Gli attacchi ai sistemi OT (Operational Technology) sono in continuo aumento. Pertanto, è quanto mai urgente per le organizzazioni ed in particolare le PMI, essere in grado di affrontare le sfide contingenti e future per proteggere questi sistemi.
Indice degli argomenti
Scenario OT cyber threat
Il 2023 è stato un anno cruciale per la sicurezza informatica industriale. Ne consegue che, in un panorama digitale sempre più interconnesso, la protezione dei sistemi OT (tutto l’hardware e il software che monitora monitora e controlla processi fisici, dispositivi e infrastrutture) ha assunto un’importanza crescente, insieme alla necessità di implementare misure di sicurezza OT robuste.
Inoltre, le organizzazioni globali stanno affrontando una crescente pressione per conformarsi a nuove e aggiornate normative informatiche per le infrastrutture critiche e per adottare le migliori pratiche di sicurezza OT.
Nel panorama in continua evoluzione dei sistemi industriali, l’anno 2024 conferma ulteriormente queste sfide che richiedono una profonda comprensione delle complesse delle operazioni industriali per gestire gli attacchi dei cyber criminali sempre più sofisticati ed in continuo aumento.
Come si evince dall’ultimo rapporto “OT Cybersecurity Review 2023” della società tedesca di cyber security Dragos, nel 2023, l’intersezione delle minacce alla cybersecurity delle dei sistemi OT con eventi cinetici regionali e globali è diventata sorprendentemente evidente.
Il rapporto di Dragos
Gli avversari informatici, sfruttando un ampio spettro di capacità, hanno approfittato di conflitti come le guerre tra Ucraina e Russia e tra Israele e Hamas per lanciare attacchi sofisticati mirati contro infrastrutture critiche atti ad interrompere i servizi essenziali, causando significativi impatti operativi ed economici.
È doveroso evidenziare come, oltre a questi conflitti, le tensioni geopolitiche in regioni come l’Asia e l’Africa hanno alimentato un aumento della raccolta di intelligence e della predisposizione di capacità informatiche.
Tale approccio proattivo, da parte di attori statali e non statali, suggerisce uno sforzo strategico per essere pronti a potenziali escalation o per esercitare influenza attraverso mezzi informatici.
Di fatto, la convergenza delle minacce alla cyber security delle OT con questi eventi cinetici sottolinea la necessità di misure di sicurezza robuste e adattive, soprattutto quando si tratta di infrastrutture critiche.
Le organizzazioni devono non solo difendersi dagli attacchi informatici diretti, ma anche gestire le implicazioni più ampie degli sviluppi geopolitici sul loro panorama di rischio informatico.
Inoltre, una maggiore collaborazione tra settore pubblico e privato, un miglioramento della condivisione delle informazioni sulle minacce e lo sviluppo di infrastrutture resilienti sono passi essenziali per affrontare questa sfida dalle molteplici facce.
Il report di Dragos conferma, altresì, che il ransomware è oramai una minaccia globale per le infrastrutture OT. Il maggior numero di attacchi ransomware si sono verificati in North America (43%, i.e. 497 incidenti), mentre la UE si trova ad occupare la seconda posizione (32%, i.e. 285 incidenti).
Fonte immagine – Dragos “OT Cybersecurity Review 2023”.
Il settore più colpito nel 2023 è stato quello manifatturiero, con il 71% degli incidenti di ransomware. Il settore dei sistemi di controllo industriale, composto da aziende che sviluppano apparecchiature e applicazioni OT, è stato il secondo settore più colpito con il 13 %.
Fonte immagine – Dragos “OT Cybersecurity Review 2023”.
Inoltre, secondo il report congiunto di AbiResearch e Palo Alto – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”, un’impresa industriale su quattro ha riferito di aver dovuto interrompere temporaneamente le operazioni a causa di un attacco informatico.
Il rapporto di AbiResearch e Paolo Alto
Lo studio di Palo Alto – condotto nel 2024 tra circa 2.000 dirigenti e operatori in 23 paesi – ha inoltre evidenziato che per oltre il 60% degli intervistati la complessità delle soluzioni di sicurezza OT risultasse essere la principale preoccupazione al momento dell’acquisto delle stesse soluzioni.
