La protezione delle infrastrutture critiche è un tema molto caldo ed è prioritario sia per la sicurezza nazionale che per quella economica. Le infrastrutture critiche, di fatto, costituiscono la spina dorsale delle economie dei Paesi sviluppati. Con “Infrastrutture Critiche” si intendono, infatti, tutti gli insiemi di servizi, risorse e processi, di cui l’indisponibilità o il malfunzionamento determina ricadute ed indebolimento del sistema Paese. Dalla loro disponibilità e dal loro corretto funzionamento, nei Paesi industrializzati, dipende – e lo sarà in misura sempre maggiore in futuro – il benessere di ampie fasce di popolazione.
“Vengono considerate infrastrutture critiche, ad esempio, la logistica prodotti alimentari, la produzione e la distribuzione dell’energia elettrica, le telecomunicazioni, le risorse idriche, i servizi sanitari e trasporto e le infrastrutture viarie quali autostrade, viadotti e gallerie/trafori. L’obiettivo della IoT security per questo tipo di infrastrutture è quello di proteggerle dagli attacchi informatici, garantendone la disponibilità, l’integrità e l’affidabilità mediante soluzioni integrate nei dispositivi connessi fin dalla progettazione, grazie alla cybersecurity by design”, spiega Angelo Gazineo, Technical Account Manager di Maticmind, System integrator italiano che offre soluzioni informatiche per la progettazione e gestione del data center e della sicurezza informatica.
La consapevolezza della crescente vulnerabilità delle infrastrutture, connesse da una rete world-wide creata dall’uso diffuso a livello globale di internet, nella quale un qualsiasi errore o guasto può rapidamente propagarsi ad altre infrastrutture provocando danni a soggetti remoti, e il moltiplicarsi degli attacchi informatici degli ultimi anni, accresciuti da fragili e delicati scenari geopolitici, rende necessario ed urgente elevare il livello di sicurezza di reti e infrastrutture, soprattutto per quanto riguarda quelle critiche, per non compromettere la continuità operativa dei servizi erogati.
In questo contesto, è fondamentale avere delle linee guida comuni a livello europeo per poter rendere più efficace e efficiente i livelli di protezione degli ambienti critici, soprattutto in ottica di cooperazione nella tutela del tessuto economico tra i diversi paese membri dell’EU.
Indice degli argomenti
L’evoluzione del contesto normativo
I quadri normativi nazionali ed internazionali sono in continua evoluzione ed hanno come tutela la protezione degli ambienti critici. A tal proposito, sono stati pubblicati una serie di regolamenti europei che man mano dovranno essere recepiti e adottati dagli stati membri. Si tratta di una serie di norme finalizzate al conseguimento di un «livello elevato di sicurezza della rete e dei sistemi informativi in ambito nazionale, contribuendo ad incrementare il livello comune di sicurezza nell’Unione europea».
Si va dal Cyber Resilience Act, dove vengono stabiliti i parametri per la cybersicurezza dei dispositivi connessi, alla Direttiva NIS2, nella quale sono state poste le basi necessarie per normare e disciplinare gli aspetti essenziali della sicurezza informatica, con particolare riferimento alle aziende operanti nei servizi fondamentali e nelle infrastrutture critiche, da cui dipendono le sorti socioeconomiche di intere nazioni, passando per il regolamento DORA, che stabilisce i principi fondamentali per indirizzare la gestione, da parte delle entità finanziarie, dei rischi informatici derivanti da terzi, i quali vengono considerati come parte integrante dei propri rischi.
“Il quadro normativo delinea i principi per un’adeguata progettazione della security delle infrastrutture critiche, ovvero di quella che viene definita come “Security by design”, cioè sicurezza mediante progettazione”, spiega Roberto Larghetti, Iot Architect di Maticmind. La diffusione dei dispositivi IoT e la loro interconnessione pongono numerose nuove problematiche in termini di sicurezza, privacy e conformità per le aziende di tutto il mondo, al fine di evitare la perdita e il furto di dati o la violazione da remoto dei dispositivi.
“In particolar modo, la digitalizzazione dei processi richiede che sistemi IT e OT interagiscano, realizzando quella che viene chiamata convergenza IT/OT, tramite la quale i dati raccolti dalle apparecchiature fisiche e dai dispositivi IIoT vengono utilizzati per identificare i problemi o aumentare l’efficienza dei processi industriali.
Proprio questa convergenza, così vantaggiosa in termini di sostenibilità e competitività industriale, aggiunge un livello di ulteriore complessità all’approccio tradizionale della cyber-sicurezza, rendendo di fatto estremamente vulnerabili le infrastrutture OT, spesso identificate con le cosiddette “infrastrutture critiche” e inizialmente progettate esclusivamente per connessioni interne, esponendole a nuovi rischi per la sicurezza. Una corretta progettazione della sicurezza può ovviare a queste problematiche”, afferma nuovamente Angelo Gazineo.
“Security by design”: che cos’è
Con “Security by design” si intende un approccio alla progettazione e allo sviluppo di sistemi, applicazioni o prodotti che incorpora la sicurezza come parte integrante del processo di progettazione fin dall’inizio.
