La trasformazione digitale del manifatturiero e di Industria 4.0 rappresenta fenomeni fortemente interconnessi e collegati ai termini di smart industry e smart factory. Anche in tali ambienti aumentano i rischi informatici e la sicurezza delle industrie 4.0 è necessaria più che mai non solo a causa delle minacce incombenti, ma anche ai fini delle realistica e reale necessità di resilienza imposta dalla direttiva NIS2 entrata in vigore dal 27 dicembre.
Indice degli argomenti
Tutti i rischi di smart industry e smart factory
Non è più rimandabile una strategia matura che prenda in considerazione tutti gli elementi tecnologici, organizzativi e procedurali, fin dall’inizio valutando l’intera superficie di attacco potenziale, i rischi connessi, la loro riduzione e gestione, unitamente a quella di rischio informatico di terze parti per poi attuare misure di protezione e gestione incidenti.
Se le organizzazioni non possono fare a meno di evolvere tecnologicamente per raccogliere le sfide della transizione 4.0 parimenti non possono più sottostimare i temi di sicurezza informatica ma devono adattarsi per poter sopravvivere in un mercato competitivo e concorrenziale che in aggiunta alle sfide di business ormai richiede, impone e pretende attenzione sul versante della sicurezza informatica.
Introduzione alle smart factories
La quarta rivoluzione industriale, nota anche come industry 4.0 consiste nella trasformazione dei processi produttivi mediante una integrazione di tecnologie digitali per automatizzarle e interconnetterle. Il processo è iniziato 2016 un piano governativo ad hoc che ha poi subito evoluzioni e revisioni: da Piano Industria 4.0 a Piano Impresa 4.0 fino a il piano nazionale della Transizione 4.0.
L’attuale piano nazionale Transizione 4.0 previsto dalla Missione 1 del PNRR ha l’obiettivo di sostenere la trasformazione digitale delle imprese incentivando gli investimenti privati in beni e attività a sostegno della digitalizzazione attraverso il riconoscimento di crediti d’imposta.
Le direttrici di sviluppo sono quattro: la prima riguarda i dati ovvero l’utilizzo dei dati, la potenza di calcolo e la connettività (mediante tecnologie di big data, open data, Internet of Things, machine-to-machine e cloud computing), il secondo ambito di sviluppo sono gli analytics per creare valore dai dati; il terzo ambito è l’interazione uomo-macchina mediante interfacce intelligenti ed eventualmente immersive, l’ultimo ambito è quello della robotica e della manifattura additiva (fonte: economy up).
Il nuovo ambito industriale manifatturiero costituito da sistemi fisici e Cyber è globalmente noto con il termine Smart industry, e a seconda del sotto ambito di implementazione, si declina in smart factory o smart manufactoring. Ulteriori componenti abilitanti sono le tecnologie di Operational Technology (OT) e di Internet of Things (IoT) unitamente ai sistemi IT più tradizionali, all’adozione del Cloud e all’esigenza di connettività.
Minacce e rischi di sicurezza
Accanto alle opportunità della trasformazione digitale e dell’integrazione di tutte le tecnologie citate, si presentano puntualmente i cybercriminali che usano la maggior digitalizzazione degli impianti industriali come estensione della superficie di attacco potenziale per le loro scorribande lucrative.
Cosa ci dicono le ricerche
Una evidenza di questo trend è tracciata nel report “The Security Risks Faced by CNC Machines in Industry 4.0”, emesso da Trend Micro in collaborazione con Celada (fornitore di macchinari industriali, n.d.r.). La ricerca affronta i rischi di sicurezza per le macchine a controllo numerico computerizzato (CNC) al momento dell’integrazione in fabbriche connesse alle reti digitali ed è stata condotta su quattro vendor rappresentativi del settore CNC, scelti per dimensioni e presenza sul mercato.
La gamma degli scenari di attacco si estende fra: danni di configurazione e parametrici per alterare il funzionamento delle macchine (hijacking); negazione dei servizi industriali mediante attacchi Denial-of-Service (DoS) o a mezzo ransomware; esfiltrazione di dati riservati o strategici che si configurano come attività di spionaggio industriale.