Secondo il rapporto, gli ambienti OT sono diventati obiettivi molto interessanti, poiché presentano un immenso potenziale finanziario. Ciò spiega perché solo negli ultimi anni il 76% delle organizzazioni industriali è rimasta vittima di attacchi informatici.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Inoltre, il 75% dei rispondenti ha segnalato attacchi frequenti, spesso mensili, ma anche settimanali e giornalieri, rivelando che esiste un ecosistema di cybercrimine dinamico, chiaramente molto attivo nel colpire l’ambiente OT.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Ancora, il report di Palo Alto rivela come i tre attacchi più temuti contro i sistemi OT sono malware, ransomware e attacchi interni. Di fatto, il panorama delle minacce si è evoluto dal malware OT su misura, mirato a un avversario specifico, a ransomware di origine IT, altamente diffusi e utilizzati indiscriminatamente contro organizzazioni industriali. È doveroso notare che, oltre alle conseguenze immediate legate alla perdita di dati e di entrate, questi attacchi interrompono la continuità delle operazioni aziendali.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Interessante notare come il ransomware sia particolarmente rilevante oggi, con gruppi come DarkSide, BlackCat e Ryuk che sono riusciti a superare il divario IT-OT per colpire gli ambienti OT, ottenendo un alto tasso di successo nei settori critici delle utility e dell’energia.
Di fatto, dal report risulta che nel 78% dei casi l’IT risulta essere il punto di origine principale per questi attacchi, dimostrando come strumenti e attacchi informatici comuni possono realisticamente essere utilizzati per colpire l’OT e aprire la porta a ogni tipo di cyber criminale, desideroso di sfruttare i sistemi OT apparentemente vulnerabili.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Tecnologia emergente in ambienti OT e nuove minacce
Le infrastrutture critiche e industriali, oltre alle minacce esistenti, si trovano a gestire le tecnologie emergenti ed i relativi potenziali rischi.
Secondo il report di Palo Alto, l’ascesa dell’intelligenza artificiale è in prima linea, con il 74% degli intervistati che prevede che gli attacchi basati su questa tecnologia rappresentino una minaccia critica per la propria infrastruttura OT.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Anche il 5G presenta rischi aggiuntivi, considerando che le organizzazioni stanno incorporando le tecnologie 5G nelle loro reti per migliorare la connettività e l’efficienza e beneficiare di velocità di trasmissione più elevate. Tuttavia, 69% degli intervistati considera il 5G come un vettore di minaccia in crescita.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Inoltre, 74% degli intervistati concordano sul fatto che l’accesso remoto è in aumento sia per i dipendenti che per i terzi e, nonostante ciò offra molti vantaggi (ad esempio migliora i tempi di risposta in caso di incidente), può anche aumentare i rischi per la sicurezza nell’ambiente.
Fonte immagine – “The State of OT Security: A Comprehensive Guide to Trends, Risks, and Cyber Resilience”.
Microsoft White paper
Il report di Microsoft – – “Exposed and vulnerable: Recent attacks highlight critical need to protect internet-exposed OT devices” – segnala che, a partire dalla fine del 2023, è stato osservato un aumento delle segnalazioni di attacchi mirati a dispositivi OT esposti a Internet e con protezioni insufficienti.
In particolare, tra novembre 2023 e l’inizio del 2024, negli Stati Uniti, i sistemi idrici e delle acque reflue (WWS) sono stati bersaglio di numerosi attacchi da parte di diversi attori statali, tra cui i “CyberAv3ngers” affiliati all’IRGC e hacktivisti filorussi.
Questi eventi sottolineano l’urgente necessità di rafforzare la sicurezza dei dispositivi OT per proteggere le infrastrutture critiche da potenziali minacce.
Di fatto, i sistemi OT, che gestiscono processi critici del mondo reale, sono un obiettivo interessante per gli attacchi informatici. È doveroso ricordare che essi sono impiegati in vari settori, dal riscaldamento, ventilazione e condizionamento dell’aria (HVAC) alla fornitura idrica e alle centrali elettriche, controllando parametri vitali come velocità e temperatura nei processi industriali.
Un attacco informatico a un sistema OT potrebbe, quindi, trasferire il controllo di questi parametri agli aggressori, permettendo alterazioni dannose che potrebbero causare malfunzionamenti o interruzioni complete del sistema, utilizzando il controllore logico programmabile (PLC) o i controlli grafici dell’interfaccia uomo-macchina (HMI) oltre che causare vittime.
Inoltre, gli attacchi ai sistemi OT sono facilitati dalle frequenti carenze nelle misure di sicurezza di questi dispositivi, dato che molti sistemi OT, nonostante le linee guida di sicurezza, sono direttamente connessi a Internet, rendendoli facilmente individuabili dagli aggressori tramite strumenti di scansione.
