende fornire una panoramica completa di tutte le possibili risorse OT. Piuttosto, questo documento intende integrare le risorse di inventario delle risorse OT esistenti di un’organizzazione.

La guida contiene anche tassonomie concettuali (vedere Appendice B: Tassonomia per le organizzazioni del settore petrolifero e del gas , Appendice C: Tassonomia per le organizzazioni elettriche e Appendice D: Acqua e acque reflue ) sviluppate attraverso sessioni di lavoro per le organizzazioni del settore petrolifero e del gas e per le organizzazioni elettriche nel settore energetico e per le organizzazioni del settore idrico e delle acque reflue . CISA ha creato queste tassonomie attraverso otto sessioni di lavoro collaborative tenutesi all’inizio del 2025. CISA ha raccolto e incorporato il feedback di circa 14 organizzazioni e 33 partecipanti, inclusi rappresentanti di agenzie federali statunitensi e del settore privato. Queste non sono istruzioni autorevoli per questi settori, ma intendono aiutare a orientare le organizzazioni specifiche di settore che non dispongono di metodi ampiamente adottati per classificare i propri asset OT.

Le organizzazioni firmatarie incoraggiano i proprietari e gli operatori a:

• Rivedere e implementare le raccomandazioni nella  sezione Passaggi per sviluppare un inventario e una tassonomia delle risorse OT per migliorare il processo di inventario delle risorse.
• Condividi queste linee guida sia all’interno della tua organizzazione sia con i tuoi colleghi.
• Fornisci feedback su questo prodotto e suggerimenti per prodotti futuri tramite il sondaggio anonimo sui prodotti di CISA .

Ringraziamenti

La CISA ha guidato lo sviluppo di questa guida attraverso il Joint Cyber ​​Defense Collaborative (JCDC) ⁴ in collaborazione con il Dipartimento dell’Energia (DOE) e altri partner governativi e del settore privato, tra cui proprietari e operatori di reti informatiche.

I seguenti stakeholder del settore hanno contribuito allo sviluppo di questo documento:

• Acqua americana
• British Petroleum PLC
• Acqua di Denver
• Duke Energy Corporation
• Centro di analisi delle minacce energetiche (ETAC) ⁵
• Eversource Energy
• Distretto idrico regionale James Kimzey
• Consiglio di Acqua e Luce di Lansing
• Acqua di Loudoun
• Marathon Petroleum Corporation
• Autorità fognaria municipale di Montgomery Township
• Pacific Gas & Electric Company
• Edison della California meridionale

Tassonomie OT

Mantenere un inventario accurato e aggiornato delle risorse è complesso. Gli ambienti OT spesso contengono risorse diverse, come sistemi legacy, dispositivi specializzati, sensori e strumentazione. Queste risorse utilizzano diversi protocolli proprietari per la comunicazione. Proprietari e operatori necessitano di contesto sul ruolo di un componente nel monitoraggio e nel controllo del processo fisico; ciò potrebbe richiedere a proprietari e operatori di esaminare e ispezionare fisicamente le risorse e le aree di processo associate.

Proprietari e gestori dovrebbero integrare lo sviluppo di una tassonomia OT nel loro processo di inventario delle risorse per affrontare questa complessità. Una tassonomia OT fornisce una metodologia di classificazione per componenti e sistemi, semplificando la creazione e la manutenzione dell’inventario delle risorse. I principali vantaggi della strutturazione di un inventario delle risorse OT attraverso una tassonomia OT sono:

Fasi per sviluppare un inventario e una tassonomia delle attività OT

Le agenzie di redazione raccomandano ai proprietari e agli operatori di completare i seguenti passaggi per sviluppare un inventario e una tassonomia delle risorse OT (vedere Figura 1 ):

