La trasformazione che sta affrontando il settore manifatturiero, in transizione verso un’idea compiuta di Industria 4.0, è molto più complessa di quanto si possa immaginare. In brevissimo tempo il Manufacturing non ha solo dovuto adeguarsi al ritmo imposto dall’evoluzione delle tecnologie digitali applicate al mondo della produzione e alla complessità dell’Industrial Internet of Things, ma ha anche sperimentato – da subito – i rovesci della medaglia delle soluzioni e degli approcci che promettono di migliorare – nel medio termine – efficienza e qualità dei processi: primo fra tutti, l’aumento esponenziale della complessità delle metodologie di It Security, sperimentata per far fronte ai rischi legati a perdite di dati, cyber attacchi e fermi macchina causati da disservizi informatici. Si rende quindi necessario superare questo approccio generalista a favore di una metodologia specifica per il Manufacturing.
Superando le logiche dei commercial security systems e dei business security systems, che prevedono installazioni di hardware ad hoc per la sorveglianza delle proprietà aziendali, oggi infatti è fondamentale dare vita a ecosistemi di applicativi che prendano in considerazione anche gli asset intangibili del business e integrino circuiti video, allarmi e altri tipi di difese fisiche con i network security toolkit che proteggono il nuovo oro nero dell’industria: i dati. Non a caso sarebbe meglio parlare di Security systems a tutto tondo. Ovvero di sistemi di sicurezza e data protection olistici, dinamici, intelligenti, capaci di dialogare tra loro e di ospitare soluzioni multi-livello, coerenti con le strategie di risk management dell’organizzazione e in grado di rispondere alle esigenze che emergono di volta in volta dalle attività cicliche di vulnerability assessment.
Industrial control systems security: seguire e non intralciare l’evoluzione dei network
Un approccio, questo, che rispecchia l’affermarsi, nel mondo industriale, dei fenomeni di collaborazione tra It (Information Technology) e Ot (Operational Technology), a loro volta determinati dall’evoluzione degli industrial control systems (Ics), che tendono a migrare da meccanismi di trasmissione dati seriali a piattaforme di comunicazione basate sui protocolli Internet. Se da una parte l’omogeneità dei network garantisce una migliore gestione degli asset e una maggiore visibilità sui processi, dall’altra presta il fianco a un appiattimento del livello di prestazioni a cavallo di mondo informatico e mondo operazionale: un rischio, sotto il profilo della sicurezza, ancora più inaccettabile nel momento in cui dai sistemi e dalla loro capacità di erogare e scambiare dati in tempo reale e con basse latenze, dipende la piena funzionalità di macchine che lavorano nella realtà fisica, a contatto con operatori umani. Bisogna quindi evocare un concetto nuovo, una vera e propria industrial control systems security, ovvero una metodologia che protegga, senza isolarli, ciascuno dei network, rispettandone le peculiarità e i differenti needs.
Perché la Defense-in-depth è l’approccio migliore per l’Industry 4.0
In estrema sintesi, è necessario sviluppare un approccio flessibile e declinato per livelli, con strumenti differenziati per aree e in grado di individuare, prevenire e mitigare attacchi, intrusioni, malfunzionamenti o semplici errori umani sia a livello di impianto, sia sul fronte del network, sia, infine, rispetto all’integrità di sistema. Questo approccio prende il nome di Defense-in-depth.