“Invece di considerare la sicurezza come un add-on successivo o come un’attività reattiva per affrontare le minacce, la sicurezza viene considerata come un requisito primario sin dalla fase di progettazione iniziale”, afferma Roberto Larghetti, che aggiunge. “L’obiettivo della sicurezza mediante progettazione è quello di identificare e mitigare le vulnerabilità e le minacce potenziali già nella fase di progettazione, anziché dover affrontare problemi di sicurezza in seguito”.
L’approccio della “Security by design” mira a creare sistemi sicuri, che siano in grado di resistere alle minacce e di proteggere i dati e le risorse sensibili. Questo approccio può contribuire a ridurre i rischi di violazioni della sicurezza e a garantire che la sicurezza sia integrata nel prodotto fin dall’inizio, piuttosto che essere un’aggiunta retrospettiva e che potenzialmente potrebbe essere più onerosa e meno efficace se applicata in fasi successive.
La progettazione della protezione delle infrastrutture critiche
“La progettazione di una rete di protezione per infrastrutture critiche richiede un approccio dedicato e mirato che consideri diversi aspetti della sicurezza informatica ed è importante che sia un processo continuativo, poiché le minacce e le tecnologie cambiano nel tempo”, dichiara Roberto Larghetti.
Ogni casistica, comprese quelle più sfidanti, richiede diversi accorgimenti più o meno complessi ma tutti devono partire da un concetto basilare, acquisire “visibilità” su ciò che è collegato in rete. “La visibilità operativa della rete – dichiara Angelo Gazineo – consente di identificare e classificare le risorse: “You Can’t Protect What You Can’t See” deve essere il punto trainante da cui partire per poi iniziare un processo più articolato di prevenzione, che introduca tecnologie all’avanguardia con il complicarsi dei possibili attacchi informatici”. I punti chiave da considerare durante la progettazione di un’infrastruttura devono contemplare:
- Valutazione dei rischi, allo scopo di identificare il punto di partenza e una roadmap per il conseguimento degli obiettivi da raggiungere. In tal senso, occorre iniziare con una valutazione completa dei rischi, insieme ad una gap analysis, per identificare le minacce potenziali e valutare l’impatto che potrebbero avere sull’infrastruttura critica. Ciò include l’analisi delle vulnerabilità del sistema e delle possibili conseguenze di un attacco informatico.
- Segmentazione di rete, con la quale separare l’infrastruttura in segmenti di rete distinti per limitare la diffusione di un attacco e minimizzare l’impatto su tutta l’infrastruttura (“lateral movement cointainment”).
- Controlli di accesso, la cui implementazione ha lo scopo di limitare l’accesso non autorizzato alle risorse critiche. Ciò può includere l’utilizzo di autenticazione a più fattori, autorizzazioni basate su ruoli ed in generale adottare politiche di “Zero Trust Network Access”.
- Monitoraggio e rilevamento delle minacce: implementare sistemi di monitoraggio in tempo reale serve per rilevare attività sospette o anomale sulla rete. Il monitoraggio costante consente di identificare rapidamente gli attacchi e intraprendere azioni correttive tempestive, anche durante le fasi iniziali di discovery compiute dai threat actors.
- Crittografia: l’uso della crittografia è finalizzato alla protezione delle comunicazioni sensibili all’interno della rete e tra la rete e gli utenti esterni.
- Sicurezza fisica: ai fini di una protezione ottimale, è necessario considerare anche la sicurezza fisica dell’infrastruttura critica, come la protezione degli accessi fisici alle strutture e l’utilizzo di sistemi di videosorveglianza.
Oltre alle attività descritte, è necessario prevedere procedure di backup regolari per i dati critici, sviluppare un piano di ripristino delle attività in caso di incidenti e valutare copie di backup immutabili in prevenzione ai Ransomware. “È inoltre importante assicurarsi che il personale coinvolto nell’utilizzo e nella gestione dell’infrastruttura critica sia adeguatamente formato in materia di sicurezza informatica e consapevole dei rischi e delle pratiche migliori per la protezione dei sistemi”, precisa Roberto Larghetti.
L’igiene informatica di tutto l’ecosistema
L’igiene informatica, ovvero il complesso di misure che possono essere intraprese per migliorare la sicurezza online e mantenere integro il sistema, deve coinvolgere tutto l’ecosistema in cui le infrastrutture sono immerse, comprensivo anche delle infrastrutture informatiche dei propri fornitori e dei loro utilizzatori, spesso geograficamente situati in paesi e continenti diversi. Gli attacchi, sempre più frequenti, alla supply chain evidenziano come la sicurezza delle infrastrutture critiche non possa essere garantita trascurando quella dei fornitori o degli strumenti utilizzati per il monitoraggio e la gestione delle stesse.
“La sicurezza della catena di fornitura dovrebbe essere una priorità assoluta per tutti i tipi di organizzazioni, poiché una violazione all’interno del sistema potrebbe danneggiare o interrompere le operazioni oltre che comportare costi inutili, inefficienze e perdita di proprietà intellettuale. È necessario comprendere l’importanza della cybersecurity della filiera, ovvero conoscere cosa deve essere protetto e perché e, di conseguenza, stabilire un controllo significativo sulla propria catena di fornitura dato che tutti i sistemi sono interlacciati tra loro ed un ipotetico attacco in un punto della filiera potrebbe propagarsi ovunque”, conclude Roberto Larghetti.
Contributo editoriale sviluppato in collaborazione con Maticmind
