Con la rapida convergenza tra Information Technology (IT) e Operational Technology (OT), le organizzazioni devono affrontare decisioni critiche sui loro investimenti in termini di cyber sicurezza per prevenire gli impatti causati da attacchi informatici.
Inoltre, le innovazioni nel campo IT e OT, come l’IIoT (Industrial Internet of Things), aumentano la connettività e, di conseguenza, i rischi per la sicurezza operativa. D’altro canto, è importante riconoscere che IT e OT hanno esigenze di sicurezza differenti. Vediamo in dettaglio di che si tratta.
Differenza tra IT e OT system
Nel campo della cybersecurity, i sistemi sia IT sia OT presentano sfide uniche che le organizzazioni devono affrontare. Esaminiamo di cosa si tratta.
Mentre l’IT riguarda i sistemi digitali che facilitano la gestione e la comunicazione dei dati all’interno delle organizzazioni, l’OT fa riferimento a sistemi specializzati che controllano i processi fisici e le operazioni industriali. Sebbene entrambi si basino sulla “tecnologia”, differiscono in termini di: infrastruttura, obiettivi e tecnologie utilizzate.
Infrastruttura – L’infrastruttura IT si concentra principalmente sull’archiviazione, sull’elaborazione e sul flusso di informazioni nelle reti aziendali. L’infrastruttura OT coinvolge macchinari fisici, sensori e dispositivi utilizzati nelle operazioni industriali, spesso in ambienti isolati.
Obiettivi – Gli obiettivi IT mirano alla gestione e all’elaborazione delle informazioni per supportare i processi aziendali, il processo decisionale e l’analisi dei dati. Gli obiettivi OT, invece, si concentrano sull’efficienza, sull’affidabilità e la sicurezza dei processi e della produzione industriale.
Tecnologie – Le tecnologie IT includono: applicazioni software, database, protocolli di comunicazione per le operazioni aziendali e la gestione delle informazioni. Le tecnologie OT comprendono, invece, sistemi di controllo industriale (ICS – Industrial Control System), sistemi SCADA (Supervisory Control and Data Acquisition) e controllori logici programmabili (PLC – Programmable Logic Control) che controllano direttamente i processi fisici.
Integrazione tra IT & OT: sfide da considerare
L’integrazione tra i sistemi IT e OT presenta diverse sfide. Una delle principali è la differenza culturale e di priorità tra i due settori. Ovvero: l’IT si concentra prevalentemente sulla sicurezza e sulla stabilità; mentre, l’OT punta al raggiungimento degli obiettivi operativi e all’ottimizzazione dell’efficienza. Inoltre, i sistemi IT e OT utilizzano spesso protocolli e standard diversi, complicando la loro interconnessione.
Di fatto, sebbene gli approcci alla cybersecurity in IT e OT condividano obiettivi comuni, essi presentano requisiti distinti. Pertanto, le organizzazioni che desiderano implementare delle misure di sicurezza informatica complete devono considerare attentamente il loro approccio nell’integrare la sicurezza IT e OT. Di seguito sono elencati alcuni elementi distintivi dei sistemi IT e OT in termini di protezione:
- Velocità di cambiamento – Gli ambienti IT evolvono rapidamente con frequenti aggiornamenti software e modifiche; mentre i sistemi OT possono rimanere operativi per anni senza cambiamenti significativi. Tale differenza nel ritmo di cambiamento influisce sull’implementazione e sulla gestione delle misure di sicurezza informatica.
- Tolleranza al rischio – Sebbene entrambi i settori mirino a minimizzare i rischi, la tolleranza al rischio può variare. Nell’OT, dove la sicurezza e l’affidabilità sono cruciali, le conseguenze di un incidente di sicurezza possono essere più gravi, portando a una minore tolleranza del rischio.
- Piattaforma tecnologica – L’IT si occupa di hardware e di software generici; mentre l’OT coinvolge sistemi di controllo industriale e dispositivi specializzati. Inoltre, le piattaforme tecnologiche e i protocolli usati nell’OT sono spesso unici e richiedono misure di sicurezza specifiche.
- Impatto del downtime – Nell’IT, la principale preoccupazione potrebbe essere la perdita finanziaria dovuta all’interruzione del servizio. Nell’OT, invece, l’interruzione delle attività può avere conseguenze più immediate e gravi, influenzando i processi di produzione e le infrastrutture critiche.
- Segmentazione della rete – Sebbene la segmentazione della rete sia comune in entrambi i domini, l’implementazione e le implicazioni possono differire. Ad esempio, l’OT potrebbe richiedere una segmentazione più rigorosa per proteggere i processi critici.
