Le aspettative legate allo sviluppo dell’Industria 4.0 sono sempre più elevate, anche in vista degli investimenti collegati al piano per la ripresa Next Generation EU. Il suo sviluppo, però, non richiede solo un impegno finanziario: la pianificazione del nuovo ecosistema industriale richiede un approccio adeguato da parte delle aziende, che passa anche per la messa in sicurezza delle infrastrutture tecnologiche.
Indice degli argomenti
Il nodo dei sistemi OT
L’impatto a livello di cyber security del processo di digitalizzazione nel settore produttivo è già sotto gli occhi di tutti. La cronaca degli attacchi registrati nel 2020, e i danni subiti dalle aziende che ne sono state vittime, ha portato la protezione dei sistemi informatici a scalare la classifica delle priorità in qualsiasi ambito. La lezione imparata è semplice: oggi l’integrità dei sistemi IT è uno dei principali fattori abilitanti del business, a qualsiasi livello. L’evoluzione verso l’Industria 4.0 non fa altro che amplificarne l’importanza. Il processo di automazione, infatti, ha come immediata conseguenza l’evaporazione di quella “barriera” che separava l’Information Technology dall’Operational Technology. In altre parole: un eventuale cyber attacco nell’era dell’Industria 4.0 rischia di avere conseguenze molto più ampie e rilevanti di quanto non accadesse in passato. Il recente caso dell’attacco a Luxottica, che lo scorso 21 settembre ha subito un attacco informatico ai suoi sistemi, è indicativo dell’impatto che ha un “incidente” a livello IT sui sistemi produttivi. L’azienda ha subito un fermo di 24 ore, in cui tutta la produzione è stata sospesa. Per adattarsi a questa nuova prospettiva, è necessario adeguare anche le strategie di difesa dagli attacchi informatici. “Operare nel settore industriale richiede l’adozione di nuovi parametri” spiega Alessio Aceti, CEO di Sababa Security. “Quello che bisogna adottare è un approccio orientato a garantire per prima cosa la sicurezza, l’affidabilità e la produttività”.
Who's Who
Alessio Aceti
Le conseguenze del nuovo ecosistema
La dissoluzione del confine tra IT e OT propria dell’Industria 4.0 ha un impatto sulle logiche di security che coinvolgono l’organizzazione stessa dell’azienda e impongono, in primo luogo, l’implementazione di strumenti di collaborazione e coordinamento orizzontali tra i due ambiti. “Per garantire un livello adeguato di cyber security, è necessario declinare la configurazione dei sistemi in accordo con gli standard e implementare l’uso di specifiche tecnologie” conferma Aceti. “Più di tutto, però, è fondamentale avviare un processo di formazione che coinvolge sia i responsabili dei sistemi IT dedicati alla produzione, sia le risorse che normalmente non operano in quel settore”. La nuova dimensione, in pratica, può (e deve) essere letta come un vero “processo di digitalizzazione” a tutti i livelli.
Un approccio in 5 fasi
Se la predisposizione di una infrastruttura di cyber security in ambito industriale richiede necessariamente l’adozione di soluzioni tecnologiche specifiche individuate sulla base delle caratteristiche “verticali” dell’impresa, secondo il CEO di Sababa il processo di definizione delle strategie rimane lo stesso. “Il primo passaggio è quello relativo all’assessment, da eseguirsi attraverso un processo di audit della sicurezza” spiega Aceti. “Sulla base di questo è possibile individuare eventuali configurazioni errate, vulnerabilità, vettori di rischio e definire la priorità per selezionare le tecnologie più adeguate a proteggere le infrastrutture”. Una volta portate a termine queste due fasi, si può passare all’implementazione degli strumenti di protezione stessi. Le ultime fasi, spiega l’esperto della società milanese, riguardano la predisposizione di un sistema di monitoraggio continuo e, come anticipato, di formazione continua.