1. Definire ambito e obiettivi .
   1. Definire la governance della gestione delle risorse . Identificare l’autorità che richiede la creazione di un inventario delle risorse OT. Determinare quali uffici o posizioni all’interno dell’organizzazione sono responsabili e/o beneficiano della creazione e della manutenzione dell’inventario.
   2. Assegnare ruoli . Assegnare ruoli e responsabilità per la raccolta e la convalida dei dati.
   3. Definire l’ambito. Definire i confini del programma (ad esempio, zone specifiche, strutture, sistemi e tempi di sviluppo) e identificare cosa costituisce una “risorsa” ai fini dell’inventario.
2. Identificare le risorse e raccogliere gli attributi.
   1. Identificare le risorse . Eseguire un’ispezione fisica e un’indagine logica raccogliendo informazioni digitali e di rete dettagliate sui componenti del sistema. Compilare un elenco completo delle risorse OT e delle dipendenze dell’infrastruttura di rete. L’ambito dell’inventario delle risorse dovrebbe considerare le risorse identificate nella documentazione e nell’ispezione fisica.
   2. Raccogliere gli attributi delle risorse . Questi dovrebbero essere inclusi nell’inventario come campi che descrivono la risorsa. Dare priorità alla raccolta dei seguenti attributi ad alta priorità (vedere l’Appendice A: Campi dell’inventario delle risorse per informazioni sui vantaggi di questi attributi e di altri attributi che le agenzie di creazione raccomandano di raccogliere se la vostra organizzazione ha le risorse necessarie per raccoglierli):
      1. Protocolli di comunicazione attivi/supportati
      2. Criticità delle risorse
      3. Numero di asset
      4. Ruolo/tipo di risorsa
      5. Nome host
      6. indirizzo IP
      7. Registrazione
      8. Indirizzo MAC (Media Access Control)
      9. Produttore
      10. Modello
      11. Sistema operativo (SO)
      12. Posizione/indirizzo fisico
      13. Porti/servizi
      14. Account utente

