La Precision Farming (Agricoltura di Precisione) non è un concetto nuovo. Tutti i principali attori del settore hanno sempre cercato o sviluppato metodi per ridurre i costi di produzione e aumentare i risultati; dalle macchine hanno raccolto dati e preso decisioni con quei dati. La moderna Agricoltura di Precisione, che integra l’utilizzo di satelliti e computer, è iniziata invece solo di recente.
La Precision Farming moderna utilizza molta tecnologia per migliorare l’efficienza di questi dati e facilitare le future decisioni di produzione. Consente di raccogliere costantemente tutte le informazioni necessarie all’ottimizzazione delle varie fasi di lavorazione nei campi e negli allevamenti.
Tutto il settore è sempre più impattato da una trasformazione digitale che impiega tecnologie di connessione molto ampie: sensori remoti di raccolta dati, sistemi GPS, protocolli di comunicazione per gestire i Big Data, sistemi informatici per ottimizzare i processi di lavorazione.
Le minacce informatiche al settore Precison Farming sono di conseguenza in numero crescente, così come accade in tutto il settore Automotive di cui le macchine agricole fanno parte.
La cyber security in questo settore non è ancora standardizzata così come in altri ambiti industriali, ma come vedremo nel seguito sono applicabili alcune normative e best practices in ambito OT (Operational Technology) Industriale e Automotive
In particolare, come vedremo nel seguito, una regolamentazione Europea importante che riguarda la metodologia di SW Update ovvero tutto ciò che concerne gli aggiornamenti software delle centraline a bordo dei veicoli, è applicabile anche alla categoria T dei veicoli, appunto quelli che sono utilizzati in agricoltura.
Agricoltura, digitalizzare è una priorità ma attenzione alla cyber security
Indice degli argomenti
Cyber security nell’agricoltura di precisione: le minacce
La maggior parte delle minacce e vulnerabilità che colpisce questo settore è la stessa che si trova in settori industriali affini dove la connettività è un elemento essenziale. I possibili cyber attacchi, infatti, possono riguardare furto di dati, furto di risorse, perdita di reputazione, indisponibilità di apparecchiature o acquisizione di un vantaggio finanziario rispetto a un concorrente. Pertanto, l’uso non autorizzato delle chiavette USB, lo spear phishing e altri attacchi informatici dannosi sono vettori di minacce applicabili per un attacco.
Nel settore Precision Farming si passa, però, da un mondo prettamente meccanico a una digitalizzazione molto spinta che può accrescere la superfice d’attacco drammaticamente.
Si pensi, ad esempio, al protocollo ISOBUS che permette la comunicazione tra i mezzi agricoli e gli attrezzi collegati. Definito nel 2011 da AEF (Agricultural Industry Electronics Foundation), basato sul protocollo SAE J1939 già utilizzato come Bus di comunicazione all’interno dei trattori, è diventato uno standard ISO 11783.
ISOBUS permette oggi di avere un’unica console a bordo dei veicoli, realizzando molte funzioni per Precision Farming. Ad esempio, la comunicazione universale per un Joystick, funzioni legate al posizionamento dei trattori e alla lavorazione effettuata per ottimizzare i tempi e le risorse impiegate. In futuro ci saranno anche funzioni di Logging e gestione degli attrezzi collegati in modo bidirezionale, ovvero in cui non solo saranno i trattori a dare comandi agli attrezzi ma anche viceversa.
Implicazioni di cyber security del sistema di comunicazione ISOBUS
Un sistema come ISOBUS pone implicazioni di cybersecurity importanti:
- opportunità di collegamento a ISOBUS e capacità di portare attacchi già noti su CAN bus;
- opportunità di hacking remoto sui veicoli (wireless security);
- superfice di attacco in aumento a causa dell’arrivo di macchine agricole autonome.
Alcuni attacchi e dimostrazioni di hacking sui trattori sono già state pubblicate e presentate in varie conferenze, ad esempio al Defcon 2022. Di qui l’urgenza di provvedere alla protezione di questo settore in termini di cyber security.
Gli obiettivi di cyber security da perseguire sono sempre confidenzialità, integrità, disponibilità. Obiettivi da declinare sugli aspetti di:
- sicurezza nelle comunicazioni;
- sicurezza end-to-end;
- autenticazione e autorizzazione di sistemi re sotto-sistemi;
- soluzioni di resilienza per tutti i componenti embedded;
- contromisure specifiche ad attacchi alle API.
Minacce alla confidenzialità
La protezione dei dati è sicuramente un primo elemento da considerare. Gli aspetti sia di sicurezza che di privacy sono in questo caso importanti e sensibili, data la natura dei dati stessi che possono riguardare dati di produzione, dati finanziari, dati anche di salute delle coltivazioni e animali. Possiamo individuare le seguenti principali minacce:
- furto intenzionale di dati raccolti tramite sistemi di supporto alle decisioni (DSS) o divulgazione involontaria di dati a terze parti;
- pubblicazione intenzionale di informazioni riservate dall’interno del settore, ad esempio da parte di un fornitore, per danneggiare l’azienda;
- vendita senza scrupoli di dati riservati, o danni tramite ransomware.
