Le strategie di Risk management per gli ambienti IoT

Uno dei fenomeni più interessanti attualmente è l’Internet of Things (IoT): qualsiasi tipo di dispositivo, tramite internet, può connettersi a qualsiasi altro dispositivo. Ne deriva che i rischi di violazione, perdita di dati e cyber attack abbiano un’immensa estensione in cui consumarsi e colpiscano, quindi, sempre più le organizzazioni. Bisogna pertanto attrezzarsi per contrastarli, considerando il fatto che la maggior parte dei dipendenti si connettono via e-mail e smartphone sicché i sistemi si connettono agli utenti e gli uni agli altri attraverso reti sempre più intelligenti.

Inoltre, l’IoT, accoppiato con i progressi e la disponibilità di apparecchiature con funzionalità di Artificial Intelligence (AI), se da un lato migliora l’efficienza aziendale, fornisce un migliore servizio clienti, genera maggiori profitti e crea nuove opportunità di business, dall’altro lato implica l’implementazione integrata di piani di Risk management, Business continuity e Disaster recovery per contrastare cyber attack di varia natura.

Secondo gli esperti di Cybersecurity, entro il 2021 ci saranno oltre 50 miliardi di dispositivi connessi, per cui le organizzazioni devono essere consapevoli dell’altissima probabilità di incorrere in rischi da affrontare.

Business continuity, Risk management & Disaster recovery plan

Quando si fa uso di dispositivi IoT si dovrebbe analizzare tutto ciò che si connette a Internet, i.e. dispositivi per ufficio come sistemi desktop, computer portatili, stampanti, scanner, fotocopiatrici, fax, ecc. è necessario includere tutti i dispositivi collegati in rete per mezzo dei data center, indipendentemente dal fatto che si trovino in loco o siano distribuiti in sedi diverse o siano disponibili sul cloud, oltre a esaminare le organizzazioni esterne con cui ci si connette (i.e. i clienti, i fornitori chiave e i social media).

Altrettanto necessario è:

• aumentare le attività di Business Impact Analysis (BIA) e di Risk Assessment (RA), per identificare l’impatto dell’IoT sull’organizzazione a livello operativo, finanziario, competitivo e reputazionale;
• identificare meglio i punti di contatto dei sistemi basati sull’IoT che interagiscono tra loro e con le persone;
• approfondire le relazioni tra le varie piattaforme tecnologiche, partendo dal presupposto che tutto sarà collegato a qualcosa, in modo tale da avere una visione a 360 gradi;
• assegnare priorità di gestione ai propri dispositivi in base alla loro tolleranza del rischio, determinando altresì un budget per la protezione delle risorse e dei dispositivi;
• assicurarsi che la protezione perimetrale della rete sia aggiornata e continuamente migliorata in termini di firewall; sistemi di rilevamento e prevenzione delle intrusioni, tecnologia di monitoraggio della rete avanzata, software antivirus, antispam e anti-phishing.,
• assicurarsi che i dati – sia inattivi che in transito – siano crittografati;
• replicare regolarmente sistemi critici, macchine virtuali e dati, in modo da poter ricreare l’ambiente originale.

I piani di Risk management, Business continuity e Disaster recovery, una volta implementati, dovranno essere esercitati annualmente oltre a essere debitamente aggiornati ed esercitati ogni qualvolta vengono introdotti nuovi dispositivi.

I professionisti di Risk management e Business continuity devono collaborare con i professionisti dell’IT e della Cybersecurity in quanto le violazioni dei sistemi basati sull’IoT sono il presupposto per generare attacchi informatici da più direzioni; attacchi che possono essere gestiti solo attraverso un approccio olistico, abbandonando la logica dei silos, per abbracciare lo sviluppo integrato delle soluzioni.

Come gestire al meglio le problematiche IoT nell’Industria 4.0

Il successo delle misure adottate per garantire la sicurezza informatica dipenderà anche dal grado di coinvolgimento di tutta l’organizzazione: di fatto, la cybersecurity non è solo prerogativa della funzione IT, ma anche di ogni dipendente. Non v’è dubbio che più gli utenti sono consapevoli dei rischi, più un’azienda migliora la propria resilienza.

Si dovrà, inoltre, avere che cura che le password dei dispositivi siano gestite in modo tale da evitare la loro violazione, adottando strong password ed è altresì consigliabile l’autenticazione a due fattori (2FA) per i sistemi con connessione Internet e per tutte le soluzioni di accesso da remoto, nonché per gli utenti con “privilegi” di accesso e ogni qualvolta pervengano richieste di accesso ad archivi di dati sensibili.