3. Creare una tassonomia per categorizzare le risorse.Per creare una tassonomia sono necessari cinque passaggi (vedere  Figura 2 ). Nota: vedere  l’Appendice B: Tassonomia per le organizzazioni del settore petrolifero e del gas ,  l’Appendice C: Tassonomia per le organizzazioni del settore elettrico e  l’Appendice D: Acqua e acque reflue per le tassonomie CISA sviluppate attraverso sessioni di lavoro per le organizzazioni del settore petrolifero e del gas e per le organizzazioni del settore elettrico nel settore energetico e per le organizzazioni del settore idrico e delle acque reflue.
   1. Classificazione delle risorse. Alcune metodologie comuni per classificare le risorse OT si basano sulla criticità o sulla funzione.
      1. Classificazione basata sulla criticità :
         1. Le risorse vengono classificate in base alla loro importanza per le operazioni, la sicurezza e la missione dell’organizzazione.
         2. Le risorse critiche sono quelle il cui guasto o compromissione avrebbe l’impatto più significativo.
      2. Classificazione basata sulle funzioni :
         1. Le risorse vengono raggruppate in base al loro ruolo o alla loro esposizione all’interno dell’ambiente OT, ad esempio sistemi di controllo, dispositivi di comunicazione, strumenti di monitoraggio, funzioni di ingegneria, manutenzione o gestione.
         2. Questo approccio aiuta a comprendere le dipendenze e le interconnessioni.
   2. Categorizzare (organizzare) le risorse e i relativi percorsi di comunicazione.
      Nota: esistono diversi modelli e standard per organizzare risorse, percorsi di comunicazione e altro; questo è a discrezione dell’organizzazione. La serie di standard 62443 della International Society of Automation (ISA)/International Electrotechnical Commission (IEC), utilizzata dalla CISA per sviluppare le tassonomie nell’Appendice  B: Tassonomia per le organizzazioni del settore petrolifero e del gas ,  nell’Appendice C: Tassonomia per le organizzazioni del settore elettrico e  nell’Appendice D: Acqua e acque reflue , organizza le risorse in Zone e Condotte: ⁶
      1. Una Zona è un raggruppamento di asset logici o fisici (ad esempio, asset di controllo, asset di sicurezza, asset in una zona demilitarizzata [DMZ]) che condividono requisiti di sicurezza comuni basati su fattori quali criticità e conseguenze. Ad esempio, tutti i macchinari che controllano una linea di produzione potrebbero trovarsi in una Zona perché necessitano dello stesso livello di protezione. Le Zone aiutano a concentrarsi sulla protezione di asset simili, dove le attuali capacità di sicurezza possono essere confrontate con i requisiti stabiliti.
      2. I Conduit  sono costituiti da un raggruppamento di risorse informatiche dedicate esclusivamente alle comunicazioni e che condividono gli stessi requisiti di sicurezza informatica. Garantiscono che solo i dati o il traffico autorizzati possano passare tra le Zone. Ad esempio, un Conduit potrebbe collegare il sistema di controllo di una fabbrica al suo sistema di monitoraggio, ma con regole rigorose per impedire l’accesso non autorizzato. I sistemi OT possono essere collegati a più Conduit contemporaneamente. Per determinare i Conduit, le organizzazioni dovrebbero mappare i percorsi di comunicazione tra le Zone, incorporando l’analisi del flusso di dati, l’identificazione del protocollo e i dettagli di rete Layer2/Layer3.
   3. Organizzare la struttura e le relazioni.
      1. Identificare le dipendenze del processo (ad esempio, sequenze operative o flussi di controllo).
      2. Adottare convenzioni di denominazione coerenti per le risorse per garantire chiarezza e coerenza in tutta la gerarchia.
      3. Creare una documentazione dettagliata che includa la metodologia della convenzione di denominazione, la struttura e le deviazioni.
      4. Documentare i ruoli e le responsabilità dell’interazione con le risorse: operatori, tecnici, fornitori, integratori, ecc. (proprietà di funzioni come operazioni o manutenzione, non specifiche in termini di accesso o credenziali).
   4. Convalida e visualizza.
      1. Verificare l’accuratezza e la completezza dell’inventario raccolto.
      2. Creare diagrammi per rappresentare le categorie di risorse (ad esempio, Zone e Condotte). Vedere la Figura 3 per un esempio di diagramma di una tassonomia di un’organizzazione elettrica allineata a Zone e Condotte.
      3. Utilizzare tabelle o grafici per mostrare le relazioni e le dipendenze tra le risorse.
   5. Rivedere e aggiornare periodicamente.
      1. Rivedere e aggiornare periodicamente la tassonomia per riflettere i cambiamenti nella tecnologia e nelle operazioni.
      2. Raccogliere feedback dalle parti interessate per garantire che la tassonomia soddisfi le loro esigenze e rappresenti accuratamente l’ambiente OT .

4. Gestire e raccogliere dati.
   1. Identificare ulteriori fonti di informazioni sulle risorse. Identificare fonti di dati per ciascuna risorsa (ad esempio, accordi di integrazione, manuali e guide dei fornitori, registri di manutenzione, dati operativi registrati e specifiche di configurazione) che possano arricchire l’inventario e condurre un’analisi costi-benefici per la loro inclusione.
   2. Archiviazione dei dati. Definire un database centralizzato o un sistema di gestione delle risorse per archiviare e gestire dati aggiuntivi sulle risorse, implementando controlli di sicurezza per garantire la protezione dei dati e la resilienza contro le minacce informatiche.
5. Implementare la gestione del ciclo di vita.
   1. Definire le fasi del ciclo di vita . Definire le fasi del ciclo di vita di ogni asset (ad esempio, acquisizione, distribuzione, messa in servizio, manutenzione e dismissione).
   2. Sviluppare policy per il ciclo di vita. Sviluppare policy per la gestione delle risorse durante tutto il loro ciclo di vita, inclusi programmi di manutenzione, piani di sostituzione e strategie di backup. Ciò include il rispetto del processo di gestione delle modifiche di un’organizzazione e la richiesta di aggiornamenti dell’inventario delle risorse per l’introduzione o la rimozione di dispositivi nel sistema in tutti i casi, anche in caso di autorizzazione di modifica di emergenza.

Azioni di sviluppo post-inventario e tassonomia

Le sezioni seguenti descrivono le azioni chiave che i proprietari e gli operatori di OT dovrebbero intraprendere con il loro inventario.