Le vulnerabilità dei sistemi OT
Le vulnerabilità dei sistemi OT, spesso identificate come CVE (Common Vulnerabilities and Exposures), si riferiscono a configurazioni errate o a difetti di sicurezza che possono essere sfruttati da hacker per ottenere un accesso o un controllo non autorizzato. Tali vulnerabilità possono derivare da diversi problemi, tra cui: incapacità di eseguire aggiornamenti di sicurezza a causa di software obsoleto; mancanza di accesso sicuro per le operazioni di manutenzione; carenza di personale specializzato in sicurezza informatica nel contesto OT; difficoltà nel monitoraggio attivo dei dispositivi OT.
Inoltre, è doveroso evidenziare che le infrastrutture OT presentano peculiarità che impediscono l’applicazione degli stessi criteri di difesa utilizzati per gli end-point IT, dato che ogni end-point OT possiede caratteristiche uniche – non solo a livello software, ma anche meccanico – che devono essere protette.
Ciò significa che ogni sistema OT è unico e presenta vulnerabilità specifiche che necessitano di identificazione, di correzione e di protezione ad hoc per garantire la resilienza.
Consigli per la cybersecurity dei sistemi OT & IT
Le organizzazioni che desiderano implementare misure di cybersecurity complete per proteggere non solo gli asset OT, ma anche quelli IT, dovrebbero concentrarsi su alcune attività chiave. E, precisamente:
Inventario degli asset – È fondamentale mantenere un inventario dettagliato di tutti gli asset sia OT sia IT, inclusi hardware, software e dispositivi connessi. Ciò permette di avere una visione d’insieme che facilita la gestione e l’implementazione di misure di sicurezza efficaci in tutto l’ecosistema.
Requisiti di conformità – Comprendere le normative e gli standard di conformità specifici del settore per i sistemi IT e OT – oltre ad implementarli – assicura che l’organizzazione operi all’interno dei quadri legali e mantenga una postura di sicurezza robusta.
Valutazione del rischio – È quanto mai necessario effettuare una valutazione del rischio approfondita per identificare e per prioritizzare le minacce e le vulnerabilità specifiche degli ambienti IT e OT, in modo da adottare misure di sicurezza mirate ad affrontare i rischi più critici.
Pianificazione della risposta agli incidenti – Si tratta di sviluppare e di testare regolarmente piani di risposta agli incidenti che coprano scenari sia IT sia OT per garantire una risposta coordinata ed efficace, minimizzando i danni e i tempi di inattività.
Accesso sicuro – Si tratta di implementare l’autenticazione a più fattori (Multi Factor Authentication – MFA) – inclusi dati biometrici, i.e. impronta digitale, voce, riconoscimento facciale e altro – e gestire le identità privilegiate per gli amministratori. Inoltre, si consiglia di limitare l’accesso alle “porte di gestione legacy” e registrarne l’utilizzo. Ancora, la gestione delle identità e degli accessi (IAM – Identity & Access Management) è fondamentale per gli ambienti OT. Si tratta di stabilire chi dovrebbe avere accesso e a cosa, oltre a monitorare gli accessi e le autorizzazioni passati.
Collaborazione e comunicazione fra team IT e OT – È importante stabilire sia canali di comunicazione efficaci sia meccanismi di collaborazione tra i team IT e OT, dato che ciò favorisce la condivisione di informazioni sulle minacce e relativi approfondimenti, oltre a rafforzare le difese complessive di sicurezza.
Formazione – È quanto mai importante affrontare le carenze di competenze tra il personale sia IT sia OT, prevedendo programmi di formazione trasversale per garantire che i team comprendano e possano gestire efficacemente entrambi gli ambienti.
Inoltre, si consiglia, sempre ai fini della cyber resilienza, di:
Adottare una soluzione di sicurezza IT e OT completa – Ciò dovrebbe offrire la visibilità e il monitoraggio di tutti i dispositivi IT e OT, oltre a consentire il rilevamento e la risposta alle minacce e l’integrazione con le piattaforme SIEM (Security Information and Event Management), SOAR (Security Orchestration, Automation, and Response), EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response).
Abilitare le valutazioni delle vulnerabilità – Si tratta di identificare i dispositivi senza patch nella rete dell’organizzazione e impostare flussi di lavoro per avviare processi di patch appropriati, utilizzando soluzioni di Vulnerability Management (VM) e di difesa degli endpoint.
Ridurre la superficie di attacco – Si tratta di eliminare connessioni Internet non necessarie ai dispositivi IT e ai sistemi di controllo OT, assicurandosi che nessun sistema OT sia direttamente connesso a Internet. Inoltre, si consiglia di: chiudere tutte le porte e i servizi aperti non indispensabili sui dispositivi; eliminare completamente l’accesso remoto, ove possibile; limitare l’accesso tramite firewall o VPN, quando l’eliminazione completa non è fattibile.