Ogni organizzazione dovrebbe, infine, considerare di:

• implementare un rigoroso processo di backup per garantire che, in caso di cyber attack, i cosiddetti business-critical data possano essere recuperati.
• archiviare i dati, di cui è stato eseguito il backup, in più posizioni sicure, inclusa una posizione “offline” in modo tale che non siano compromessi dai sistemi “infetti”.
• verificare regolarmente che i backup vengano eseguiti correttamente e che le procedure di ripristino dei dati funzionino come previsto.
• monitorare tutti gli account per rilevare attività insolite. Per esempio, se un utente accede a file o unità, ma non dovrebbe interagire con tale interfaccia, tale attività dovrebbe essere rilevata prontamente e bloccata.
• tenere un registro di tutti gli account cui ogni utente ha accesso e rimuovere le autorizzazioni non appena il dipendente lascia l’azienda.

Configurare tutti gli ambienti in modo sicuro

Un’altra problematica, da non sottovalutare, è quella degli ambienti non configurati in modo sicuro, che possono consentire l’accesso non autorizzato. È quindi imperativo:

• garantire la sicurezza degli ambienti e la configurazione sicura di tutti i sistemi in ogni momento.
• pianificare vulnerability assessment per identificare i punti deboli dell’infrastruttura IT e per definire le funzionalità di rilevamento e di risposta ai cyber attack.
• conciliare le soluzioni più datate (legacy) con quelle più innovative,
• applicare regolarmente le patch di protezione e mantenere aggiornati tutti i sistemi e le applicazioni per evitare che l’assenza di patch consenta ai cyber attack di approfittare di tale vulnerabilità.

In una società in cui il remote/smart working si sta sempre più diffondendo, è importante implementare misure di protezione dei dati aziendali o personali sensibili a fronte di smarrimento, di furto o di compromissione di un dispositivo mobile. Molti dispositivi mobili aziendali – i.e. laptop, smartphone e tablet – non solo contengono dati sensibili salvati localmente, ma sono anche connessi alla rete interna dell’azienda tramite VPN e browser, offrendo, cosi, agli hacker una via “preferenziale” di accesso al core dell’azienda. Pertanto, è necessario implementare procedure sicure di remote/smart working, utilizzando soluzioni e criteri adatti e affidabili di gestione dei dispositivi mobile aziendali.

Il monitoraggio di tutti i sistemi e delle reti dovrà essere garantito al fine di rilevare eventuali modifiche o attività che potrebbero portare alla loro vulnerabilità, creando un Security Operations Center (SOC) che, avvalendosi di Industrial Control Systems (ICS), sia in grado di offrire una copertura integrata e adeguata, non solo a ciascun macchinario, ma anche a ciascun dispositivo fisso e mobile presente in azienda, fino a presidiare tutti i piani di ogni edificio e i data center (spesso distribuiti su più sedi).

Ultima misura, ma non meno importante, consisterà nel garantire la diffusione di una cultura digitale che porti a una maggiore consapevolezza, rispetto a comportamenti che possono essere rischiosi per l’organizzazione, implementando policy di security IT integrate a quelle di policy di security industriali, prevedendo percorsi di training ad hoc per tutto il personale, in modo tale che esso acquisisca i digital skill necessari per operare in un contesto sempre più digitalizzato.

Conclusioni

È oramai evidente a tutte le organizzazioni che la trasformazione digitale, attraverso la spinta dell’innovazione tecnologica – a livello di processi, funzioni e organizzazione – è la conditio sine qua non per continuare a essere competitivi.

Attualmente la mancanza delle competenze tecniche specifiche costituisce il principale ostacolo per affrontare la cybersecurity, sicché sforzi organizzativi devono essere fatti per implementare efficaci ed efficienti piani di Business Continuity, Risk Management e Disaster Recovery. Inoltre, non dobbiamo dimenticare che lo sviluppo e la diffusione della cultura digitale costituiscono il volano del cambiamento in atto, in termini di mappe delle competenze e di revisione dei principi di leadership.

Secondo gli analisti di Gartner, la fusione tra mondo fisico e mondo digitale sta portando al cosiddetto “digital connectivism”, ossia quella condizione in cui cose e persone coesistono e condividono dati ed informazioni creando nuove abitudini virtuali che influenzano abitudini proprie del mondo fisico, incluse quelle più consolidate e che plasmano nuove regole di vita. Pertanto, nuove regole e misure devono essere adottate per gestire al meglio una società in cui l’IoT fa sempre più parte della quotidianità; una società basata su un sistema socio-tecnologico che deve essere sempre più resiliente.