Come ridurre il rischio IT nel mondo industriale? Quali sono le best practice di riferimento? Come potenziare i processi di protezione e remediation con automazione dei processi e sistemi di autoapprendimento (IA/ML)? Consideriamo la cybersecurity della supply chain, della filiera industriale. Come incrementare resilienza e trasparenza lungo la catena produttiva?
Queste domande sono state al centro del dibattito che si è svolto lo scorso 4 maggio a Milano, in occasione dello SMART MANUFACTURING SUMMIT 2023, nella sessione dedicata a “SICUREZZA OT, IT, IoT E CLOUD NEL MONDO INDUSTRIALE”.
Il rischio cyber è oggi un rischio di business, ed è una priorità da considerate per la resilienza deli impianti produttivi nell’industria. “Secondo un’indagine recente specifica su questi temi, la metà delle aziende non si è nemmeno accorta del fatto di aver avuto un incidente informatico in fabbrica – ha detto Luca Moroni, co-Fondatore di Cyber Security Angels (CSA) -. Gli incidenti non sono identificati, o per lo meno non si capisce che sono dovuti alla parte informatica. Altro aspetto, la frequenza è diventata molto elevata: oggi si arriva ad avere un incidente di questo tipo anche una volta al mese. La produzione è poco resiliente: per questo motivo gli attaccanti sono molto interessati a colpire questi ambienti”.
Dal punto di vista della cybersecurity, quello che più caratterizza il mondo industriale è il tema della protezione delle reti OT (Operation technology, tecnologia relativa ai processi produttivi, diversa quindi dall’IT, Information technology, tipica di ambienti con colletti bianchi, come amministrazione, finanza, risorse umane). Gli attacchi informatici alle infrastrutture critiche e agli ambienti OT che le caratterizzano potrebbero aumentare nel 2023, sia per le tensioni geopolitiche, sia per il continuo evolvere delle tecniche di attacco, sempre più sofisticate e intrusive.
I rischi per questi ambienti aumentano per la crescente connettività tra le Operational Technology (OT) con la tecnologia dell’informazione (IT), un aspetto che consente agli aggressori di accedere e controllare questi sistemi. Per ridurre la possibilità che gli ambienti OT siano oggetto di attacchi informatici, bisognerà in futuro tener conto del fatto che la cybersecurity per l’OT richiede soluzioni, competenze e processi specifici, metodologie che non possono essere traslate direttamente dal mondo IT.
Nel corso dello Smart Manufacturing Summit, sono stati approfonditi i rischi e le priorità della cybersecurity nel mondo industriale, durante la discussione che ha visto la partecipazione di Daniele Francesco Alì, Vice President Cyber Security Fincantieri Spa & CEO E-phors, Fincantieri Nextech, Luca Bertoglio, CISO, Marelli, Matteo Corsi, CISO, Bomi Group, Omar Moser, Group CIO, Gnutti Carlo Group, membro, Cyber Security Angels (CSA), Paola Meroni, Global Privacy Manager, Whirlpool Corporation e Valentina Frediani, Founder & CEO, Colin & Partners.
Sono emerse numerose considerazioni di grande rilievo in tema di Industrial Cybersecurity. Il mondo industriale conta tutta una serie di complessità che rendono molto difficile il lavoro di chi si occupa di cybersecurity.
- Bisogna proteggere l’azienda, i suoi dati, i processi produttivi critici.
- Proteggere le stesse persone la cui safety è messa a rischio.
- Bisogna anche proteggere i prodotti, che constano spesso di numerosi componenti, quindi anche una filiera di subfornitura che va coinvolta su questi temi.
- Bisogna considerare che le catene produttive si estendono in geografie molto ampie, globali, e sono quindi soggette a problematiche di tipo geopolitico.
- In aggiunta, gli impianti industriali utilizzano infrastrutture obsolete, non tutte propriamente collegate tra loro, con distribuzione elevata dei sistemi e dei dati da proteggere.
