Perché conviene ‘pensare sicuro’

Intervista a Enzo Maria Tieghi, fra i massimi esperti di security industriale, che ci offre una visione in chiaroscuro della 'cybersicurezza'

Ospitiamo ancora una volta in questo blog Enzo Maria Tieghi, imprenditore, divulgatore, informatico, AD di ServiTecno, uno dei massimi esperti di security industriale, che ci offre una visione in chiaroscuro della sicurezza in campo industriale, dove prevalgono però i segnali di fiducia.

Domanda: Cybersecurity: quali sfide, investimenti e scenari si prospettano nei prossimi anni?
Tieghi: Se parliamo di ICS/OT Cybersecurity (Industrial Control System/Operational Technology), la prima sfida è quella di far capire a tutti quelli che usano sistemi di controllo e telecontrollo che la protezione di reti e sistemi OT è ormai indispensabile, per garantire alta disponibilità all’impianto stesso. Il passo successivo è quello di mettere la security tra i requisiti di sistema per chi progetta, sviluppa, usa e mantiene tali sistemi: quello che io definisco ‘security by design’, affinché sia presente in ogni fase del ciclo di vita del sistema, fino alla sua dismissione per obsolescenza. Assodato questo, alcune nuove architetture e tecnologie hanno ed avranno impatti anche su criteri, metodi e strumenti per la protezione di reti e sistemi di controllo e telecontrollo: pensiamo per esempio a Industrial Internet, IIoT, sistemi cloud (privati, ibridi, pubblici), Fog-computing, SDN (Software Defined Network) ecc. Perimetro e valutazione dei rischi (anche quelli cyber, ma non solo quelli) devono guidare nella scelta delle contromisure da adottare.

D. La diffusione di soluzioni cloud, big data e dispositivi IoT comporta nuovi pericoli per la sicurezza dei sistemi IT e industriali. Di quali nuove tecnologie, practice e governance abbiamo bisogno per ridurre il rischio portato dalle nuove piattaforme?
Tieghi: Come detto, con le nuove architetture si devono adeguare anche le priorità e i criteri di protezione. La difesa perimetrale, che finora era stata tra le più adottate ed efficaci, con segmentazione della rete e segregazione degli asset critici, deve essere affiancata da nuovi strumenti come ad esempio tool di identificazione di anomalie e monitoraggio stretto dello stato di salute dell’infrastruttura, analisi del traffico che transita verso tutti i device ecc. Desidero anche qui ripetere e sottolineare il concetto di ‘security-by-design’: pensare quindi di architetture definite ‘sicure’, adozione di ‘connessioni e protocolli sicuri’, utilizzo di componenti intrinsecamente ‘sicuri’ e così via. Non dimentichiamo il fattore umano: security significa anche awareness, training degli operatori, documentazione, policy e procedure che dipendono dalle persone che adottano, sviluppano e gestiscono tali sistemi.

D. Come sta affrontando il nostro Paese il tema della cybersecurity? Cultura della prevenzione e iniziative di sensibilizzazione sono cresciute rispetto a qualche anno fa?
Tieghi: Qualcosa si muove. Per esempio durante questo mese di ottobre 2016 è stato proclamato da Enisa (agenzia europea per la sicurezza informatica) l’European Cyber Security Month (Ecsm): un susseguirsi di incontri, webinar e convegni su Industria 4.0 e cybersecurity. Ovunque abbia avuto occasione di partecipare si è sempre evidenziato il legame tra i due temi: non si può attuare un valido piano di connessioni secondo i dettami dell’Industrial Internet e dell’Industria 4.0, prescindendo dall’aspetto di protezione dell’infrastruttura utilizzata e senza tenere conto dei rischi cyber. Probabilmente a furia di parlarne, qualcosa rimane: noi come fornitori di tecnologie per l’Automazione, l’Industrial Internet e OT Security (Operational Technology Security, la protezione di reti e sistemi utilizzati sugli impianti) quotidianamente ci confrontiamo con clienti e specifiche di sistemi nei quali finalmente si tiene conto anche di questo aspetto.

D. In campo industriale, in quali settori e da quali soggetti arrivano i nuovi rischi e quali dispositivi di automazione e controllo si presentano più vulnerabili?
Tieghi: Ormai componenti e tecnologie utilizzati sugli impianti sono sempre le medesime, in qualunque settore industriale: una vulnerabilità scoperta in un PLC (e ne affiorano ogni mese, indipendentemente da marche e modelli) possono fare danni nell’industria alimentare, come in quella del vetro, dei metalli, in un depuratore o in qualsiasi altro impianto. Dalla nostra esperienza possiamo affermare che i rischi maggiori vengono dalle connessioni remote, quelle utilizzate per fare manutenzione a distanza, che vedono collegamenti a volte non censiti e non controllati. Spesso si aggiungono dispositivi per la connessione da remoto senza criteri di security, solo per comodità, senza un’attenta valutazione di eventuali impatti sulla rete di stabilimento. Ma anche qui vorrei non generalizzare: se l’architettura della rete di fabbrica è ben studiata (ricordate cosa dicevamo poco fa sul ‘security-by-design’?), monitorata e protetta e la connessione è gestita in modo ‘oculato’, i rischi si possono abbassare e gestire.

