Nonostante la cyber-security sia una delle nove tecnologie di base elencate nel Piano Industria 4.0, raramente risulta fra gli aspetti esplicitati nei tanti convegni sul tema; neppure figura fra le tecnologie abilitanti ai primi posti per adozione da parte delle imprese (vedi ricerca KPMG). Non azzardiamo ipotesi sulle ragioni di questa assenza, ma sottolineiamo che la diffusione dei dispositivi IoT rappresenta un salto, tecnologico e culturale, nel campo della sicurezza, rispetto ai sistemi informativi tradizionali.
I sistemi IoT sono oggetti con capacità elaborativa, connessi in rete; a tutti gli effetti hanno le caratteristiche di piccoli computer ma chi li usa come sensori o attuatori ne sfrutta esclusivamente queste funzionalità senza preoccuparsi della loro natura e dei conseguenti rischi. Alla scarsa sensibilità di chi utilizza dispositivi IoT o con tecnologia IoT embedded, si somma la scarsa attenzione di chi li vende, preoccupato soprattutto di realizzare oggetti a basso costo, capaci di garantire le funzionalità richieste, tralasciando spesso le problematiche di sicurezza by design.
Inserendo questi oggetti in rete, senza tenere conto dei rischi, si realizza un’innovazione industriale “costruita sulle sabbie mobili”.
Una diagnosi sulla sicurezza IoT
Un allarme è stato lanciato dalla European Union Agency for Network and Information Security (Enisa) con la pubblicazione, a fine 2017, delle linee guida per la sicurezza IoT [1].
Nel report si ricorda che la Commissione Europea ha lavorato negli ultimi anni per favorire la diffusione della tecnologia IoT in Europa, visto come naturale sviluppo dell’attuale computing. Ma IoT porta nuove sfide a causa di un ecosistema immaturo che tende alla frammentazione degli standard e preoccupazioni sulla sicurezza in un mercato IoT non omogeno, differente per settore e per applicazione. È inoltre caratterizzato da una molteplicità dei costruttori (Google, Microsoft, Amazon, Apple, Samsung per citarne alcuni), che usano servizi cloud, protocolli e sistemi operativi proprietari.
Il report cerca dunque di definire il modello delle minacce nel contesto delle infrastrutture critiche e indicare le misure di sicurezza disponibili per affrontare le minacce identificate. Focus dunque su impianti, reti, servizi e sistemi tecnologici, considerati critici perché la loro distruzione o interruzione può causare danni per la salute, la sicurezza e il benessere economico dei cittadini, per il buon funzionamento dello Stato e della Pubblica amministrazione, per i proprietari delle risorse che utilizzano IoT per fornire i servizi.
In particolare, il report analizza le iniziative di ricerca sulla sicurezza relative a infrastrutture che gestiscono informazioni critiche. Fra gli scenari di attacco elaborati con esperti della sicurezza riportiamo quello della manipolazione dei parametri dei dispositivi, ad esempio di calibrazione per i sensori, che fa accettare valori errati con serie minacce a sistemi critici di fabbrica. Viene ad esempio illustrato un attacco che potrebbe alterare il sistema di controllo di un robot industriale in un ambiente Industry 4.0, mettendolo fuori uso (figura 2).
Serve un nuovo paradigma
Per prevenire le minacce non è sufficiente applicare le pratiche utilizzate per la sicurezza tradizionale, che richiederebbero una re-ingegnerizzazione sostanziale a causa di vincoli tecnici. La maggior parte dei dispositivi IoT ha capacità limitate in termini di elaborazione, di memoria e di potenza; i controlli avanzati di sicurezza non possono dunque essere applicati in modo efficace. Questa è solo una delle molte criticità indicate da Enisa; ne riportiamo di seguito alcune particolarmente significative.
Si deve ad esempio affrontare la gestione di un ecosistema complesso poiché i dispositivi IoT non possono essere visti come un insieme di oggetti indipendenti, ma come ecosistema che coinvolge dispositivi, comunicazione, interfacce e persone. Un’ulteriore difficoltà nasce dalla necessità di integrare e rendere interoperabili differenti soluzioni di autenticazione che possono essere presenti sui diversi dispositivi. Il tutto è complicato dall’adozione troppo lenta di standard e normative e dal continuo emergere di nuove tecnologie. La presenza di attuatori implica minacce alla sicurezza fisica, come l’esempio precedente o il caso di veicoli a guida autonoma evidenziano.
La pressione sul “time to market” contrasta con il principio di sicurezza by design e spinge i costruttori a privilegiare funzionalità e usabilità rispetto alla sicurezza, anche per vincoli di budget. Il costo risulta un aspetto particolarmente critico per i produttori, spesso a scapito della sicurezza.
È molto sfidante anche la possibilità di correzione dei sistemi IoT una volta che si siano individuate delle criticità per la sicurezza visto che le particolarità dell’interfaccia utente non consentono i tradizionali meccanismi di update. Questo aspetto, come pure la gestione del ciclo di vita dei sistemi, è ulteriormente aggravato dalla difficoltà di identificare le responsabilità, visto che i sistemi sono inseriti in dispositivi che operano in settori estremamente diversificati a opera di una molteplicità di attori. Da parte loro, i vendor dovrebbero almeno fornire ai clienti alcuni suggerimenti semplici, come ad esempio cambiare la password di default al primo utilizzo, e introdurre possibilità di aggiornamento senza però complicare troppo l’interfaccia utente perché i clienti si aspettano una semplicità di utilizzo dei dispositivi.
Le raccomandazioni di Enisa
Queste criticità potrebbero essere mitigate seguendo alcune raccomandazioni rivolte agli stati, ai produttori, alle imprese utilizzatrici, di seguito sintetizzate:
- Promuovere l’armonizzazione delle iniziative di sicurezza e regolamentazione in ambito IoT.
- Far crescere la consapevolezza della necessità di cybersecurity anche in questo ambito.
- Definire linee guida per lo sviluppo sicuro di software e hardware IoT.
- Ottenere ampio consenso sull’interoperabilità all’interno dell’ecosistema.
- Promuovere incentivi economici e amministrativi per la sicurezza IoT.
- Definire la gestione del ciclo di vita di prodotti/servizi IoT.
- Chiarire la condivisione delle responsabilità fra i soggetti coinvolti.
Visto che nel frattempo la diffusione dei dispositivi avanza, pur senza generare allarmismo, è urgente diffondere la sensibilizzazione fra gli utilizzatori e i produttori. Anche i singoli stati potrebbero prendere iniziative: in Italia il Ministero per lo Sviluppo Economico sta ad esempio studiando una sorta di certificazione basata su alcuni test di base per i sistemi IoT con l’obiettivo di verificarne la robustezza.
[1] Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures, Enisa, novembre 2017. Enisa è l’agenzia europea che accentra le competenze nel campo della sicurezza e ha come principale obiettivo aumentare la resilienza dei sistemi informativi attraverso l’implementazione di misure per proteggere gli stati membri, le imprese e i cittadini.
NOTA: Si ringrazia Giancarlo Caroti, partner Neumus, per le informazioni e i preziosi suggerimenti.