Sicurezza informatica e gestione del rischio OT

• Identificare le vulnerabilità note , le patch disponibili, gli aggiornamenti e le linee guida per il rafforzamento dei sistemi e delle applicazioni dei fornitori.
• Incrociare gli inventari  con database di vulnerabilità consolidati, come il catalogo delle vulnerabilità note sfruttate (KEV) di CISA , che evidenzia le vulnerabilità attivamente sfruttate, e il database delle vulnerabilità ed esposizioni comuni (CVE) di MITRE ⁸ , che fornisce report dettagliati sui difetti di sicurezza identificati.
  • Esplorare costantemente i controlli di sicurezza per individuare vulnerabilità OT note nei sistemi e nelle applicazioni dei fornitori che non possono essere corrette immediatamente o sono fuori uso.
  • Stabilire le priorità delle risorse e dei sistemi critici e dettagliare i piani di ridondanza e la capacità di operare in condizioni di compromesso se vengono individuate vulnerabilità nelle risorse e nei sistemi critici.
  • Implementare il monitoraggio in tempo reale per rilevare minacce e vulnerabilità emergenti.
  • Utilizzare il catalogo KEV come input autorevole per un framework di prioritizzazione della gestione delle vulnerabilità. I ​​framework di gestione delle vulnerabilità, come il modello di categorizzazione delle vulnerabilità specifiche degli stakeholder (SSVC), considerano lo stato di sfruttamento di una vulnerabilità. Le organizzazioni dovrebbero anche valutare l’utilizzo di strumenti automatizzati di gestione delle vulnerabilità e delle patch che incorporino e segnalino o assegnino automaticamente la priorità alle vulnerabilità KEV.
• Stabilire le priorità dei fattori di minaccia mappando i potenziali modelli di attacco su fonti di intelligence sulle minacce note, come MITRE ATT&CK Matrix per ICS ⁹ e MITRE’s Common Attack Pattern Enumeration and Classification (CAPEC): Industrial Control System Patterns. ¹⁰ Stabilire le priorità degli sforzi di sicurezza in base ai rischi più critici.
• Rafforzare la sicurezza progettando un’architettura di sicurezza che integri controlli efficaci, come segmentazione, gestione degli accessi e monitoraggio.

Manutenzione e affidabilità

• Esaminare i piani di manutenzione , tenendo conto dei risultati della valutazione delle vulnerabilità e delle misure di mitigazione. Pianificare azioni di mitigazione o patching durante le finestre di manutenzione, a meno che l’urgenza non imponga una modifica di emergenza.
• Confronta i costi  dei potenziali tempi di inattività o dei servizi degradati con il costo della sostituzione di questi sistemi vulnerabili (se sono obsoleti) o dell’implementazione di controlli compensativi.
• Implementare sistemi più sicuri utilizzando ^{gli 11} principi di ingegneria informata sulla sicurezza informatica e le linee guida Secure by Design per integrare la sicurezza nell’approvvigionamento di nuovi sistemi e progetti ingegneristici (vedere la guida congiunta Secure by Demand: considerazioni prioritarie per proprietari e operatori di tecnologie operative nella selezione di prodotti digitali ). Sfruttare i processi di tassonomia e gestione del rischio per informare le decisioni sulla sicurezza.
• Analizzare l’inventario dei pezzi di ricambio OT  per determinare se la scorta di componenti OT di ricambio copre sufficientemente le risorse critiche identificate nell’inventario per garantire l’affidabilità operativa.

Monitoraggio e reporting delle prestazioni

• Monitorare costantemente le prestazioni e lo stato delle risorse ; dare priorità al monitoraggio delle variabili di processo incentrato su indicatori in tempo reale come temperatura, pressione o flusso per rilevare problemi di prestazioni o esigenze di manutenzione e/o monitoraggio della diagnostica di rete e di sistema, che sfrutta strumenti di monitoraggio continuo per analizzare lo stato della comunicazione, la connettività dei dispositivi e l’integrità del flusso di processo.
• Sviluppare meccanismi di reporting per monitorare le prestazioni delle risorse, le attività di manutenzione e la conformità alle policy.
• Identificare i proprietari dell’inventario delle risorse per supervisionare gli aggiornamenti e convalidare le classificazioni delle risorse per garantire la precisione, la manutenzione e la rendicontazione continue dell’inventario delle risorse OT.