Una volta identificati, le configurazioni di sicurezza inadeguate, come password deboli o software obsoleto con vulnerabilità note, possono essere sfruttate ulteriormente per ottenere accesso non autorizzato.
Picco di attività degli attori delle minacce OT
A seguito dello scoppio della guerra tra Israele e Hamas, Microsoft ha registrato un aumento delle segnalazioni di attacchi contro i sistemi OT affiliati a Israele. Tra gli attori responsabili figurano gruppi già noti come i “CyberAv3ngers” affiliati all’IRGC e nuovi gruppi emergenti come i “Soldati di Salomone”, anch’essi associati ai “CyberAv3ngers”, e “Abnaa Al-Saada”, un’entità che si presentava come yemenita. Microsoft ha monitorato sia “CyberAv3ngers” sia il gruppo associato “Soldiers of Solomon” codificandoli con il nome di Storm-0784.
I sistemi presi di mira da questi gruppi includevano apparecchiature OT distribuite in vari settori in Israele, come PLC e HMI prodotti da grandi fornitori internazionali, e apparecchiature OT di origine israeliana distribuite all’estero. Gli attacchi sono stati resi pubblici attraverso i canali Telegram degli aggressori che hanno anche pubblicato immagini dei sistemi bersaglio per migliorare la loro presunta credibilità e presentare prove dell’attacco.
Microsoft, attraverso un’analisi approfondita di questi gruppi criminali, ha identificato un tipico profilo di destinazione su cui gli aggressori sembrano concentrarsi, ovvero, i sistemi OT esposti a Internet con una scarsa postura di sicurezza. A fronte dell’analisi approfondita della metodologia dell’attacco avvenuto nel novembre 2023 contro l’impianto idrico di Aliquippa in Pennsylvania – attribuita da CISA (Cybersecurity and Infrastructure Security Agency) al gruppo “CyberAv3ngers”, affiliato al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC) – Microsoft ritiene che questa stessa metodologia sia stata adottata da altri attori delle minacce focalizzati sui sistemi OT in numerosi altri attacchi.
Il Caso Aliquippa: un attacco OT di alto profilo
Alla fine di novembre 2023, l’impianto idrico di Aliquippa è stato vittima di un attacco informatico che ha causato l’interruzione di una pompa di regolazione della pressione sulla linea di approvvigionamento idrico comunale di Aliquippa, Pennsylvania. L’attacco ha compromesso la funzionalità del sistema e ha preso di mira un sistema PLC-HMI del produttore israeliano Unitronics. Oltre al danno operativo, gli aggressori hanno deturpato il dispositivo, facendo apparire una schermata rossa con il nome e il logo del gruppo “CyberAv3ngers”.
Nello stesso periodo, sono stati segnalati molti altri attacchi ai sistemi Unitronics in varie parti del mondo. Le apparecchiature prese di mira mostravano lo stesso messaggio: “Ogni apparecchiatura ‘made in Israel’ è un obiettivo legale di Cyber Av3nger”. Questi attacchi coordinati hanno evidenziato una campagna mirata contro le tecnologie israeliane, dimostrando l’ampia portata e la coordinazione degli aggressori.
Figura- Una foto dell’Aliquippa Unitronics PLC rilasciata ai media dall’Autorità Municipale per l’Acqua di Aliquippa. Nell’angolo in alto a destra viene visualizzato il logo del gruppo Cyber Av3ngers. L’angolo in basso a sinistra rivela il numero di modello V570 (fonte: THE TIMES OF ISRAEL).
Secondo fonti pubblicamente accessibili, il sistema preso di mira era esposto a Internet e ha subito sia il defacement sia l’arresto della pompa di regolazione della pressione. I motori di ricerca per dispositivi connessi a Internet e i relativi servizi associati hanno permesso ai ricercatori Microsoft di compilare un elenco di dispositivi del modello Unitronics in questione che risultavano esposti a Internet, oltre a presentare anche una porta di controllo dedicata aperta attraverso la quale era stata effettuata la riprogrammazione del dispositivo, portando al defacement e all’arresto.
È doveroso ricordare che il “defacement” è un tipo di attacco informatico in cui un aggressore modifica il contenuto visualizzato su una pagina web o un’interfaccia grafica di un sistema, sostituendolo con messaggi, immagini o altri contenuti non autorizzati. Questo tipo di attacco è spesso utilizzato per diffondere messaggi politici o ideologici, per dimostrare una vulnerabilità del sistema, o semplicemente per vandalismo digitale.
