ANTEPRIMA_SPS25

28 SPECIALE SPS ITALIA 2025 - Parte 1: definizioni, concetti ge- nerali e applicazioni - Parte 2: policy e procedure. Defi- nisce i contenuti minimi dei secu- rity program che devono essere implementati dai diversi ruoli che concorrono alla security in un si- stema industriale: i service pro- vider, gli end user e i costruttori, oltre che la gestione delle patch di aggiornamento - Parte 3: sistema. Definisce i re- quisiti che devono essere soddi- sfatti per un sistema, che è inteso come il sistema di automazione nella sua configurazione di fun- zionamento normale. In questo livello viene definito come valu- tare il rischio e associare le mi- sure di protezione e prevenzione che devono essere implementate per resistere con successo a de- terminate minacce. Le misure che vengono implementate nel sistema consentono di definire le prestazioni del sistema con un Security Level (SL), che è definito come un numero compreso tra 0 e 4. In questa parte di norma vengono definite le misure e le implementazioni minime che de- vono essere messe in campo per raggiungere quello specifico SL. - Parte 4: si occupa dei dispositivi, qui intesi con un’accezione più ampia: host, sistemi embedded, software, network component, o un insieme complesso costi- tuito da uno o più degli elementi precedenti. In questo caso ven- gono date le linee guida che un costruttore deve seguire per po- ter garantire un secure lifecycle development e poter valutare quale sia il Security Level che il proprio dispositivo è in grado di garantire, quindi, quali siano le minacce contro cui è resistente. Come accennato in precedenza, la IEC62443 non definisce solo i livelli secondo un approccio di defense in depth, ma definisce anche i ruoli che concorrono alla security e per ognuno di essi definisce quali siano le funzioni a cui deve assolvere e quali siano le procedure minime che deve essere in grado di imple- mentare e realizzare per poter defi- nire sicuro il proprio operato. I ruoli definiti sono quelli dell’end user, cioè il proprietario del sistema e colui che gestisce il sistema e lo esercisce; il manufacturer, il co- struttore del dispositivo o del di- spositivo complesso; e il service provider, colui il quale esegue at- tività di manutenzione, messa in servizio, collaudo e testing presso l’end user. Come è emerso già in precedenza, affrontare le sfide della cybersecurity richiede un ap- proccio olistico e proattivo. Le aziende devono adottare una se- rie di misure per proteggere i loro sistemi e i loro dati come: - Consapevolezza e formazione: educare i dipendenti sulla sicu- rezza informatica e sensibilizzarli sui rischi associati alle pratiche online è fondamentale per pre- venire attacchi come il phishing e l’ingegneria sociale. - Implementazione di politiche di sicurezza: le aziende devono svi- luppare e attuare politiche di si- curezza robuste che definiscano le procedure per proteggere i dati, gestire gli accessi e rispon- dere agli incidenti di sicurezza. - Utilizzo di soluzioni di sicu- rezza: investire in soluzioni di sicurezza informatica, come fire- wall, antivirus, sistemi di rileva- mento delle intrusioni e software di crittografia, è essenziale per proteggere i sistemi aziendali da minacce esterne e interne. - Monitoraggio continuo e rispo- sta agli incidenti: le aziende de- vono monitorare costantemente l’attività dei propri sistemi per rilevare e rispondere pronta- mente agli eventuali incidenti di sicurezza. - Aggiornamenti regolari dei si- stemi: mantenere i sistemi e il software aziendale aggiornati con le ultime patch di sicurezza è fondamentale per proteggere i sistemi da vulnerabilità note e patchate. Se queste rappresentano delle best practice, non sempre risulta semplice la loro implementazione in ambito industriale, in quanto molto è anche legato alle pecu- liarità e particolarità del sistema industriale. Tra queste si possono elencare la complessità dei sistemi, l’interconnessione crescente, i cicli di vita prolungati e le priorità della produzione. Gli impianti industriali spesso includono una vasta gamma di dispositivi e sistemi legacy, che possono essere difficili da aggior- nare e proteggere. Questa com- plessità può ostacolare l’imple- mentazione di misure di sicurezza uniformi e coerenti. Inoltre, con l’aumento dell’interconnessione degli impianti con le reti aziendali e Internet, il rischio di esposizione a minacce informatiche esterne è notevolmente aumentato. Gestire la sicurezza di queste interconnes- sioni richiede soluzioni specifiche e un controllo rigoroso sull’ac- cesso ai sistemi critici. Inoltre, gli impianti industriali spesso hanno cicli di vita prolungati, con sistemi che possono rimanere in funzione per decenni. Questo può rendere difficile l’aggiornamento e la sosti- tuzione di dispositivi obsoleti o non supportati, aumentando il rischio di vulnerabilità. Affrontare questo problema richiede pratiche di ge- stione del ciclo di vita del software e dell’hardware, insieme a una va- lutazione regolare della sicurezza e una pianificazione anticipata per l’aggiornamento e la sostituzione dei dispositivi più vecchi. Infine, nei contesti industriali, la priorità principale è spesso la pro- duzione e la continuità operativa. Questo può portare a una sotto- valutazione della sicurezza infor- matica e alla mancanza di risorse dedicate alla cybersecurity. Ma quello che si prospetta all’oriz- zonte è la necessità sempre mag- giore di investimenti e implementa- zioni in quest’ambito, anche in virtù dell’incremento di attacchi nell’am- bito industriale e al loro successo. Quindi è importante sensibilizzare la direzione aziendale sull’impor- tanza della sicurezza informatica e dimostrare come un investimento in sicurezza possa contribuire a proteggere la produzione e preser- vare la reputazione dell’azienda. Integrare la sicurezza informatica nei processi operativi e fornire for- mazione specifica al personale può aiutare a garantire che la sicurezza sia considerata una priorità in tutto l’ambiente industriale. La difesa in profondità si basa sull’idea di creare molteplici strati di difesa intorno ai dati e ai sistemi critici Fonte Shutterstock