I sistemi di controllo industriale sono insicuri e facili da attaccare e sfruttare: questa la ragione per cui è in atto una costante attività cybercriminale che mira al furto di dati, all’appropriazione di segreti industriali, alla manomissione di macchinari e impianti, azioni che potrebbero avere un impatto devastante su un’industria.
Per questa motivazione, come ci ricorda l’articolo Non c’è Industry 4.0 senza cyber security: ecco perché (e cosa rischia l’Italia) pubblicato da AgendaDigitale in collaborazione con il partner F-Secure, il mondo dell’industria connessa non può più sottovalutare la cyber security.
Il mondo industriale è caratterizzato da un numero elevato di sistemi vulnerabili direttamente connessi a Internet, privi di aggiornamenti – anche i più basilari – e non aggiornati: tutto questo rappresenta terreno fertile per i criminali informatici. Intere famiglie di ransomware sono state progettate proprio per sfruttare questi punti deboli.
Queste campagne provengono ormai da diverse parti del mondo, e in molti casi sono sferrate proprio contro aziende manifatturiere a causa delle loro scarse pratiche di sicurezza informatica.
Ma una soluzione è possibile: nello scenario dell’IIoT (Industrial Internet of Things) occorre per prima cosa instaurare un dialogo tra il responsabile IT e il responsabile di produzione al fine di formulare una strategia comune di sicurezza che rispetti le esigenze di entrambi: troppo spesso infatti vengono ancora sfruttate vulnerabilità dovute all’assenza di un processo di Vulnerability Management, alla presenza di software obsoleti, alla mancanza di patch o a comuni errori di configurazione o configurazioni di default.
Riuscire a difendere con successo le infrastrutture IoT, come ci spiega l’articolo Sicurezza nell’Internet of Things: le tecnologie chiave di protezione pubblicato da ZeroUno, dipende dalla capacità di adottare un insieme di tecnologie di protezione e difesa, per riuscire a mettere al riparo le implementazioni IoT dalle innumerevoli e sempre crescenti cyber minacce.
Fra le tecnologie utili a semplificare la complessità di protezione associata alle piattaforme IoT possiamo trovare:
- soluzioni di sicurezza delle API IoT atte a fornire l’abilità di autenticare e autorizzare il trasferimento di dati tra dispositivi IoT, sistemi di back-end e applicazioni;
- blockchain, che può essere utilizzata per stabilire e verificare affidabilità e sicurezza delle comunicazioni tra dispositivi IoT e applicazioni;
- tecniche di hardening, ovvero le soluzioni di ‘irrobustimento’ dei dispositivi IoT che permettono di rendere i device resistenti alle manomissioni, e di mantenere l’integrità dei dati;
- controlli sulla privacy dell’utente, che consentono, direttamente sul dispositivo IoT o attraverso un’interfaccia web, di modificare o gestire le modalità con cui il costruttore memorizza e usa i dati del dispositivo stesso, e li condivide con terze parti;
- soluzioni di segmentazione della rete, ovvero le tecniche in grado di creare zone e micro-perimetri in una rete di dispositivi IoT, allo scopo di isolarli da altri device, sistemi o reti;
- soluzioni “public key infrastructure”, che si possono usare per precaricare certificati digitali nel dispositivo IoT al momento della fabbricazione necessari per autenticare il device verso un gateway IoT o infrastrutture di backend, e per abilitare comunicazioni cifrate;
- strumenti analitici per la sicurezza, le soluzioni in grado di raccogliere, aggregare, monitorare, normalizzare i dati generati dai dispositivi IoT, e poi di fornire informazioni utili o allarmi su specifiche attività;
- soluzioni di identificazione delle minacce, in grado di individuare attacchi specifici sui dispositivi IoT, perpetrati attraverso le reti wireless o wired, e generare allarmi volti a sviluppare azioni per mitigare i tentativi di compromissione.
Solo implementando corrette politiche di sicurezza, infatti, possiamo iniziare a sviluppare la sensibilità e le basi comuni per contrastare in modo efficace le minacce informatiche.
A cura di Jusef Khamlichi Consulente senior presso P4I – Partners4Innovation e Gaia Rizzato, Trainee Information & Cyber Security presso P4I – Partners4Innovation