Microsoft, attraverso l’analisi dei dati contestuali, ha ristretto l’elenco dei profili dei dispositivi, identificando un sistema specifico come potenziale vittima. Questo sistema era geograficamente situato vicino alla stazione di Aliquippa, con il campo “Nome PLC” impostato su “Raccoon Primary PLC”, coerente con la stazione idrica di Aliquippa che serve le township di Potter e Raccoon. Inoltre, questa identificazione è stata confermata da una fotografia diffusa dai media, che mostrava un cartello con la scritta “PRIMARY PLC” sul sistema preso di mira.
L’impianto idrico di Aliquippa è stato solo una delle vittime di una serie di attacchi contro i sistemi Unitronics da parte del gruppo “CyberAv3ngers”, che ha colpito anche il settore privato. Screenshot di sistemi compromessi – che mostravano la stessa schermata rossa e il medesimo messaggio – sono stati pubblicati da utenti sul forum Unitronics e sulla piattaforma di social media X, segnalando che le loro apparecchiature erano state attaccate. A seguito di questi incidenti, è stata identificata una vulnerabilità relativa alla configurazione della password predefinita di Unitronics (CVE-2023-6448), e Unitronics ha rilasciato una patch per risolvere il problema.
Il profilo di destinazione comune per questi attacchi riflette la strategia degli aggressori nel selezionare obiettivi facilmente accessibili e attraenti, utilizzando motori di ricerca per ottenere visibilità sui dispositivi OT esposti a Internet che impiegano modelli vulnerabili con porte di comunicazione aperte, oltre ad usare metadati contestuali per individuare dispositivi di particolare interesse, come i sistemi ICS negli impianti idrici o in altre infrastrutture critiche. Una volta identificato un dispositivo con una password debole o un sistema obsoleto con vulnerabilità sfruttabili, gli aggressori possono ottenere accesso remoto al sistema.
Interessante notare come Microsoft nel suo “Digital Defense Report 2023” aveva già evidenziato che il 78% dei dispositivi di rete industriali presenti nelle reti dei clienti e monitorati da Microsoft Defender per IoT, presentasse vulnerabilità note. Inoltre, dal report si evince che, di questi, il 46% utilizzava firmware obsoleti per i quali non sono più disponibili patch, mentre il restante 32% gestiva sistemi obsoleti con vulnerabilità non corrette. È doveroso evidenziare che, anche per i dispositivi aggiornati con patch, molte organizzazioni utilizzano ancora password predefinite o non ne fanno uso, convertendo questi sistemi obsoleti e vulnerabili in obiettivi interessanti per attacchi futuri, specialmente quando combinati con la connettività Internet e l’uso di password predefinite.
Figura – Statistiche dei dispositivi vulnerabili nella rete industriale del cliente. Fonte: Microsoft Digital Defense Report ottobre 2023.
Comprendere le sfide dei sistemi IT e OT
Nel campo della cybersecurity, i sistemi sia IT sia OT presentano sfide distinte che le organizzazioni devono affrontare, gato che garantirne la sicurezza è fondamentale per rafforzare la cyber resilience complessiva. Vediamo di che si tratta.
Differenze tra IT e OT – L’IT comprende i sistemi digitali che facilitano la gestione e la comunicazione dei dati all’interno delle organizzazioni. Al contrario, l’OT si riferisce ai sistemi specializzati che controllano i processi fisici e le operazioni industriali.
Sebbene entrambe, IT e OT, si basino sulla tecnologia, differiscono per quanto riguarda infrastruttura, obiettivi e tipologie tecnologiche impiegate. Proteggere i sistemi sia IT sia OT comporta sfide distinte a causa di requisiti e scenari di minaccia divergenti.
L’ambiente OT è responsabile della gestione e del controllo dei dispositivi fisici coinvolti nella produzione o nella fornitura di beni e servizi critici. Settori come il manifatturiero, l’elettricità, il petrolio e il gas, la sanità e molti altri si affidano all’OT per garantire il corretto funzionamento delle loro operazioni, e sono proprio le infrastrutture OT ad essere cambiate negli ultimi anni, subendo un processo di convergenza con l’IT per ottenere una maggiore connettività tra questi due ambienti.
Tuttavia, questa apertura verso la rete, le integrazioni e i sistemi di terze parti, è spesso sorta all’interno di sistemi legacy in essere da anni e con interfacce non più aggiornabili, esponendo l’intera realtà dell’hosting a rischi significativi.
Di seguito le principali differenze tra gli ambienti IT ed OT.
