Un progetto europeo detta le ‘regole’ sulla protezione di infrastrutture critiche

Riassumiamo i punti dell’incontro tenutosi al Politecnico di Milano sulla sicurezza dei sistemi Scada. Relatori: Roberto Negrini (docente), Angelo Gino Manfredi di Enginet e Daniela Pestonesi di Enel Ricerca

Oggigiorno, nel cuore di infrastrutture critiche e di sistemi essenziali, quali il sistema di fornitura dell’energia elettrica, dell’acqua, del gas e dei combustibili e negli impianti chimici risiedono Pc tra loro collegati. Così, un malfunzionamento o un guasto al sistema di monitoraggio, controllo e trasmissione dati, dovuto a un incidente o a un attacco doloso, può impedire il funzionamento di infrastrutture vitali per la comunità e causare danni notevoli, amplificati dal fatto che i sistemi sono fortemente interconnessi tra loro.

L’attenzione alla ‘cyber-sicurezza’ dei sistemi di controllo e trasmissione dei dati è molto forte negli Stati Uniti, dove per le utility e in molti settori industriali sono state approntate linee guida per la sicurezza. In Europa, in particolare in Italia, pare che la consapevolezza di tali pericoli sia meno evidente. Inoltre, standard, guideline e buone pratiche appaiono non in armonia tra loro, sovrapponendosi o lasciando spazi non coperti. Per migliorare la situazione, nel giugno del 2008 è partito un progetto che ha fornito risultati e indicazioni a fine 2010.

Nel corso dell’incontro tenutosi lo scorso 2 marzo presso la sala conferenze del DEI (Dipartimento di Elettronica e Informazione) del Politecnico di Milano, organizzato da Aeit (Federazione Italiana di Elettrotecnica, Elettronica, Automazione, Informatica e Telecomunicazioni) – dal titolo: “La sicurezza dei sistemi di controllo, di supervisione e acquisizione dati (Scada)”, Roberto Manfredi ha descritto l’attività e le caratteristiche di tale progetto finanziato dalla Commissione Europea. Nello specifico, il progetto, noto come ‘European Network for the security of Control and Real Time Systems (ESCoRTS)’, si è occupato di sicurezza delle apparecchiature di controllo e acquisizione dati (Scada) in infrastrutture critiche, con particolare attenzione ai sistemi elettrici (produzione, trasporto e distribuzione) e ai sistemi di distribuzione dell’acqua.

È stato portato avanti da un Consorzio e da uno Stakeholder Advisory Board, appositamente creati a tal fine. Il Consorzio è formato da: CEN – European Committee of Standardization di Bruxelles, JRC – Joint Research Centre di Ispra, 3 costruttori di Scada (ABB, Areva ora Alstom Grid, Siemens), 3 utilizzatori (Enel, Transelectrica, Mediterranea delle Acque), Opus in rappresentanza degli U.S., Enginet di Milano e Uninfo. Lo Stakeholder Advisory Board è formato da enti di sicurezza, unità di ricerca, associazioni di utenti industriali e fornitori di servizi di 13 Paesi europei e ha vagliato i risultati intermedi, dato apporti e verificato il lavoro nel suo procedere.

Il progetto, pensato da JRC di Ispra, è coordinato dal CEN, supportato da Enginet, piccola società di Milano che ha effettuato il management del progetto e fornito alcuni apporti specialistici; ha inoltre visto la partecipazione attiva di tutti i membri del Consorzio. Il piano ha dato vita a un focus group che, in ambito CEN, prenderà in carico il proseguimento del lavoro sulle tematiche del progetto. Il lavoro è stato suddiviso in vari ‘work package’; il primo, ‘Work Package 1’, ha prodotto: una survey sui ‘Bisogni di sicurezza delle infrastrutture e aziende’, sulla base di un lavoro sul campo con acquisizione di dati e interviste; un report sul workshop in occasione del quale è stato presentato la survey precedente, registrando le reazioni dei convenuti; un report sul workshop dedicato al tema ‘Il mercato EU dei servizi sulla sicurezza Scada’.

Il ‘Work Package 2’ sullìidentificazione e valutazione delle best practice ha rilasciato una survey sull’esistente (‘Metodi di sicurezza, procedure e guideline’; un report sulla tassonomia delle soluzioni di sicurezza. Inoltre, sono stati effettuati 3 esperimenti sul campo, con l’ applicazione di standard di sicurezza. Il ‘Work Package 3’ ha prodotto una roadmap che indica i punti da sviluppare e le azioni da intraprendere per superare le manchevolezze individuate. Il ‘Work Package 4’ ha prodotto: un report sulle piattaforme ICT sicure per lo scambio dati; un report sulle metriche per la misurazione della cyber-sicurezza e il suo test; un report sulle caratteristiche di futuri laboratori per la prova della sicurezza di apparati e applicazioni. È stata inoltre effettuata una verifica sul campo in un’applicazione delle metriche.