Le criticità della security nell’Industria 4.0
Ma quali sono gli aspetti su cui concentrarsi e i temi più spinosi nell’industria 4.0? Il tema evidenziato dagli esperti riguarda principalmente il problema legato alle differenze che caratterizzano il settore IT e quello OT. I dispositivi sensibili all’interno delle linee di produzione, infatti, hanno caratteristiche diverse da quelli che normalmente compongono l’infrastruttura IT. PLC, sistemi SCADA e controller collegati alle macchine industriali sono spesso trascurati nella visione complessiva della sicurezza informatica. Una impostazione derivata dal presupposto (ormai superato) che i device di questo tipo siano in qualche modo “isolati” dal resto del network e in qualche modo protetti dagli attacchi in remoto. Non solo: la particolarità in ambito di Industria 4.0 riguarda anche la tipologia di vulnerabilità su cui possono fare leva i cyber criminali. Si tratta spesso di bug che interessano sistemi molto specifici, che non sempre vengono considerati a livello di threat intelligence. “La protezione di settori verticali come l’OT richiede l’adozione di strumenti specializzati anche nella raccolta e analisi delle vulnerabilità e degli exploit applicabili a questo tipo di dispositivi” conferma Aceti. “Un’attenzione che deve riguardare anche il monitoraggio della rete, per il quale è necessario utilizzare strumenti specifici in grado di analizzare i protocolli utilizzati dai dispositivi dedicati all’ OT”.
Tempi diversi
Uno degli aspetti più rilevanti a livello della gestione della cyber security in ambito OT riguarda il gap che separa le tecnologie a livello di durata del ciclo di vita. “Nel mondo dell’IT tutto avviene con maggiore velocità rispetto a quanto succede nel settore operational” conferma Aceti. “Questo gap può provocare un aumento del rischio di emersione di vulnerabilità che i pirati informatici possono sfruttare”. In altre parole, la differenza di “aspettativa di vita” tra le linee di produzione e i sistemi digitali che le gestiscono apre alla possibilità che le aziende si trovino a utilizzare strumenti IT ormai obsoleti, con tutte le conseguenze relative in tema di sicurezza. Si tratta di un fenomeno denunciato da tempo, che stenta però a “rientrare” e che affonda le radici anche nelle caratteristiche diverse (soprattutto in termini di costi) tra settore IT e OT. In ambito industriale, le linee di produzione hanno un peso economico decisamente più elevato e un’obsolescenza notevolmente ridotta rispetto all’IT. I macchinari sono pensati per garantire il loro funzionamento anche per decenni e, in alcuni casi, lo stesso concept di progettazione punta a offrire un’affidabilità a tempo indeterminato.
Un rapporto “difficile” tra hardware e software
Il problema si annida nella correlazione e la compatibilità con gli strumenti di controllo a livello software. In molti casi, infatti, le aziende si trovano costrette a utilizzare sistemi legacy proprio a causa dell’impossibilità di aggiornarli, pena rischiare l0incompatibilità con i macchinari. Il risultato è che le aziende del settore industriale sono più esposte di altre ad attacchi che sfruttano vulnerabilità conosciute. Stando alle statistiche rilevate da Trend Micro nel 2019, in ambito produttivo un sistema come Windows 7 (il cui supporto è terminato ormai un anno fa) rappresentava ancora il 60% dell’installato a livello aziendale. Windows XP, che rappresenta ormai un esemplare di archeologia informatica, è presente ancora sul 4,4% dei dispositivi.
Vietato trascurare l’ordinaria amministrazione
Come cambiano le minacce rivolte alle aziende nell’Industria 4.0 rispetto ad altri settori? Sotto un profilo statistico, in realtà, non cambia nulla. “I vettori di attacco usati dai pirati informatici sono sempre gli stessi” spiega Alessio Aceti. “Attacchi mirati, ransomware e phishing rimangono gli strumenti più utilizzati dai cyber criminali per colpire le aziende, sia che rientrino nell’ambito dell’Industria 4.0, sia che non ne facciano parte”. Alcune strategie di attacco, però, meritano una particolare attenzione. Per esempio quelle che sfruttano come vettore di attacco le memorie USB e i supporti fisici in genere, che spesso rappresentano l’unico strumento per colpire quei dispositivi industriali protetti dal cosiddetto “air gap”, cioè quelli che non sono collegati in rete e non possono di conseguenza essere raggiunti da eventuali attacchi attraverso tecniche convenzionali, come l’uso di allegati email o link malevoli. Sotto questo profilo assumo grande rilevanza non solo gli strumenti tecnologici (come il blocco o la limitazione dei collegamenti tramite USB) ma anche le policy adottate a livello aziendale.