- Differenze infrastrutturali – L’infrastruttura IT si concentra principalmente sull’archiviazione dei dati, sull’elaborazione e sul flusso di informazioni all’interno delle reti aziendali. L’infrastruttura OT coinvolge macchinari fisici, sensori e dispositivi utilizzati nelle operazioni industriali, spesso in ambienti isolati.
- Differenze di obiettivi – Gli obiettivi IT sono generalmente mirati alla gestione e all’elaborazione delle informazioni per supportare i processi aziendali, il processo decisionale e l’analisi dei dati. Al contrario, gli obiettivi OT si concentrano principalmente sulla garanzia dell’efficienza, dell’affidabilità e della sicurezza dei processi e della produzione industriale.
- Differenze tecnologiche – Le tecnologie IT comprendono applicazioni software, database e protocolli di comunicazione per le operazioni aziendali e la gestione delle informazioni. Le tecnologie OT includono sistemi di controllo industriale (ICS), sistemi SCADA e controllori logici programmabili (PLC) che controllano direttamente i processi fisici.
Sfide nell’integrazione di IT e OT – L’integrazione dei sistemi IT e OT non è priva di sfide. Una delle maggiori è la differenza di cultura e priorità tra i due settori. L’IT tende a concentrarsi sulla sicurezza e sul mantenimento dello status quo, mentre l’OT è più focalizzata sul raggiungimento degli obiettivi operativi e sulla massimizzazione dell’efficienza. Inoltre, i sistemi IT e OT spesso utilizzano protocolli e standard diversi, il che può renderne difficile la connessione.
IT e OT: Sistemi diversi, sfide di sicurezza diverse – Sebbene gli approcci alla cybersecurity in IT e OT condividano molti obiettivi, comportano anche requisiti divergenti. Le organizzazioni che intendono implementare misure di sicurezza informatica complete devono considerare attentamente il proprio approccio quando integrano la sicurezza IT e OT.
Di seguito sono elencati alcuni elementi distintivi tra la protezione dei sistemi IT e OT:
- Velocità di cambiamento – Gli ambienti IT in genere evolvono rapidamente con frequenti aggiornamenti software e modifiche, mentre i sistemi OT spesso rimangono operativi per molti anni senza modifiche importanti. Questa differenza nel ritmo di cambiamento influisce su come le misure di sicurezza informatica vengono implementate e gestite.
- Tolleranza del rischio – Sebbene sia l’IT sia l’OT cerchino di ridurre al minimo i rischi, la tolleranza del rischio può essere diversa. Inoltre, nell’OT, dove la sicurezza e l’affidabilità sono fondamentali, le conseguenze di un incidente di sicurezza possono essere più gravi, portando a una minore tolleranza del rischio.
- Piattaforma tecnologica – L’IT si occupa di hardware e software generici, mentre l’OT coinvolge sistemi di controllo industriale (ICS) e dispositivi di campo specializzati. La piattaforma tecnologica e i protocolli utilizzati nell’OT sono spesso unici e richiedono misure di sicurezza specializzate.
- Impatto del downtime – Nell’IT, la preoccupazione principale può essere la perdita finanziaria dovuta all’interruzione del servizio. Nell’OT, l’interruzione dell’attività può avere conseguenze più immediate e gravi, potenzialmente incidendo sulla sicurezza, sui processi di produzione e sulle infrastrutture critiche.
- Segmentazione della rete – Sebbene la segmentazione della rete sia comune in entrambi i domini, la sua implementazione e le sue implicazioni differiscono. L’OT potrebbe avere requisiti di segmentazione più rigorosi a causa della necessità di proteggere i processi critici.
Protezione delle vulnerabilità OT – Le vulnerabilità OT possono essere definite come CVE (Common Vulnerabilities and Exposures). Ovvero, configurazioni errate o altri difetti di sicurezza in un sistema OT che possono essere sfruttati da un hacker per ottenere l’accesso o il controllo non autorizzato su tali sistemi e possono derivare da alcuni dei seguenti problemi:
- Impossibilità di eseguire aggiornamenti di sicurezza a causa di software obsoleto.
- Mancanza di accesso sicuro per la manutenzione.
- Carenza di personale specializzato in sicurezza informatica lungo la linea OT.
- Difficoltà nel monitorare attivamente i dispositivi OT.
Infine, la peculiarità delle infrastrutture OT è che non possono essere difese con gli stessi criteri degli endpoint IT, perché ogni endpoint OT ha delle peculiarità non solo software ma anche meccaniche che devono essere salvaguardate. Ovvero, ogni sistema OT è unico e presenta vulnerabilità specifiche che richiedono identificazione e correzione, protezione e garanzia di resilienza ad hoc.