Formazione e consapevolezza

• Formare il personale sulle pratiche, gli strumenti e le procedure di gestione patrimoniale.
• Implementare programmi di sensibilizzazione per garantire che tutte le parti interessate comprendano l’importanza della gestione patrimoniale.

Miglioramento continuo

• Implementare un ciclo di feedback per raccogliere informazioni dalle attività di gestione delle risorse e identificare le aree di miglioramento.
• Utilizzare processi di gestione del cambiamento per monitorare con precisione le modifiche, le aggiunte e le dismissioni delle risorse OT.
• Eseguire revisioni periodiche dell’inventario e audit del programma di gestione patrimoniale per garantire che rimanga efficace e allineato agli obiettivi organizzativi.

Risorse aggiuntive

Per ulteriori informazioni sulla gestione delle risorse e sulla sicurezza informatica OT, consultare le seguenti risorse:

• Quadro di sicurezza informatica del NIST
• Principi di sicurezza informatica della tecnologia operativa della CISA
• Obiettivi di prestazione in materia di sicurezza informatica (CPG) della CISA
• Caso di studio del programma di sicurezza informatica del settore idrico dell’EPA  : piccolo sistema di acque reflue

Domande e feedback

Si incoraggiano le parti interessate a fornire feedback tramite  il sondaggio anonimo sui prodotti della CISA .

Informazioni sui contatti

Le organizzazioni statunitensi sono invitate a segnalare attività sospette o criminali relative alle informazioni contenute in questa guida a:

• CISA tramite il Centro Operativo CISA, attivo 24 ore su 24, 7 giorni su 7, all’indirizzo SOC@mail.cisa.dhs.gov o chiamando il numero 1-844-Say-CISA (1-844-729-2472) o presso l’ ufficio locale dell’FBI . Se disponibili, si prega di includere le seguenti informazioni relative all’incidente: data, ora e luogo dell’incidente; tipo di attività; numero di persone coinvolte; tipo di attrezzatura utilizzata per l’attività; nome dell’azienda o organizzazione che ha inviato la segnalazione; e un punto di contatto designato.
• Per richieste di informazioni sulle linee guida della NSA in materia di sicurezza informatica, contattare CybersecurityReports@nsa.gov .
• Le organizzazioni del settore dei sistemi idrici e delle acque reflue possono contattare la Divisione per le infrastrutture idriche e la resilienza informatica dell’EPA all’indirizzo watercyberta@epa.gov per fornire volontariamente la consapevolezza della situazione.

Le organizzazioni australiane  possono visitare cyber.gov.au o chiamare il numero 1300 292 371 (1300 CYBER 1) per segnalare incidenti di sicurezza informatica e accedere ad avvisi e consulenze.

Le organizzazioni canadesi segnalano gli incidenti inviando un’e-mail al Cyber ​​Centre all’indirizzo contact@cyber.gc.ca .

Le organizzazioni tedesche visitano bsi.bund.de/EN/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html per segnalare incidenti di sicurezza informatica.

Le organizzazioni dei Paesi Bassi visitano ncsc.nl per ricevere avvisi e segnalare gli incidenti inviando un’e-mail a NCSC-NL all’indirizzo cert@ncsc.nl .

Le organizzazioni neozelandesi  possono segnalare gli incidenti di sicurezza informatica scrivendo a incidents@ncsc.govt.nz o chiamando il numero 04 498 7654.

Disclaimer

Il presente documento non affronta argomenti relativi alla sicurezza OT, come i rischi per la vita umana, la salute, la proprietà o l’ambiente. Il presente documento non crea policy, non impone requisiti, non impone azioni né annulla gli obblighi legali o normativi esistenti. Tutte le azioni intraprese ai sensi del presente documento sono volontarie.

