L’unificazione dei sistemi embedded con le tecnologie di comunicazione ha dato origine ai “Cyber Physical Systems” (CPS), i sistemi cyberfisici. Tali sistemi sono implementati in diversi domini applicativi, come l’automotive, la produzione industriale e manifatturiera intelligente, l’assistenza sanitaria. Tuttavia, si parla di sistemi cyberfisici anche per tutti quegli apparati di sicurezza fisica che oggi sono arricchiti di componenti digitali e che quindi “ereditano” le vulnerabilità tipiche delle componenti software.
A causa della “doppia natura” di tali sistemi, ovvero la fusione del mondo cibernetico e del mondo fisico, è un importante prerequisito garantire sia la sicurezza informatica sia la safety (implicitamente necessaria), per un funzionamento affidabile.
È fondamentale, quindi, la comprensione dei potenziali pericoli e minacce e la valutazione dei rischi di sicurezza informatica che potenziali incidenti e attacchi informatici pongono e che sono spesso complicati da tre fattori caratterizzanti dei sistemi CPS: dipendenze condizionali fra le diverse componenti e conseguenti potenziali conflitti, esigenza di attuare una analisi per il rafforzamento delle singole componenti e del sistema visto come un unicum.
Da qui la necessità di analizzare la cyber security dei CPS utilizzando un unico approccio. Tale approccio può essere impiegato per identificare guasti/vulnerabilità del sistema, pericoli/minacce, requisiti di sicurezza/protezione e per valutare i rischi di sicurezza/protezione.
Gli approcci di base della sicurezza informatica mirano a identificare, valutare e gestire i rischi relativi alla riservatezza, integrità e disponibilità del sistema/componente di destinazione. A tal proposito sono stati proposti vari metodi per l’ingegneria della sicurezza, che si concentrano su diverse fasi del ciclo di vita del sistema.
Approcci generali valutano e gestiscono il rischio di sicurezza complessivo di un sistema, mentre esistono anche metodi che facilitano l’analisi in una particolare fase del ciclo di vita come l’ingegneria dei requisiti, l’analisi delle minacce, l’analisi della vulnerabilità e le fasi componenti dell’analisi del rischio stesso.
Indice degli argomenti
Priorità di cyber security per i sistemi di sicurezza fisica
Una recente indagine condotta da Genetec dal titolo Report Sicurezza Fisica nell’area EMEA 2021 su 1500 professionisti della sicurezza in Europa, Medio Oriente e Africa per capire le principali sfide e le priorità̀ strategiche per il 2021 ha fatto emergere come la crisi pandemica e la conseguente maggiore esposizione agli attacchi informatici legata al ricorso frettoloso al lavoro da remoto per i dipendenti, abbia aumentato le preoccupazioni legate alla cybersecurity in tutto il mondo.
I risultati dell’indagine mostrano che gli intervistati riconoscono l’esistenza delle minacce informatiche e il fatto che i loro sistemi di sicurezza fisica siano piattaforme potenzialmente esposte agli attacchi. Il 67% prevede di dare priorità̀ ad una strategia di cybersecurity nel 2021, in controtendenza con il rapporto pubblicato del 2020 State of Physical Security report in cui solo il 31% dei 1074 utenti finali prioritizzava le iniziative di cybersecurity.
Sempre secondo il report, il 70% conferma o indica un aumento dei budget dedicati alla sicurezza informatica, mentre solo il 42% sta sfruttando i sistemi esistenti per affrontare le sfide legate alla pandemia.
In tema di “journey to Cloud” il report evidenzia come circa i due terzi (64%) dei professionisti di sicurezza fisica abbiano attuato la loro strategia cloud durante la pandemia. E in questo senso i dati Forbes indicano che il 63% del workload delle aziende è già stato trasferito a un Cloud pubblico o ibrido. I Cloud provider in Europa sembrano aver iniziato la migrazione del mondo security verso il Cloud e il trend è destinato a continuare.
Questi dati sono incoraggianti, se e solo se i sistemi in cloud che coadiuvano sistemi di sicurezza fisica, sono dotati di componenti di cyber security quali monitoraggio, controllo accessi e configurazioni e aggiornamenti built-in tali, da garantire che l’implementazione congiunta possa sfruttare politiche, controlli, procedure e tecnologie che lavorano in sinergia per proteggere il sistema e il perimetro esteso.
A questo proposito Christian Morin, Vicepresidente Integration & Cloud Services, Genetec Inc. sottolinea come la vera sfida riguardi la capacità delle organizzazioni di mantenere aggiornati i software in uso.