Consigli per la mitigazione e la protezione dei sistemi IT ed OT per le PMI
Le organizzazioni che implementano misure di cybersecurity complete per proteggere gli asset sia IT sia OT dovrebbero dare priorità a diverse considerazioni chiave, quali:
- Inventario degli asset – Mantenere un inventario completo di tutti gli asset IT e OT, inclusi hardware, software e dispositivi connessi, è essenziale. Questa visione d’insieme permette una gestione e misure di sicurezza efficaci su tutto l’ecosistema.
- Requisiti di conformità – Comprendere e rispettare le normative e gli standard di conformità specifici del settore che si applicano ai sistemi sia IT sia OT garantisce che l’organizzazione operi all’interno dei quadri legali e mantenga una solida postura di sicurezza.
- Valutazione del rischio – Una valutazione del rischio approfondita è fondamentale per identificare e prioritizzare le potenziali minacce e vulnerabilità specifiche degli ambienti IT e OT dell’organizzazione. Questo permette di adottare misure di sicurezza mirate per affrontare i rischi più critici.
- Pianificazione della risposta agli incidenti – Sviluppare e testare regolarmente piani di risposta agli incidenti che coprano scenari sia IT sia OT è vitale. Ciò garantisce una risposta coordinata ed efficace agli incidenti di sicurezza, minimizzando danni e tempi di inattività.
- Accesso sicuro – Implementare l’autenticazione a più fattori (MFA – Multi Factor Authentication), inclusi i dati biometrici (impronta digitale, voce, riconoscimento facciale e altro) e la gestione delle identità privilegiate (PIM – Priviledged Identity Management) per gli amministratori. Si consiglia, inoltre, di limitare l’accesso alle “porte di gestione legacy” e implementare la registrazione dell’utilizzo. Ancora, la gestione delle identità e accessi (IAM – Identity and Access Management) è importante per gli ambienti OT, creando una linea di base che identifichi chi dovrebbe avere accesso a cosa, oltre a sapere come avveniva l’accesso in passato e chi era autorizzato.
- Collaborazione e comunicazione – Stabilire canali di comunicazione efficaci e meccanismi di collaborazione tra i team IT e OT favorisce la condivisione di informazioni sulle minacce e approfondimenti. Di fatto, uno sforzo coordinato rafforza le difese complessive di sicurezza.
- Formazione – È fondamentale affrontare le carenze di competenze tra il personale IT e OT, oltre a considerare che potrebbero essere necessari programmi di formazione trasversale per garantire che i team comprendano e possano gestire efficacemente entrambi gli ambienti.
Inoltre, si consiglia di.
- Adottare una soluzione di sicurezza IoT e OT completa per consentire la visibilità e il monitoraggio di tutti i dispositivi IoT e OT, il rilevamento e la risposta alle minacce e l’integrazione con le piattaforme SIEM/SOAR e EDR o XDR.
- Abilitare le valutazioni delle vulnerabilità per identificare i dispositivi senza patch nella rete dell’organizzazione e impostare i flussi di lavoro per l’avvio di processi di patch appropriati soluzioni di Vulnerability Management e difesa degli endpoint.
- Ridurre la superficie di attacco – Si tratta di: eliminare le connessioni Internet non necessarie ai dispositivi IoT e ai sistemi di controllo OT, assicurandosi che nessun sistema OT sia direttamente connesso a Internet, ad esempio tramite router IoT o connessioni cellulari (LTE o 3G); chiudere tutte le porte e i servizi aperti non indispensabili sui dispositivi; eliminare completamente l’accesso remoto quando possibile; limitare l’accesso utilizzando un firewall o una VPN, quando l’eliminazione completa dell’accesso remoto non è fattibile.
- Implementare le pratiche Zero Trust – Si tratta di: applicare la segmentazione della rete per impedire a un utente malintenzionato di spostarsi lateralmente e compromettere le risorse dopo un’intrusione; isolare i dispositivi e le reti OT dall’IT mediante firewall; estendere il controllo delle vulnerabilità e dell’esposizione oltre il firewall; attivare strategie di riduzione della superficie di attacco per impedire tecniche di attacco comuni, ad esempio, quelle usate dai gruppi di ransomware.
- Svolgere attività di Intelligence sulle minacce informatiche – Si tratta di mantenere la consapevolezza situazionale dei conflitti geopolitici che si intersecano con la sicurezza informatica della tecnologia operativa per comprendere le motivazioni degli cyber criminali.