Le informazioni contenute nel presente rapporto vengono fornite “così come sono” a solo scopo informativo. Le agenzie che le hanno redatte non avallano alcuna entità commerciale, prodotto, azienda o servizio, comprese le entità, i prodotti o i servizi collegati in questo documento. Qualsiasi riferimento a specifiche entità commerciali, prodotti, processi o servizi tramite marchi di servizio, marchi commerciali, produttori o altro, non costituisce né implica alcuna approvazione, raccomandazione o favore da parte delle agenzie che le hanno redatte.

Cronologia delle versioni

13 agosto 2025: versione iniziale.

Appendice A: Campi dell’inventario delle risorse

Per una gestione patrimoniale efficace è necessario comprendere quali dati acquisire per ogni asset in un inventario. La Tabella 1 mostra i campi consigliati per l’inventario dei beni e i potenziali vantaggi della loro inclusione.

Per una descrizione più dettagliata degli attributi relativi al monitoraggio mediante Malcolm della CISA e alla gestione delle vulnerabilità mediante il Common Security Advisory Framework (CSAF) ¹² , vedere il seguente repository ¹³ :

Appendix B: Taxonomy for Oil and Gas Organizations

CISA conducted a virtual exercise with working session participants from the Oil and Natural Gas Subsector to identify the necessary steps for organizations to develop their own OT taxonomy. Since this exercise was virtual, CISA did not perform actions that required direct knowledge of physical sites, component details or asset attributes, dependencies, or data flows.

The authoring agencies encourage Oil and Natural Gas Subsector organizations to use this taxonomy as one example for developing their own taxonomies.

Exercise Steps

After identifying the key process areas, CISA identified the notional assets listed in 

1. Identify Assets.
   1. Through a rapid data collection exercise, CISA generated a notional list of oil and natural gas assets. Since CISA could not conduct a physical inspection, CISA started with identifying key OT process areas with participants:
      1. Safety systems
      2. Management/engineering
      3. Process control and monitoring
      4. Environmental systems
      5. Communications systems
      6. Network equipment
      7. Cyber-physical security
   2. After identifying the key process areas, CISA identified the notional assets listed in Table 2 for each key process area (this list is not exhaustive and may not capture all relevant assets):

2. Classify Assets.
   1. CISA created three criticality classifications based on security considerations:
      1. High-criticality assets should have the most stringent security measures, such as network segmentation and role-based access control.
      2. Medium-criticality assets should have robust monitoring and regular updates to ensure reliability.
      3. Low-criticality assets should have basic security measures. They are included in the inventory for completeness.
   2. CISA refined the key process areas previously identified (Table 2) into functions.
3. Categorize Assets.
   1. CISA grouped the functions into like categories (i.e., Zones. CISA grouped the Zones by criticality). This resulted in the asset taxonomy shown in Table 3 through Table 5.

4. Next Steps.
   1. CISA did not complete the Organizing Assets and Their Communications Pathways, Organize Structure and Relationships, and Validate and Visualize steps because they require identified assets and knowledge of deployed communications pathways and process dependencies. By completing these next steps in a real inventory, an Oil and Natural Gas Subsector organization would be able to create a taxonomy that illustrated asset zones, conduits, and categories, as well as asset relationships and dependencies. This would enable them to create a taxonomy that accurately represents their OT environment and aids with completion of the inventory.

Appendix C: Taxonomy for Electricity Organizations

CISA conducted a virtual exercise with working session participants from electricity organizations in the Energy Sector to identify the necessary steps for organizations to develop their own OT taxonomy. Since this exercise was virtual, CISA did not perform actions that required direct knowledge of physical sites, component details or asset attributes, dependencies, or data flows.
The authoring agencies encourage Energy Sector organizations to use this taxonomy as one example for developing their own taxonomies.