La Defense-in-depth sfrutta la tendenza tipica di qualsiasi disservizio – specialmente quelli indotti dall’esterno con attacchi mirati – a perdere efficacia col passare del tempo. Data l’oggettiva impossibilità di respingere o evitare tutte le minacce – soprattutto nel momento in cui le azioni malevoli crescono di intensità e sofisticatezza – la strategia migliore per impedire che un attacco ben calibrato abbia successo è rallentarlo, costruendo un sistema che anziché avviare procedure standard metta a frutto in modo sinergico e olistico competenze, processi e tecnologie per guadagnare tempo e identificare caso per caso le contromisure più efficaci. A questo si devono aggiungere iniziative di Security monitoring, che presuppongono la raccolta e l’analisi di informazioni atte a rilevare comportamenti sospetti o modifiche di sistema non autorizzate sulla rete e a definire i comportamenti anomali che dovrebbero inoltre avvisi o notifiche a operatori e amministratori di sistema. Come detto, sono tre i livelli su cui agisce un dispositivo di sicurezza impostato secondo la logica della Defense-in-depth:
Plant security: un insieme di strumenti e prassi che nel mondo fisico si muovono parallelamente alle soluzioni di cyber-security. Partendo dagli Assestment di sicurezza e vulnerabilità fino a sistemi di accesso sicuro alle strutture aziendali, passando per l’isolamento fisico delle aree ad accesso ristretto e arrivando alla videosorveglianza, la protezione degli impianti include processi di risk analysis e linee guida che regolano le attività di monitoraggio.
Network security: contrastare i cyberattacchi all’interno delle reti aziendali significa costruire una linea di difesa che partendo da un design di rete segmentato e pianificato, includa celle di protezione, firewall, Vpn (Virtual private network) e strumenti di riconoscimento delle intrusioni e delle anomalie in grado di integrarsi vicendevolmente e di proteggere di concerto il traffico dei dati.
System integrity: l’integrità dell’infrastruttura può essere garantita solo proteggendo a partire da componenti “robusti” nei centri nevralgici dell’industrial control system, prevenendo accessi non autorizzati ai processi di automazione e tutelando gli asset intangibili dell’azienda. Per fare ciò occorre avviare cicli periodici di aggiornamento dei firmware delle applicazioni e irrobustire continuamente le piattaforme digitali attraverso patch specifici.
Lo standard Iec 62443 e la roadmap di Siemens per i Security Systems
La cybersecurity nei sistemi di controllo di automazione trova attualmente una delle sue massime espressioni nello standard Iec 62443, il cui sviluppo ha preso il via in tempi non sospetti, a partire dal 2002, grazie all’azione del comitato Sp99, promosso da Isa (International Society Automation & Control) e formato da protagonisti internazionali del settore industriale. È stato in seguito revisionato e adottato da Iec, la Commissione Elettrotecnica Internazionale, e oggi è stato ufficialmente inserito nel Common Regulatory Framework on Cybersecurity (Crf) della Unece, la Commissione Economica delle Nazioni Unite per l’Europa che riporta al Consiglio economico e sociale delle Nazioni Unite, di fatto affermandosi come punto di riferimento per la security di infrastrutture critiche su scala globale.
Il gap che separa le infrastrutture di un’impresa manifatturiera dalla soddisfazione dei requisiti definiti dallo standard Iec 62443 rappresenta l’indice di rischio che contraddistingue le attività di un’organizzazione che intende sviluppare soluzioni in chiave Industrial IoT e Smart Manufacturing. Avvicinarsi ai modelli produttivi dell’Industria 4.0 significa prima di ogni altra cosa condurre analisi di rischio per comprendere a fondo qual è lo stato di un impianto, identificarne i punti deboli e costruire una base solida – infrastrutturale e organizzativa – su cui potranno attivarsi, al momento opportuno, le contromisure adeguate. Bisogna in altre parole elaborare una roadmap puntuale che dovrà accompagnare l’azienda lungo tutto il percorso di trasformazione, fungendo da benchmark per le nuove attività di risk assessment una volta che i processi sono a regime.
La centralità di questo standard per l’affermazione dell’Industria 4.0 e dei suoi ecosistemi applicativi ha spinto Siemens, da sempre protagonista delle soluzioni per la security in ambito manifatturiero, a dare vita ad un programma di Industrial Network Security, che trova il suo apice nei firewall industriali della famiglia Scalance S, alle soluzioni di Industrial Anomaly Detection e dare vita a servizi di Assessment, tra i quali l’Assessment Iec 62442, grazie al quale le imprese possono stabilire quali azioni e strumenti specifici vanno adottati per rendere impianti e macchine conformi al framework.