- Vincolare contrattualmente e far rispettare gli standard di sicurezza a partner e fornitori per costruire un ambiente OT sicuro – Si tratta di vincolare contrattualmente e far rispettare gli standard di sicurezza a partner e fornitori. Sebbene questi ultimi possano avere approcci diversi alla cybersecurity, devono garantire la sicurezza dei loro prodotti o servizi e assumersi la responsabilità di ciò che forniscono. Ovvero è necessario:
- Effettuare una due diligence approfondita sulla postura di cybersecurity IT e OT dei fornitori e partner terzi prima di collaborare, valutando l’impatto potenziale di un attacco informatico su di essi.
- Classificare e categorizzare le terze parti in base al loro livello e tipo di rischio (compliance, finanziario, reputazione, ecc.) prima di concedere accesso alle strutture, reti e informazioni riservate.
- Stabilire requisiti di sicurezza di base per fornitori e partner con accesso a strutture, reti e informazioni riservate, da soddisfare prima della formalizzazione della collaborazione
- Includere nei contratti i requisiti di cybersecurity OT, coprendo aspetti come l’accesso remoto sicuro, l’uso di dispositivi di memoria rimovibili, la protezione dei dati, e la notifica e segnalazione di incidenti.
- Svolgere continuamente audit sulle prestazioni di sicurezza di fornitori e partner per garantire l’adesione ai controlli di sicurezza concordati.
- Sviluppare una strategia di uscita per gestire la cessazione della collaborazione con il fornitore in caso di mancata osservanza dei controlli di sicurezza.
Vantaggi dell’integrazione della sicurezza IT e OT
L’integrazione efficace della sicurezza IT e OT consente una visione olistica della sicurezza, affrontando le vulnerabilità e le minacce in tutta l’organizzazione piuttosto che in silos isolati, oltre ad offrire numerosi vantaggi, quali:
- Migliore visibilità – L’integrazione della sicurezza IT e OT fornisce una migliore visibilità dell’intera infrastruttura digitale, consentendo un monitoraggio e un rilevamento delle minacce più efficaci.
- Allocazione efficiente delle risorse – La condivisione di risorse e competenze tra i team IT e OT porta a un uso più efficiente delle risorse di cybersecurity, riducendo la ridondanza e ottimizzando gli sforzi.
- Informazioni sinergiche sulle minacce – La combinazione delle informazioni sulle minacce provenienti da entrambi gli ambienti IT e OT migliora la capacità dell’organizzazione di anticipare e rispondere alle minacce informatiche in evoluzione.
Sistemi IT & OT: benefici derivanti dalla conformità di principali normative e direttive europee
Negli ultimi anni, il panorama della privacy dei dati e della sicurezza informatica ha subito trasformazioni radicali, spingendo gli organismi di regolamentazione a adottare misure rigorose per proteggere le informazioni personali e garantire l’integrità degli ecosistemi digitali.
I Paesi europei, grazie a regolamentazioni e direttive, quali la IEC 62443, Critical Entities Resilience (CER), NIS2, Cyber Resilience Act (CRA) e Nuovo Regolamento Macchine – stanno cercando di rafforzare i settori critici sotto la loro giurisdizione per ridurre la minaccia informatica, oltre a indurre le PMI a implementare le discipline del risk management, della business continuity e cybersecurity.
Inoltre, è doveroso ricordare che, a livello EU, l’ENISA (European Union Agency for Cybersecurity), ha fornisce costantemente linee guida e tool per le Pmi in termini di miglioramento della postura di cybersecurity, i.e. Cybersecurity Maturity Assessment for Small and Medium Enterprises,
SecureSME, Best Practices for Cyber Crisis Management
I benefici della conformità alle norme
Di seguito i principali benefici derivanti dalla conformità alle regolamentazioni e direttive citate.
IEC 62443 – Settore Energy, INDUSTRY 4.0 e railway
- Standardizzazione della Sicurezza – La serie di norme IEC 62443 fornisce linee guida per la sicurezza dei sistemi di automazione industriale e controllo, contribuendo a standardizzare le pratiche di sicurezza.
- Riduzione del rischio – L’adozione di queste norme aiuta a identificare e mitigare le vulnerabilità, riducendo il rischio di attacchi informatici.
- Miglioramento della resilienza – La conformità garantisce che i sistemi siano progettati e operino in modo sicuro, aumentando la capacità di resistere agli attacchi e recuperare rapidamente.
