← Indietro

ENGINEERING NOTES · Lug 2026

Purdue vs. Zero Trust: non sono opposti

Uno è una mappa di segmentazione. L'altro è una filosofia di accesso. Confonderli porta ad architetture progettate male.

Ogni tanto qualcuno mi chiede se Zero Trust 'sostituisce' il modello Purdue nell'OT. Risposta breve: non competono, operano su livelli diversi.

Purdue risponde alla domanda 'dove vive ciascuna cosa e cosa può parlare con quale zona?' — è architettura, è la mappa. Zero Trust risponde 'perché mi fido di questa connessione specifica, in questo momento, proveniente da questa identità?' — è una filosofia di verifica continua, non uno schema di rete.

In pratica, la combinazione che funziona è: usare Purdue (o zone e conduit di 62443) per definire i confini generali, e applicare i principi Zero Trust all'interno di ogni zona e sui conduit che la attraversano — specialmente negli accessi remoti di manutenzione, oggi il punto d'ingresso più comune negli incidenti OT.

Quello che non funziona è applicare uno Zero Trust 'puro' da IT direttamente su un PLC di 15 anni che non supporta l'autenticazione moderna. Lì la soluzione realistica è mettere il controllo dell'identità sul conduit (jump host, broker di accesso), non sul dispositivo.