Minacce all’integrità
Come detto in precedenza, la digitalizzazione del settore Precision Farming ha visto l’utilizzo progressivo di molteplici sensori. Di conseguenza si assiste ad una sempre maggiore automazione, all’impiego di entità robotiche, all’uso di Cloud computing.
Possiamo individuare le seguenti principali minacce:
- modifica intenzionale di dati per interrompere operazioni sulle colture o dell’allevamento;
- introduzione di dati non autorizzati in una rete di sensori.
Minacce alla disponibilità
Tutto il settore Precision Farming è composto ormai da prodotti connessi o embedded products. La connettività tra questi elementi , come visto in precedenza con l’adozione di ISOBUS è sempre più spinta verso l’impiego di protocolli di comunicazione interoperabili, ma dove la sicurezza non è ancora parte del processo di security by design.
Possiamo individuare le seguenti principali minacce:
- indisponibilità in generale delle attrezzature;
- interruzione dei sistemi di posizionamento, navigazione e temporizzazione (PNT);
- interruzione delle reti di comunicazione.
Le contromisure da applicare
I controlli principali da applicare in termini di Cybersecurity sono in linea di principio simili a quelli di altri settori. Si possono quindi ricavare ad esempio dalla lista del CIS (Center of Internet Security).
- Limitare l’utilizzo di servizi, porte di comunicazione, protocolli insicuri.
- Tenere aggiornato un inventario di assets sia hardware che software.
- Monitorare in modo continuo la rete e gli accessi ad essa.
- Identificare tutti gli elementi di OT (Operational Technology) e costruire un’architettura sicura suddivisa in zone trusted e untrusted.
- Impiegare crittografia per proteggere i dati.
- Implementare anche piani di business continuity e disaster recovery.
- Applicare best practices di cyber security all’interno delle macchine e all’esterno.
- Eseguire le attività di TARA (Threat Analysis e Risk Assessment), poi di definizione requisiti e successivamente di verifica e validazione (vulnerability testing e penetration testing).
Cyber security nell’agricoltura di precisione: standard applicabili
Uno delle normative obbligatorie alla categoria veicolare T (veicoli agricoli e forestali) è la UNECE R156. È una direttiva europea che si occupa di Software Update e Software Update Management Systems (SUMS).
All’interno della normativa ci sono anche requisiti di sicurezza, in particolare:
- il processo degli aggiornamenti software deve essere protetto per prevenire ragionevolmente la manipolazione prima che il processo di aggiornamento venga avviato;
- i processi di aggiornamento utilizzati devono essere protetti per prevenirne la compromissione, compreso lo sviluppo del sistema di distribuzione degli aggiornamenti;
- i processi utilizzati per verificare e convalidare la funzionalità del software e il codice per il software utilizzato nel veicolo devono essere appropriati.
La normativa impone l’obbligo di conformità entro luglio 2024, un’adeguata documentazione di security dovrà essere preparata per dimostrare che i processi di Software Update sono eseguiti in modo sicuro e che i codici identificativi del software all’interno delle ECU sono protetti da manipolazione non autorizzata.
La normativa UNECE R155 che riguarda invece il CSMS (Cybersecurity Management System) non è obbligatoria per la categoria T dei veicoli, ma comunque è assolutamente di ausilio e applicabile a tutti i componenti elettronici e dotati di connettività all’interno dei veicoli agricoli.
Applicabile è anche sicuramente lo standard ISO 21434 (Cybersecurity per i veicoli) che riguarda attività e processi di sviluppo per componenti e veicoli.
Ugualmente applicabili sono altri standard e best practices ad esempio a livello organizzativo come ISO 27001 oppure NIST800-53.
Anche la recente pubblicazione della direttiva NIS2, che amplia lo scopo al settore delle aziende di “produzione, trasformazione e distribuzione di alimenti”, può avere un impatto sul settore della Precision Farming così come lo avrà il prossimo Cyber Resilience Act.
Laddove siano trattati i dati personali degli utenti, anche il GDPR diventa ovviamente applicabile in Europa.
Conclusioni
Il settore Precision Farming è sempre più esposto alla connettività sia internamente ai veicoli che esternamente. Questo implica la necessità di adozione di pratiche di cyber security relative al settore OT.
Al tempo stesso il settore Precison Farming ha ricevuto scarsa attenzione da parte degli enti normatori in materia di cyber sicurezza. Ma è evidente dalle considerazioni fatte finora che c’è un crescente interesse in questo ambito ed una crescente necessità di iniziare ad applicare requisiti e best practices di cyber security.
Adottare un opportuno framework di cyber security come Zero Trust (considerare tutti gli utenti, le app e i dispositivi che richiedono l’accesso come non autorizzati fino a prova contraria) avere chiari gli obiettivi, capire cosa/da chi occorre proteggersi sono i primi passi per iniziare un percorso che porterà grandi benefici in futuro ma soprattutto farà la differenza tra chi si è preparato e il resto del mondo.