Critical Entities Resilience (CER) Directive (EU) 2022/2557
- Protezione delle infrastrutture critiche – La direttiva CER mira a migliorare la resilienza delle infrastrutture critiche in Europa, proteggendo i servizi essenziali dagli attacchi informatici e dalle interruzioni.
- Coordinazione europea – Promuove la collaborazione e la condivisione delle informazioni tra gli Stati membri dell’UE, migliorando la risposta coordinata agli incidenti di sicurezza.
- Implementazione di misure di sicurezza – Richiede alle entità critiche di adottare misure di sicurezza adeguate e di prepararsi per la continuità operativa in caso di incidenti.
NIS 2
- Ampliamento della copertura – La direttiva NIS 2 estende il campo di applicazione della precedente direttiva NIS, includendo un numero maggiore di settori e servizi critici.
- Miglioramento della sicurezza – Rafforza i requisiti di sicurezza per le reti e i sistemi informativi, promuovendo una maggiore robustezza contro le minacce informatiche.
- Obblighi di reporting – Introduce obblighi più stringenti di notifica degli incidenti, migliorando la capacità di risposta e la gestione degli incidenti a livello europeo.
Cyber Resilience Act
- Resilienza dei prodotti – Questa legge si concentra sulla sicurezza dei prodotti digitali e dei servizi collegati, garantendo che siano progettati e mantenuti con considerazioni di sicurezza fin dall’inizio.
- Responsabilità dei produttori – Impone ai produttori di prodotti digitali l’obbligo di mantenere la sicurezza dei loro prodotti per tutta la loro vita utile, migliorando la protezione contro le vulnerabilità.
- Maggiore Trasparenza – Promuove la trasparenza delle informazioni di sicurezza per i consumatori e le aziende, facilitando la scelta di prodotti e servizi più sicuri.
Regolamento Macchine
- Sicurezza dei macchinari – Stabilisce requisiti essenziali di sicurezza per la progettazione e la costruzione delle macchine, garantendo che siano sicure per l’uso previsto e che abbiano considerazioni di sicurezza informatica integrate.
- Protezione dagli Attacchi – Richiede che i macchinari siano protetti contro le minacce informatiche, riducendo il rischio di sabotaggi e interruzioni delle operazioni.
- Conformità e Innovazione – Promuove l’adozione di tecnologie innovative e pratiche di sicurezza avanzate, migliorando la competitività delle aziende sul mercato globale.
A fronte di quanto sopra, il 2024 è destinato a rappresentare un punto di svolta nella regolamentazione informatica, con i governi consapevoli che gli eventi informatici possono avere impatti sempre più gravi, in linea con lo sviluppo tecnologico e le tensioni globali.
La rigorosità delle nuove norme richiederà alle infrastrutture critiche ed alle PMI, non solo di allineare tecnologia e processi ai requisiti normativi, ma anche di promuovere un cambiamento culturale che implica adottare un approccio globale e proattivo.
Conclusione
La crescente interconnessione tra i sistemi IT e OT ha portato a una maggiore complessità e a nuove sfide per la sicurezza informatica. In questo contesto, la cyber resilience diventa un concetto chiave per garantire la continuità operativa e la protezione dei dati sensibili.
Ne consegue che le organizzazioni, in primis le PMI, dovranno sempre più garantire la cyber resilience attraverso l’intersezione dei principi di risk management, business continuity e cyber security quale conditio sine qua non per essere maggiormente conformi alla galassia normativa europea che si basa sempre più su un approccio risk-based e resilience based.
Di fatto, l’adozione di una strategia di cyber resilience robusta, più anticipatoria e preventiva – in linea con il moderno imperativo della sicurezza informatica – che deve non solo rispondere agli incidenti, ma anche essere in grado di contrastarli attivamente prima che possano causare danni – permette alle organizzazioni di mitigare l’impatto degli attacchi, ridurre i tempi di inattività e mantenere la fiducia degli stakeholder.
Pertanto, in un mondo sempre più digitale, investire in cyber resilience non è solo una necessità, ma una priorità per garantire la sostenibilità e la competitività a lungo termine.
Senza dimenticare che la collaborazione tra dipartimenti IT e OT, insieme a un impegno costante verso l’innovazione e l’aggiornamento delle pratiche di sicurezza, sarà essenziale per affrontare le sfide future e costruire ecosistemi sicuri e resilienti.
Federica Maria Rita Livelli
Business Continuity & Risk Management Consultant, BCI Cyber Resilience Committee Member, CLUSIT Scientific Committee Member, ENIA Comitato Scientifico