Il quadro sembra volgere a un ulteriore peggioramento e in particolare secondo un rapporto del Capgemini Research Institute (CGI), emesso a giugno 2022 su un campione intervistato fra ottobre e novembre 2021 di 950 organizzazioni in tutto il mondo, l’80% delle organizzazioni concorda che la sicurezza informatica sia un fattore critico e il 79% delle organizzazioni si sente più a rischio dopo l’adozione dei sistemi cyberfisici rispetto a prima.
Ma solo in pochi hanno già imparato a difendersi
Non solo: poco più della metà (51%) delle organizzazioni industriali ritiene che gli attacchi informatici alle fabbriche intelligenti aumenteranno probabilmente nei prossimi dodici mesi, a fronte di un bassissimo 6% del campione capace di implementare pratiche mature e consolidate di sicurezza informatica comprendenti consapevolezza, preparazione e attenuazione delle minacce nelle fabbriche intelligenti.
Quest’ultimo dato è significativo specialmente se confrontato con il dato, di poco più della metà del campione intervistato, che non si sente adeguatamente formato per fronteggiare attacchi informatici, che non vede una adeguata collaborazione tra la dirigenza e le figure di security e che infine non dispone di un adeguato budget devoluto alla sicurezza.
Periodicamente l’agenzia di sicurezza Americana CISA pubblica avvisi specifici per il comparto industriale come ad esempio il recente ICS Alert (ICS-ALERT-14-281-01E) ma si raccomanda di monitorare anche il sito del CSIRT italiano che ha una sezione di alerting costantemente aggiornata sulle minacce di sicurezza. Nel frattempo, i ricercatori della società di sicurezza informatica Forescout hanno scoperto 3 pericolose vulnerabilità che interessano i prodotti di automazione industriale.
Come intervenire
Un primo passo per valutare tutti i rischi connessi con le tecnologie di “smart manufactoring” è rappresentato dall’implementazione di un Risk Assessment Framework (IRAF). I Ricercatori del NIST a tal fine hanno proposto l’Enumerazione delle Debolezze Comuni (Common Weakness Enumeration – CWE) del MITRE Corporation come approccio su cui modellare l’IRAF. Il CWE è una classificazione formale dei punti deboli e delle falle di sicurezza esibite dal software sviluppato dalla comunità del software e rappresenta una sorta di “linguaggio comune”, metro di misura e come base per l’identificazione delle debolezze, la loro mitigazione e le contromisure di prevenzione.
Ma la sola valutazione del rischio non basta se non è corredata da prassi di governance allineate a logiche di compliance, specialmente in relazione alla entrata in vigore delle normative europee NIS2, DORA e CER, pubblicate in forma ufficiale nell’”Official Journal of the Europea Union” numero L 333 del 27 December 2022. Le smart industries in particolare, sono ricomprese nella NIS2 come estensione dei settori critici oggetto e soggetto delle indicazioni e requisiti dettati dalla nuova direttiva.
Il “gap” delle competenze cyber: ovvero, la realtà delle minacce interne all’azienda
La strada da seguire
Dal report di CGI si possono trarre le prassi generali da seguire per avviare l’organizzazione industriale alla sicurezza informatica: eseguire una valutazione iniziale della sicurezza informatica dell’intera organizzazione; aumentare la consapevolezza delle minacce informatiche della fabbrica intelligente in tutta l’organizzazione; identificare la titolarità del rischio per gli attacchi informatici nelle fabbriche intelligenti; stabilire un quadro che monitori e faciliti la sicurezza informatica della fabbrica intelligente; incorporare pratiche di sicurezza informatica adattate all’ambiente della fabbrica intelligente; stabilire solide strutture di governance con rigorose misure di controllo.
Un ulteriore strumento ad hoc per studiare le Tecniche Tattiche e Procedure usate dagli attaccanti negli ambienti industriali e per poter istruire azioni e contromisure di difesa e protezione, è costituito dal MITRE ATT&CK for ICS (Industrial Control Systems) una specializzazione del MITRE ATT&CK framework, che a sua volta, rappresenta una base di conoscenza accessibile a livello globale di tattiche e tecniche avversarie basate su osservazioni del mondo reale.
A partire dalle risorse del MITRE per capire forma e modalità degli attacchi è possibile seguire le linee guida di uno dei seguenti standard specifici per il mondo degli ICS che sonol’ ISA IEC62443, il NIST CSF, il NIST SP800 e i CIS Controls, al fine di introdurre misure di protezione prevenzione e gestione degli incidenti di sicurezza.