Man mano che le soluzioni di sicurezza evolvono verso una nuova normalità, è fondamentale che le aziende non perdano di vista la parte più semplice, eppure più importante, delle prassi base: accertarsi che tutti i dispositivi e i server on-premise stiano girando con la versione più sicura a disposizione. Suggerisce inoltre ai professionisti della sicurezza fisica di “contrastare tali minacce mediante accordi di partnership con le loro controparti dell’IT per comprendere meglio i limiti del perimetro di sicurezza e lavorare per sviluppare una governance forte e processi che rendano impossibili o possano mitigare gli attacchi informatici. Ciò implica irrobustire un framework di sicurezza cyber-fisica resiliente per essere certi che solo i dispositivi più̀ affidabili vengano integrati nella rete e successivamente configurati, aggiornati e gestiti nel corso dell’intera vita operativa del sistema. Dobbiamo tenere sempre a mente che questo non è un ambito in cui si possa agire “una tantum”: le minacce sono reali e tutti devono fare la loro parte. Bisogna lavorare a un miglioramento continuo: non solo in risposta a un attacco ma anche e soprattutto a livello preventivo e di rilevazione di potenziali vulnerabilità”.
In effetti, anche le normative sulla sicurezza delle reti ed i sistemi di livello europeo (Direttiva NIS e proposta NIS 2) il Regolamento generale della protezione dei dati personali (GDPR) e le normative nazionali come il Perimetro Nazionale di Sicurezza Cibernetica (PNSC), impongono un intervento che non può più essere rimandato, pena sanzioni a carico delle organizzazioni pubbliche e private inadempienti.
Sistemi cyberfisici: le prassi da applicare
Per centrare le priorità di cybersecurity rilevate nel report si ricorda l’esigenza di attuare un sistema di valutazione e analisi dei rischi che evidenzi quali sono le aree maggiormente in pericolo e su cui intervenire prioritariamente.
Fra queste, quelle che non possono mai mancare, suggerisce Morin riguardano l’aggiornamento dei software con le patch di sicurezza, l’aggiornamento di firmware obsoleti, l’autenticazione multifattoriale per irrobustire il sistema di accesso solitamente garantito con singole password, spesso deboli ed una spasmodica attenzione nel non condividere mai le credenziali personali.
Cruciale anche ricordare la security della supply chain, perché i recenti cyberattacchi a un provider di soluzioni di sicurezza in cloud ibride hanno dimostrato che tutti i componenti della filiera e gli utenti finali devono dare priorità alla cyber security.
Naturalmente le soluzioni di sicurezza fisica sono potenzialmente un punto d’entrata che dà accesso a reti di aziende grandi, medie o piccole.
Questo perché le telecamere di videosorveglianza, i lettori per controllo accessi e le centrali di allarme sono dispositivi IoT ovvero piccoli computer con a bordo un software e potrebbero contenere vulnerabilità facilmente utilizzabili come testa di ponte per qualsiasi azione criminosa.
Anche in questi casi è necessario curare gli aggiornamenti di sicurezza e garantire sistemi di accesso controllato ma anche introdurre misure di protezione come la crittografia per i dati. I sistemi di mail inviate e ricevute possono essere intercettati ed anche in questo caso è opportuno proteggerli, curando anche l’awareness dei dipendenti per metterli in guardia dalle campagne di phishing.
Ogni aspetto pur se di granularità minimale è importante, se concorre al rischio di essere soggetti ad un incidente di sicurezza ed è per questo motivo che occorre segnalare eventi anomali in modo tempestivo, al fine di anticipare le mosse che possano complicare la vita degli aggressori digitali. Per esempio, attuare azioni preventive per non rimanere ostaggio di un ricatto (minaccia Ransomware), avviare azioni esercitative e operative per garantire la continuità di business anche sotto attacco (minaccia DDOS) e prevedere un sito di disaster recovery con RPO (Recovery Point Objective) e RTO (Recovery Time Objective) tali, per cui si possa tornare operativi in un giorno o due.
Negli ambiti IoT legati ai sistemi di videosorveglianza le telecamere presentano spesso vulnerabilità (54%) e firmware obsoleti (68%) (fonte: studio Genetec Inc.) in questi ambiti Francis Lachance, Director, video, audio and appliances product group dell’azienda, suggerisce alcune prassi di protezione ai produttori di soluzioni video:
- interventi legati alla privacy e alla protezione dei dati by default introducendo sistemi e certificati che possano identificare autenticare e autorizzare utenti e dispositivi per l’accesso al sistema (in un sistema con centinaia di telecamere IP, può essere complicato cambiare periodicamente le password o renderle più lunghe);
- anonimizzazione dei dati “by default” per impedire localizzazioni degli oggetti/luoghi ripresi dalle videocamere di sorveglianza;
- la tracciabilità di ogni intervento di modifica delle configurazioni per risalire ad eventuali azioni non autorizzate;
- implementazione di nuovi standard emergenti sul mercato (es: ANSSI SecNumCloud in Francia o la ISO/IEC 27701 Privacy Information Management System) curando gli aggiornamenti legati alle azioni che Governi ed enti stanno adottando per mettere al bando alcune tecnologie in ottemperanza alla GDPR-compliance e alla l’eticità delle soluzioni di riconoscimento facciale solo per citare due esempi concreti.
