Il settore industriale è sempre più digitalizzato e votato all’automazione. Se questa sua evoluzione garantisce un passo avanti nel business, pone anche un problema: approntare strategie di industrial security che consentano di mettere al riparo le linee di produzione da eventuali attacchi informatici. Un compito che richiede di considerare, in primo luogo, le specificità del settore e delle tecnologie che vengono utilizzate al suo interno.
1. Separare la rete IT da quella OT
Una delle conseguenze del processo di digitalizzazione che sta interessando l’industria è che la netta separazione che persisteva tra Operation Technology (OT) e Information Technology (IT) sta progressivamente scomparendo, imponendo alle aziende l’adozione di una nuova declinazione della sicurezza a livello delle linee di produzione. L’assottigliamento del confine che separa IT e OT ha infatti conseguenze estremamente rilevanti per gli esperti di cyber security, che si trovano a dover estendere la loro azione anche verso un’area che, tradizionalmente, ha problematiche di sicurezza molto diverse.
Di solito, infatti, i problemi di sicurezza per il mondo dell’Operation Technology riguardavano guasti (fisici o logici) determinati da errate configurazioni o da azioni di sabotaggio estremamente mirate che, nella maggior parte dei casi, richiedevano un accesso fisico ai dispositivi di controllo.
“Con l’integrazione di sistemi di gestione remoti e la connessione sempre più stretta alle reti aziendali, il mondo OT è diventato molto più permeabile ai classici cyber attacchi, aprendo una serie di problematicità” spiega Lorenzo Bernini, Cyber Security Manager di HWG, società specializzata in cyber security. In altre parole, l’OT oggi è esposto a un rischio esponenzialmente maggiore.
Nel nuovo panorama, infatti, un qualsiasi attacco informatico può finire per riverberarsi sulle linee di produzione a causa di un semplice “effetto domino”. In un’ottica di industrial security, separare le due reti è fondamentale per impedire che un attacco ai sistemi di Information Technology possa travolgere anche le linee di produzione.
2. Adottare misure specifiche per l’industrial security
Se la cyber security a livello di infrastrutture IT è normalmente incardinata sui tre principi di riservatezza, integrità e disponibilità, nella declinazione relativa all’OT si aggiunge una priorità: quella della sicurezza delle persone.
Un malfunzionamento nelle linee di produzione, infatti, può facilmente portare a eventi dannosi che possono coinvolgere anche la sicurezza fisica dei lavoratori o dei consumatori. Basti pensare a un’impostazione errata delle valvole che devono controllare la pressione di un impianto termico o la regolazione di un sistema che miscela le sostanze per la creazione di un farmaco o di un prodotto chimico.
L’approccio all’industrial security, di conseguenza, deve avere come primo obiettivo quello di non interferire in alcun modo con l’attività produttiva. Qualcosa di molto diverso, insomma, da ciò che accade nel mondo IT, in cui un eventuale rallentamento è considerato assolutamente accettabile per garantire la sicurezza del sistema.
“I dispositivi OT, inoltre, utilizzano protocolli di comunicazione diversi da quelli, più standardizzati, usati nel mondo IT”, sottolinea Bernini. “Per implementare un sistema di cyber security efficace è necessario utilizzare strumenti che siano in grado di comunicare con i device usando i protocolli appropriati”.
3. Garantire la trasparenza e la visibilità dei dispositivi
I dispositivi del settore OT, a differenza degli endpoint, non possono installare software di protezione. La protezione dell’ecosistema produttivo, di conseguenza, richiede necessariamente un’azione rivolta al controllo della rete e delle comunicazioni. Una delle ricadute di questa impostazione, però, è che la sua implementazione richiede come primo passo una assoluta visibilità di tutti i dispositivi presenti nel sistema.
“Quando parliamo di industrial security dobbiamo sempre tenere presente che possiamo proteggere solo ciò che vediamo” conferma l’esperto della società di sicurezza. “Se un dispositivo o un controller sfuggono alla mappatura dei sistemi, si trasformano automaticamente in un anello debole a livello di sicurezza”, aggiunge ancora Bernini.
4. Attenzione ai sistemi legacy
Il problema del ciclo di vita dei dispositivi, nella nuova declinazione dell’OT, rimane uno dei più “spinosi” sotto il profilo dell’industrial security. La resilienza agli attacchi informatici, infatti, è normalmente garantita dal costante aggiornamento dei software di gestione che incontra l’unico limite nella fine del supporto da parte del produttore e che, normalmente, ne determina l’obsolescenza.
“Se in ambito IT il ciclo di vita è mediamente di tre o quattro anni, nelle linee di produzione i tempi sono decisamente più lunghi: dieci, quindici o addirittura venti anni” conferma il Cyber Security Manager di HWG. “Spesso l’approccio verso i macchinari nel settore produttivo è di non toccarli in alcun modo finché funzionano”.
L’asimmetria tra i cicli di vita nel settore IT e OT porta spesso a situazioni in cui i controller o le postazioni sulle linee produttive devono necessariamente utilizzare sistemi legacy a causa di potenziali incompatibilità con quelli più recenti. Per compensare la fragilità dei sistemi di questo tipo è quindi indispensabile adottare strumenti come il virtual patching, che consente di mitigare la presenza di vulnerabilità per cui non sono disponibili aggiornamenti di sicurezza.
5. Utilizzare sistemi di scansione attivi
Nell’approccio tradizionale alla cyber security del settore OT si è spesso portati a utilizzare sistemi di scansione passivi, che sniffano il traffico di rete per controllare l’attività dei dispositivi all’interno del network. Si tratta di un’impostazione conservativa, la cui adozione è solitamente giustificata dal desiderio di non provocare interferenze con l’attività produttiva, ma che ha dei grossi limiti. Tra questi, per esempio, l’impossibilità di controllare costantemente il livello di aggiornamento dei firmware, fondamentale per mitigare il rischio di attacchi basati su falle di sicurezza conosciute, che possono essere invece rilevati attraverso un approccio “attivo”. L’uso di query dirette per controllare il livello di sicurezza, però, offre anche altri vantaggi.
“Un approccio passivo è utile per analizzare le attività sulla rete” conclude l’esperto di HWG. “Se vogliamo però rilevare eventuali modifiche effettuate localmente, per esempio attraverso la connessione a una porta seriale, è indispensabile essere in grado di interrogare direttamente la macchina”.
L’uso combinato di entrambe le tecniche, in buona sostanza, è quello che offre maggiori garanzie di avere una visibilità completa a livello di industrial security.