Implementare le pratiche Zero Trust – Si tratta di applicare la segmentazione della rete per impedire gli spostamenti laterali di utenti malintenzionati ed evitare di compromettere le risorse post-intrusione. Si consiglia, altresì, di: isolare i dispositivi e le reti OT dall’IT attraverso firewall; estendere il controllo delle vulnerabilità oltre il firewall; attivare strategie di riduzione della superficie di attacco per prevenire tecniche comuni utilizzate dai gruppi di ransomware.
Svolgere attività di Intelligence sulle minacce informatiche – È necessario avere una consapevolezza situazionale dei conflitti geopolitici e geoeconomici che si intersecano con la sicurezza informatica della tecnologia operativa al fine di comprendere le motivazioni degli attacchi informatici.
Vincolare contrattualmente partner e fornitori e far loro rispettare gli standard di sicurezza – La sicurezza dei sistemi OT e IT dipende anche dalla postura adottata da partner e fornitori, i quali possono avere approcci differenti alla cybersecurity. Oggi, più che mai, è fondamentale che essi garantiscano la sicurezza dei loro prodotti e servizi, assumendosi la responsabilità delle forniture in conformità con il quadro normativo europeo vigente che include direttive e regolamenti quali: CRA (Cyber Resilience Act), NIS2 (Network Information Security), DORA (Digital Operational Resilience Act), CER (Critical Entities Resilience), IEC 62443, il Nuovo Regolamento Macchine e l’AI Act. DI seguito alcune azioni da considerare:
- Due diligence – Valutare la postura di cybersecurity dei sistemi IT e OT di fornitori e di partner terzi prima di collaborare, analizzando l’impatto potenziale di un attacco informatico su di essi.
- Classificazione dei rischi – Classificare e categorizzare le terze parti in base al livello e tipo di rischio (compliance, finanziario, reputazione, ecc.) prima di concedere accesso a strutture, reti e informazioni riservate.
- Requisiti di sicurezza di base – Stabilire requisiti di sicurezza per fornitori e per partner – con accesso a strutture, a reti e ad informazioni riservate – da soddisfare prima della formalizzazione della collaborazione.
- Contratti con requisiti di cybersecurity OT – Includere nei contratti aspetti, quali: l’accesso remoto sicuro, l’uso di dispositivi di memoria rimovibili, la protezione dei dati, e la notifica e segnalazione di incidenti.
- Audit periodici – Svolgere audit regolari sulle prestazioni di sicurezza dei fornitori e dei partner per garantire l’adesione ai controlli di sicurezza concordati.
- Strategia di uscita – Sviluppare una strategia per gestire la cessazione della collaborazione con il fornitore, in caso di mancata osservanza dei controlli di sicurezza.
Integrazione IT & OT: quali vantaggi e quali sfide
L’integrazione della sicurezza tra sistemi IT e OT permette di ottenere una visione complessiva della sicurezza organizzativa ed affrontare le vulnerabilità e le minacce, invece di gestirle separatamente, i.e. in silos. Ciò presenta diversi benefici, quali:
- Maggiore chiarezza operativa – Si acquisisce una comprensione più dettagliata dell’intera infrastruttura digitale, migliorando il monitoraggio e l’identificazione delle minacce.
- Maggiore ottimizzazione delle risorse – La collaborazione tra i team IT e OT consente un utilizzo più efficace delle risorse di sicurezza informatica, riducendo duplicazioni e migliorando l’efficienza.
- Migliore coordinamento delle informazioni sulle minacce – L’integrazione dei dati sulle minacce, provenienti da sistemi IT e OT, potenzia la capacità dell’organizzazione di prevedere e di affrontare le minacce informatiche emergenti.
Nonostante i vantaggi significativi, l’integrazione delle pratiche di sicurezza tra IT e OT presenta diverse sfide.
- In primo luogo, i sistemi OT sono spesso progettati per essere isolati e non sono stati originariamente concepiti per interagire con reti IT moderne, rendendo complessa la loro integrazione.
- Inoltre, i team IT e OT operano tradizionalmente in silos separati, con poche opportunità di collaborazione e comprensione reciproca delle rispettive esigenze di sicurezza e delle operazioni quotidiane. Questo divario culturale e operativo può portare a incomprensioni e a una resistenza al cambiamento da entrambe le parti.
- La mancanza di standardizzati protocolli di comunicazione e di interoperabilità tra i dispositivi IT e OT può complicare ulteriormente l’integrazione, aumentando le sfide tecniche e richiedendo significative risorse e investimenti per l’adeguamento delle infrastrutture esistenti.
Infine, l’elevata criticità e la natura mission-critical dei sistemi OT significano che qualsiasi modifica o aggiornamento deve essere eseguito con estrema cautela per evitare interruzioni operative, aumentando quindi la complessità della gestione delle vulnerabilità e delle minacce.