Exercise Steps

1. Identify Assets.
   1. Through a rapid data collection exercise, CISA generated a notional list of electricity organization assets. Since CISA could not conduct a physical inspection, CISA started with identifying key OT process areas with participants:
      1. DMZ
      2. Communications systems
      3. Power generation
      4. Power transmission and distribution
      5. Physical access controls, electronic access control, or monitoring systems
      6. Energy management systems (EMS)
      7. Distributed energy resource (DER) storage
      8. Energy
   2. After identifying the key process areas, CISA identified the notional assets listed in Table 6 for each key process area (this list is not exhaustive and may not capture all relevant assets):

2. Classify Assets.
   1. CISA created three criticality classifications based on security considerations:
      1. High-criticality assets should have the most stringent security measures, such as network segmentation and role-based access control.
      2. Medium-criticality assets require robust monitoring and regular updates to ensure reliability.
      3. Low-criticality assets can have basic security measures but should still be included in the inventory for completeness.
   2. CISA refined the key process areas and assets previously identified (Table 6) into functions.
3. Categorize Assets.
   1. CISA grouped the functions into like categories (i.e., Zones. CISA then grouped the Zones by criticality). This resulted in the asset taxonomy shown in Table 6 through Table 9.

4. Next Steps.
   1. CISA did not complete the Organizing Assets and Their Communications Pathways, and Organize Structure and Relationships, and Validate and Visualize steps because they require identified assets and knowledge of deployed communications pathways and process dependencies. By completing these next steps in a real inventory, an electricity organization would be able to create a taxonomy that illustrated asset zones, conduits, and categories, as well as asset relationships and dependencies. This would enable them to create a taxonomy that accurately represents their OT environment and aids with completion of the inventory.

Appendix D: Water and Wastewater

CISA conducted a virtual exercise with working session participants from Water and Wastewater Sector organizations to identify the necessary steps for organizations to develop their own OT taxonomy. Since this exercise was virtual, CISA did not perform actions that required direct knowledge of physical sites, component details or asset attributes, dependencies, or data flows.

The authoring agencies encourage Water and Wastewater Sector organizations to use this taxonomy as one example for developing their own taxonomies.

Exercise Steps

1. Identify Assets.
   1. Through a rapid data collection exercise, CISA generated a notional list of water and wastewater assets. Since CISA could not conduct a physical inspection, CISA started with identifying key OT process areas with participants:
      1. Collection
      2. Water Treatment
      3. Water Distribution
      4. Re-Use Water
      5. Data Management – Expand into Enterprise Integration Support
      6. Wastewater Treatment
      7. Communications Infrastructure
   2. After identifying the key process areas, CISA identified the notional assets listed in Table 10 for each key process area (this list is not exhaustive and may not capture all relevant assets):

2. Classify Assets.
   1. CISA created three criticality classifications based on security considerations:
      1. High-criticality assets should have the most stringent security measures, such as network segmentation and role-based access control.
      2. Medium-criticality assets require robust monitoring and regular updates to ensure reliability.
      3. Low-criticality assets can have basic security measures but should still be included in the inventory for completeness.
   2. CISA refined the key process areas and assets previously identified (Table 6) into functions.
3. Categorize Assets.
   1. CISA grouped the functions into like categories (i.e., Zones. CISA then grouped the Zones by criticality). This resulted in the asset taxonomy shown in Table 11 through Table 13.

4. Next Steps.
   1. CISA did not complete the Organizing Assets and Their Communications Pathways, Organize Structure and Relationships, and Validate and Visualize steps because they require identified assets and knowledge of deployed communications pathways and process dependencies. (See Figure 3 for an example diagram). By completing these next steps in a real inventory, a Water and Wastewater Sector organization would be able to create a taxonomy that illustrated asset zones, conduits, and categories, as well as asset relationships and dependencies. This would enable them to create a taxonomy that accurately represents their OT environment and aids with completion of the inventory.

References

CVE.org. “Common Vulnerabilities and Exposures (CVE).” Accessed June 24, 2025. https://www.cve.org/.

GitHub. “DINA-community/String-Sysiphos/Attributes of Data Model.” Last modified August 2, 2025. https://github.com/DINA-community/String-Sysiphos/blob/main/datamodel/datamodel_attributes.md.

Idaho National Laboratory. “Cyber-Informed Engineering.” Accessed June 24, 2025. https://inl.gov/national-security/cie/.

