94 / 116
AO
TAVOLA ROTONDA
A.O.:
L’Industrial Internet of Things amplia la superficie d’attacco di
sistemi, quali sono quelli di controllo e automazione industriali, la
cui compromissione può determinare danni insostenibili dal punto
di vista economico, ambientale e in termini di vite umane. Quali sono
i confini del compromesso tra convenienza della connettività IIoT e
sicurezza delle aree critiche di un impianto?
Candian:
Il compromesso sta nell’investimento in termini di secu-
rity e il confine sta nella capacità omeno di attuare tutte le contro-
misure necessarie ad affrontare le
criticità. Le linee guida di standard
internazionali (ISA99/IEC62443)
sono evolute per rendere sempre
più convenienti i vantaggi legati
all’IIoT mentre le aziende met-
tono a disposizione nuovi prodotti
con sicurezza integrata. Quindi
il limite della convenienza della
connettività IIoT è intrinseco nella
capacità di sviluppare sistemi di
automazione industriale, utiliz-
zando prodotti e soluzioni idonei
per sfruttare i benefici di queste
nuove tecnologie con meccanismi
di sicurezza adeguati all’ambito applicativo.
Mancini:
L’introduzione della tematica IoT deve creare maggiore
sensibilità verso l’analisi dei rischi, perché questo deve essere il
driver che guida tutte le scelte organizzative, procedurali, tec-
nologiche di qualsiasi organizzazione. Il dover affrontare un am-
pliamento dei fronti di attacco, come si ipotizza sarà nel mondo
IoT, di certo potrà aumentare la sensibilità verso il tema rischio
e, ironicamente, aumentare il livello di sicurezza globale. Inoltre,
ipotizzare di avere anche dei KPI e poterli analizzare in realtime
aumenta notevolmente la capacità di rilevamento di eventi ma-
gari sconosciuti prima di utilizzare tecnologie IoT.
Volpi:
Per affrontare con effica-
cia il tema della sicurezza dell’IoT
il primo passo dovrebbe andare
nella direzione di una gestione
più aperta delle reti, sia nell’IT sia
nell’OT, per poi prevederne la con-
vergenza. Dobbiamo pensare a
una rete in grado di consentire una
preventiva segmentazione, che
è anche il presupposto per la cor-
retta applicazione delle tecnologie
di protezione dell’informazione,
della cybersecurity. In ambito in-
dustriale, la sicurezza può essere
implementata impedendo usi non
corretti della rete, ad esempio limitando l’accesso a determinate
macchine solo a personale autorizzato in orari predefiniti e con-
sentendo solo specifiche operazioni preventivamente pianificate.
Inoltre, è molto importante poter determinare il passaggio di pro-
tocolli autorizzati o meno.
Randieri:
Gli esperti di sicurezza possono avvalersi di diversi
approcci per implementare la sicurezza informatica in termini
di costo-beneficio-sicurezza: l’Integrated Business Risk-Mana-
gement Framework secondo il quale i rischi tecnologici vanno
gestiti in maniera similare ai rischi finanziari mettendo a punto
dei veri e propri piani d’azione a protezione delle informazioni
e dei dati; le metodologie Valuation-Driven nelle quali vengono
standardizzate le procedure per garantire sia la sicurezza sia la
valutazione dei rischi e delle risorse; l’approccio basato sull’analisi
degli scenari, nel quale vengono costruiti e interpretarti tutti gli
scenari possibili in termini di rischi e azioni al fine di illustrarne le
eventuali vulnerabilità nascoste; e infine le best practice, con le
quali partendo da un’analisi accurata dei pericoli che si corrono
vengono definite delle regole precise da rispettare al fine di evi-
tare rischi specifici.
Monticelli:
Connettività e sicurezza sono aspetti non necessaria-
mente collegati tra loro, perché i sistemi critici possono essere a
rischio anche se non collegati direttamente a Internet. Il modo
probabilmente più efficace per proteggersi è quello di definire e
implementare una serie di policy a livello di rete, andando a indi-
care gli asset più critici e dotandosi di un sistema di monitoraggio
in grado di evidenziare tempestivamente le eventuali anomalie
così da poter prendere le opportune contromisure. Una sicurezza
efficace discende dai concetti di analisi, monitoraggio e gestione,
e da come vengono di fatto implementati.
Griffini:
La diffusione di Industrial
Ethernet ha favorito una sempre
più diffusa presa di coscienza non
solo dei vantaggi tecnologici ma
anche dei possibili rischi in termini
di security legati ad accessi indesi-
derati e potenzialmente pericolosi
alle reti aziendali. Benché si sia an-
cora distanti dal poter ritenere il
mercato completamente formato
sul tema, sta crescendo l’attenzione
dedicata ai rischi provenienti da
agenti sia interni (operatori, errori,
accessi ‘fisici’), sia esterni (attacchi
via Internet, virus). Le aziende ap-
procciano il problema in modo diverso, prevedendo misure di
sicurezza più o meno raffinate secondo la reale consapevolezza
sul tema e il potenziale di rischio: si va da soluzioni di tipo tradizio-
nale come VPN, firewall o password fino a tecnologie specifiche
integrate nel prodotto.
Carlucci:
Se guardiamo a quanto è già avvenuto in attacchi che
hanno colpito delle infrastrutture, ci rendiamo conto che la gra-
vità del danno è correlata alla persistenza dell’attacco, ovvero al
fatto che i malintenzionati, una volta penetrati nel sistema, pos-
sano permanervi a lungo perché non tempestivamente rilevati. Un
altro elemento da considerare soprattutto in termini di riduzione
dell’impatto di un attacco è la tolleranza dei nostri sistemi, l’ado-
zione di soluzioni che ne garantiscano la resilienza. Infine, dob-
biamo anche renderci conto che ormai ogni azienda è parte di una
filiera interconnessa di fornitori, di altre aziende, di altre reti che
non controlliamo direttamente, ma dai quali possiamo pretendere
un adeguato livello di servizio e di protezione per lavorare con noi.
Tieghi:
Non possiamo basarci su perimetri e confini che non esi-
stono più. Meglio quindi avere una chiara visione di quello che
circola in rete, monitorare che non ci siano ‘cose strane’ e, nel caso
si individuino anomalie di comportamento o di traffico, prendere
subito adeguate contromisure per bloccare sul nascere eventuali
APRILE 2017
AUTOMAZIONE OGGI 397
94
Angelo Candian,
Siemens Italia
Stefano Volpi,
Cisco
Alberto Griffini,
Mitsubishi Electric