La seconda parte della conferenza, tenuta da Daniela Pestonesi di Enel Ricerca, ha illustrato un esperimento condotto da Enel e da un costruttore di Scada (ABB) per la misurazione della sicurezza Scada in un sistema. L’esperimento è consistito nell’uso di un-sub set degli standard ISA99, per valutare la sicurezza di una parte del sistema di automazione di un impianto a ciclo combinato ritenuto rappresentativo per architettura Scada e di sistema ICT. In chiusura i relatori hanno manifestato ai presenti la disponibilità ad aprirsi alla collaborazione di enti/aziende interessate a proseguire le attività individuate nella roadmap. I dati pubblici del progetto sono disponibili sul sito CEN/Cenelec.

Enel: www.enel.it
Politecnico di Milano: www.polimi.it
Enginet: www.engi-net.it
ABB: www.abb.it
Siemens: www.siemens.it
Aeit: www.aeit.it

Contenuti correlati

• 
  Scada e HMI collaborativi

  Vediamo le sfide e le opportunità del mercato HMI, IPC e Scada, la cui profonda trasformazione avrà impatto sulla quotidianità lavorativa dei molti che operano in tutti gli ambiti dell’industria Oggi ci troviamo di fronte a un...
• 
  Cybersecurity e trasparenza, Fortinet firma le linee guida Secure by Design della CISA

  Fortinet ha rafforzato il proprio impegno di lunga data verso una trasparenza radicale e responsabile, essendo tra i primi firmatari delle linee guida Secure by Design sviluppate dalla Cybersecurity and Infrastructure Security Agency (CISA). Questo atto volontario...
• 
  Direttiva NIS2: uno studio Zscaler mette in evidenza criticità e opportunità

  Una nuova ricerca di Zscaler suggerisce una discrepanza tra la fiducia che le aziende europee hanno di raggiungere l’obiettivo della conformità alla direttiva NIS 2 prima della scadenza del 17 ottobre 2024, quando entrerà in vigore, e...
• 
  Sicurezza e rischi nell’era digitale

  Rischi e pericoli sulle macchine cambiano con l’evoluzione della tecnologia: il nuovo Regolamento Macchine adegua la normativa ai requisiti relativi ai sistemi con algoritmi evolutivi, digitalizzazione, robotica, software e cybersecurity Pubblicato in Gazzetta Ufficiale dell’Unione Europea il...
• 
  Layer di collegamento tra produzione e management

  Come si crea uno ‘strato software’ che faccia realmente convergere IT e OT? Efficienza, sicurezza e interoperabilità sono le 3 parole chiave A cosa ci riferiamo quando parliamo di Production & Management Integration Layer? È presto detto....
• 
  AI e sicurezza: come prevenire gli infortuni sul lavoro

  Di Marco Bavazzano, Amministratore Delegato di Axitea Ciclicamente, e con dispiacere, ci troviamo a leggere o ascoltare di storie di infortuni sul lavoro che hanno purtroppo spesso un epilogo tragico, con conseguenti bilanci, commenti e iniziative sulle...
• 
  Sicurezza: normative e legislazioni, come farvi fronte

  La sicurezza è un concetto: bisogna imparare a conoscerlo e a diffondere la cultura della sicurezza. Normative e legislazioni servono e sono doverose in ogni attività produttiva, ma vanno comprese nel loro senso più profondo. Per aumentare...
• 
  Acqua ed energia al sicuro

  Un’azienda svedese di servizi pubblici per l’energia e l’acqua ha deciso di migliorare sia la sicurezza sia l’affidabilità attraverso l’integrazione IT/OT e per farlo ha scelto Fortinet Falu Energi & Vatten (Energia & Acqua) è un’azienda municipalizzata...
• 
  ABB, conformità con i gas refrigeranti A2L e A3

  Nel mondo della produzione di unità HVACR, la sicurezza è sempre al primo posto, soprattutto quando si tratta di refrigeranti di categoria A2L e A3, dove i rischi sono elevati e di varia natura. Per garantire la...
• 
  Nuove interfacce HMI e Scada

  Integrazione, connettività e trasformazione digitale sono le principali leve con cui i fornitori di tecnologia cercano di rendere più competitive le offerte di interfaccia uomo-macchina. L’attuale fase di transizione vede la convivenza di numerose tendenze che consentono...