International Society of Automation. Security for Industrial Automation and Control Systems – Part 3‑2: Security Risk Assessment for System Design, 2020.

MITRE. “CAPEC VIEW: Industrial Control System (ICS) Patterns.” Accessed June 27, 2025. https://capec.mitre.org/data/definitions/703.html.

MITRE ATT&CK. “ICS Matrix.” Accessed June 24, 2025. https://attack.mitre.org/matrices/ics/.

Oasis. “Common Security Advisory Framework (CSAF).” Accessed August 8, 2025. https://www.csaf.io/.

Footnotes

1. CISA’s CPGs provide a minimum set of practices and protections that CISA and the National Institute of Standards and Technology (NIST) recommend all organizations implement. CISA and NIST based the CPGs on existing cybersecurity frameworks and guidance to protect against the most common and impactful threats, tactics, techniques, and procedures. Visit CISA’s CPGs webpage for more information on the CPGs, including additional recommended baseline protections.
2. For more information on modern defensible architecture, see ASD ACSC’s Modern defensible architecture.
3. Hereafter referred to as the “authoring agencies.”
4. JCDC is a public-private collaborative within CISA that leverages authorities granted by Congress in the 2021 National Defense Authorization Act (NDAA) to unite the global cyber community in defense of cyberspace.
5. The U.S. Department of Energy and the private sector established the ETAC for operational collaboration on energy sector threat situational awareness, mitigation, and response. The ETAC brings together industry and government experts, including the Electricity Information Sharing and Analysis Center (E-ISAC) and national labs, to identify and address cyberthreats to the U.S. energy system through work at the unclassified and classified levels.
6. Security for Industrial Automation and Control Systems – Part 3‑2: Security Risk Assessment for System Design. International Society of Automation, 2020.
7. Provided by the National Renewable Energy Laboratory (NREL).
8. “Common Vulnerabilities and Exposures (CVE).” cve.org. Accessed June 24, 2025. https://www.cve.org/.
9. “ICS Matrix.” MITRE ATT&CK^®. Accessed June 24, 2025. https://attack.mitre.org/matrices/ics/.
10. “CAPEC VIEW: Industrial Control System (ICS) Patterns.” MITRE. Accessed June 27, 2025. https://capec.mitre.org/data/definitions/703.html.
11. “Cyber-Informed Engineering,” Idaho National Laboratory (INL). Accessed June 24, 2025. https://inl.gov/national-security/cie/.
12. “Common Security Advisory Framework (CSAF),” Oasis, accessed August 8, 2025, https://www.csaf.io/.
13. “DINA-community/String-Sysiphos/Attributes of Data Model,“ GitHub, last modified August 2, 2025, https://github.com/DINA-community/String-Sysiphos/blob/main/datamodel/datamodel_attributes.md.

Resource Materials

Tags

Audience: Industry

Language: English

Topics: Critical Infrastructure Security and Resilience, Cybersecurity Best Practices, Industrial Control Systems

Related Resources

Sep 29, 2025

Creating and Maintaining a Definitive View of Your Operational Technology (OT) Architecture

Jun 04, 2025

Internet Exposure Reduction Guidance

May 06, 2025 

Fact Sheet

Primary Mitigations to Reduce Cyber Threats to Operational Technology

Feb 04, 2025 

External, Publication

Guidance and Strategies to Protect Network Edge Devices

Return to top

• Topics
• Spotlight
• Resources & Tools
• News & Events
• Careers
• About

Cybersecurity & Infrastructure Security Agency

• Facebook
• X
• LinkedIn
• YouTube
• Instagram
• RSS

CISA Centrale1-844-Say-CISAcontact@cisa.dhs.govSigillo DHSCISA.govUn sito web ufficiale del Dipartimento della Sicurezza Interna degli Stati Uniti

• Informazioni su CISA
• Budget e prestazioni
• DHS.gov
• Richieste FOIA
• Legge No FEAR
• Ufficio dell’ispettore generale
• politica sulla riservatezza
• Iscriviti
• La Casa Bianca
• USA.gov
• Feedback sul sito web

https://www.dhs.gov/ntas