- Le strutture operative locali che si occupano della gestione degli impianti operativi OT spesso non hanno neanche una formazione di base sulla cybersecurity.
- Infine, va considerata la presenza di dati personali (e di conseguenza, esigenze di privacy e compliance) sia a livello di processi industriali, sia di prodotti, che sempre più spesso contemplano connettività Internet (IoT, Internet of Things), e sono soggetti quindi a vulnerabilità ad attacchi cyber e data breach.
Le raccomandazioni e le best practice indicate dai Relatori del Summit sono molteplici, e per la loro rilevanza, le elenchiamo in sintesi:
- Punto assolutamente prioritario, servirebbe oggi riconoscere il valore anche economico della cybersecurity perché a questo investimento sia riconosciuto un ritorno effettivo per il business.
- La disciplina non va banalizzata: deve essere riconosciuta l’elevata specializzazione di queste attività e l’elemento di competitività acquisito dall’azienda che fa proprie le best practice della sicurezza.
- Le attività di cybersecurity vanno attentamente prioritizzate in funzione del contesto e del settore aziendale: il rischio supply chain, ad esempio, è oggi molto elevato in realtà fortemente interconnesse con le terze parti, che pur avendo attuato al proprio interno tutte le misure di sicurezza, non si sono premunite abbastanza verso fornitori terzi.
- Per tener conto della complessità e della distribuzione degli ambienti industriali da proteggere, bisognerebbe considerare una semplificazione e consolidamento delle soluzioni di sicurezza, oltre che un monitoraggio centralizzato delle stesse.
- Per sensibilizzare gli operatori, sarebbe poi opportuno definire in ogni sito industriale un’organizzazione per la cybersecurity, con policy di controllo e capacità di esecuzione delle stesse. Una maggiore presa di coscienza del problema da parte di tutti gli stakeholder sarebbe fondamentale per garantire la sicurezza degli impianti.
- Le vulnerabilità degli oggetti connessi (IoT, Internet of Things) sono molteplici, e stiamo parlando di device spesso insospettabili: oggi anche un normale elettrodomestico è uno di questi.
- Un aspetto non trascurabile è garantire la sicurezza dei dati e la privacy delle persone: per gestire i dati in modo corretto, serve trasparenza e aderenza alle normative, serve che gli acquirenti siano correttamente informati, avere il loro consenso esplicito.
- Il tema regolamentare è sempre più ampio e abbraccia diversi aspetti della cybersecurity. La nuova direttiva NIS 2 (entrata in vigore lo scorso 17 gennaio 2023, dovrà essere recepita in Europa dagli Stati entro il 17 ottobre 2024) è prevista avere una forte incidenza sulle imprese e comporterà una diversa visione della cybersecurity. Obbligatoriamente, la sicurezza dovrà essere considerata in ogni ambito dell’organizzazione e non solo: si parlerà infatti di intere filiere produttive coinvolte dal nuovo adeguamento normativo.
- Sanzioni e responsabilità del management guideranno questi ambiti nei prossimi anni. La NIS 2 introduce obblighi di segnalazione degli incidenti con un’ottica di accountability, rendendo quindi necessaria un’attività di prevenzione e monitoraggio continuativo della sicurezza. Spinge inoltre nel creare una cultura di sicurezza trasversale nelle organizzazioni, obbliga gli amministratori delegati a fare formazione sul tema della cybersicurezza e li responsabilizza molto di più rispetto al passato sui possibili impatti di un incidente di cybersecurity.
A cura di:
Elena Vaciago, Research Manager, The Innovation Group
Leggi anche: CYBERSECURITY INDUSTRIALE, PARTE 1: STATO DELL’ARTE, NUOVI SVILUPPI, IMPATTO DELLE NORME
Rivedi il video completo della Sessione “SICUREZZA OT, IT, IoT E CLOUD NEL MONDO INDUSTRIALE”.