D. Alcuni osservatori, per esempio Alec Ross, consigliere tecnologico del governo americano, considerano la cybersecurity una delle tecnologie ‘disruptive’ dei prossimi decenni (al pari di robotica, intelligenza artificiale, genomica, big data e finanza elettronica), in grado di mettere a rischio i rapporti politici tra Stati e al tempo stesso di generare nuove professionalità e occasioni di business. È d’accordo?
Tieghi: Concordo totalmente sull’aspetto ‘disruptive’ riferito alla cybersecurity, anche se più che una tecnologia lo considererei un fattore abilitante, un ‘facilitatore’ per permettere di utilizzare in modo ‘sicuro’ le piattaforme dedicate allo sviluppo delle altre tecnologie citate come robotica, AI, genomica, big data e E-Finance oltre naturalmente alle altre che verranno. È vero anche che stiamo vivendo un momento di ‘skill shortage’: le tecnologie vengono sviluppate e avanzano con un passo più spedito rispetto alle competenze delle persone che dovrebbero adottarle. Contiamo quindi sulle ‘nuove leve’, sui ‘nativi digitali’, affinché si possa consolidare un livello globale di ‘consapevolezza digitale’. Nel frattempo dobbiamo pensare a come proteggere in modo efficace le nostre infrastrutture, soprattutto le infrastrutture critiche, quelle che consentono agli Stati di funzionare e ai cittadini di condurre una vita civile. Tutte le infrastrutture critiche sono ormai gestite con sistemi complessi e questi possono essere obiettivi esposti al rischio cyber: le tecnologie ci possono aiutare nella protezione, ma l’aspetto da coltivare maggiormente è l’attitudine e la coscienza delle persone nel mettere in pratica atteggiamenti ‘sicuri’. In definitiva, la cybersecurity può essere un business profittevole capace di generare occupazione? Nel breve-medio periodo penso di si. Auspico però che il ‘pensare sicuro’ e la ‘security-by-design’ rientrino a tutti gli effetti nel programma di formazione di chiunque vada a scuola e vivrà domani in un mondo nel quale saremo tutti connessi a tutto.

EnisaEnzo Maria TieghiICSIndustria 4.0OTsecuritySecurity-by-Design

« Torna al Blog

Dialogando

il blog di Armando Martin

Dialogando è il blog che Armando Martin cura per Automazione Plus. In questo spazio l'autore proporrà interviste, dialoghi, riflessioni e scambi di opinioni con i protagonisti del mondo dell'industria, dell'innovazione e della ricerca. Se qualcuno di questi post vi ha incuriosito e volete parlarne con l'autore o con altre persone, potete farlo sul Gruppo di Discussione di Automazione e Strumentazione su LinkedIn e a breve sulla pagina facebook dedicata a queste conversazioni.

scopri l'autore

Per commentare devi autenticarti:

Connect with:

Contenuti correlati

• 
  Socomec ottiene la certificazione ISO/IEC 27001 a garanzia della sicurezza di prodotti e servizi

  Al giorno d’oggi la sicurezza informatica è diventata una sfida strategica fondamentale; il tasso di attacchi informatici è aumentato in modo esponenziale dal 2020 e il settore manifatturiero è ora il secondo settore più colpito. Socomec non prende...
• 
  Come mettere in sicurezza i dati nell’industria

  La crescita dei dati e delle interconnessioni ha reso l’industria un bersaglio sempre più appetibile per gli aggressori informatici. La necessità di sicurezza IT e OT negli ambienti industriali non è mai stata così importante come oggi....
• 
  Innovazione, competenze e sostenibilità per l’industria

  Verso l’undicesima edizione di SPS Italia, in programma a Parma dal 23 al 25 maggio. In primo piano innovazione e sostenibilità, declinate nelle tre dimensioni: green, sociale, economica. Un’occasione per riflettere sulla trasformazione dell’industria in ottica 4.0....
• 
  TXOne Networks: la cybersecurity in ambito OT

  Nata da una joint venture fra Moxa, realtà di riferimento nel campo delle soluzioni di connessione, e Trend Micro, esperta nell’ambito della cybersecurity, TXOne Networks opera specificatamente nel campo della sicurezza delle reti industriali, tema sempre più al centro dei pensieri...
• 
  La ‘mente’ del sistema

  Le soluzioni di controllo, PLC, PAC, IPC, si evolvono adeguandosi alle necessità di Industria 4.0. La crescente mole di dati raccolti dal campo deve infatti essere velocemente processata per un’ottimizzazione continua della produzione Leggi l’articolo
• 
  L’economia circolare è un ‘must have’

  Economia circolare e sostenibilità per le aziende sono un fattore di sviluppo necessario che si basa su un modello industriale sempre più automatizzato. Un concetto presentato nel white paper ‘Digitalizzazione e sostenibilità nel mondo industriale’ Leggi l’articolo
• 
  Gestire le flotte con il potere dell’informazione

  Una soluzione di Applika, azienda del Gruppo Picotronik, consente il monitoraggio di flotte aziendali gestendo controllo, sicurezza e reportistica. Utilizzando le tecnologie IoT già disponibili, diventa possibile ottimizzare la gestione e i costi delle flotte di veicoli....
• 
  Soluzioni per un’industria interconnessa e a impatto climatico zero

  ‟Produzione a zero emissioni di CO2, intelligenza artificiale, tecnologie dell’idrogeno, gestione energetica e Industria 4.0 – sono questi i temi trasversali di Hannover Messe 2023”, dice Jochen Köckler, CEO di Deutsche Messe. ‟Solo con l’interazione di queste...
• 
  Edge computing industriale, un tassello fondamentale per Industria 4.0

  Mentre le reti industrial IoT (IIoT) si diffondono, nelle infrastrutture di produzione cresce il numero di applicazioni con requisiti real-time e ‘time-critical’ che hanno bisogno di interfacciarsi con il resto della rete. Per raccogliere ed elaborare i...
• 
  Sicurezza per smart city e smart industry: cosa ci aspettiamo dal 2023?

  Una delle sfide tecnologiche del prossimo futuro riguarderà la realizzazione di soluzioni in grado di rendere i centri urbani e le aziende sempre più smart, ossia luoghi iper-connessi e dotati di sistemi tecnologici che migliorino la qualità...