Nuova puntata dell’esclusiva rubrica #LegallyIT costruita in collaborazione con TD SYNNEX e Colin & Partners. Un appuntamento dedicato all’OT Security per scoprire di cosa stiamo parlando e perché bisogna affrontarla ora, senza rimandare ancora.
La OT security è da sempre un argomento piuttosto complesso da affrontare, in quanto la operation technology si lega tradizionalmente ai sistemi hardware / software in grado di monitorare e controllare le operazioni degli impianti di manifattura, oil & gas, generazione e distribuzione energia elettrica oltre che al settore dei trasporti (aeronautico, marittimo, ferroviario, ecc.) ed alle infrastrutture critiche.
La Operation Technology (OT), nel suo contesto tradizionale, in cui per interi decenni è stata implementata, era riferita al sistema di controllo di uno specifico dispositivo e non era solitamente connessa alla rete. Ciò non era necessario e addirittura molti strumenti di monitoraggio OT erano di natura meccanica, controllati da tecnologie proprietarie chiuse e decisamente poco interoperabili. Tuttavia, oggi lo scenario è profondamente cambiato.
La trasformazione digitale ha introdotto nuovi livelli di comunicazione che hanno dato luogo ad una inedita convergenza tra IT e OT, che ha finito per generare nuove emergenze in fatto di sicurezza informatica. A conferma di ciò si consideri il proliferare dei sistemi IoT e delle architetture edge computing necessarie per garantire il loro funzionamento sul piano di fabbrica, avvalendosi delle più moderne interfacce wireless.
La continua evoluzione della comunicazione machine-to-machine e l’impiego di tecniche di analisi dei dati basati sul machine learning hanno coinvolto i sistemi OT, facendone di fatto delle interfacce privilegiate per la raccolta dei dati in tempo reale alla periferia della rete, avvalendosi di sensori ed altre tecnologie adatte a tale scopo.
I sistemi e le interfacce OT sono dunque sempre più connessi alla rete, contribuendo ad incrementare la superficie di attacco a disposizione dei cybercriminali. Si rende pertanto necessaria una riflessione specifica sul concetto di OT security, sia per quanto concerne il suo effettivo significato, sia per capire le implicazioni con la IT security e sulla convergenza in atto per proteggere l’infrastruttura globale IT / OT da minacce informatiche sempre più abili a sfruttare le connessioni vulnerabili e i proverbiali anelli deboli della catena, a cominciare dall’errore umano.
OT security: cos’è e la differenza con la IT security
Secondo la definizione di Gartner, la sicurezza OT è l’insieme di “Pratiche e tecnologie utilizzate per proteggere persone, risorse e informazioni; monitorare e controllare dispositivi fisici, processi ed eventi; avviare cambiamenti di stato nei sistemi OT aziendali”.
Non potendo utilizzare, come nel caso di molti endpoint IT, i tradizionali software antivirus, la sicurezza OT fa ampio ricorso a tecnologie di monitoraggio, sfruttando soluzioni come i SIEM e i firewall NGFW (Next generation firewall), in grado di scongiurare gli accessi non autorizzati e analizzare i dati comportamentali per rilevare, in tempo reale, la presenza di eventuali anomalie.
Facciamo tuttavia un piccolo passo indietro, per focalizzare cosa siano, nello specifico, i sistemi OT.
I principali sistemi OT: da SCADA all’IIoT
L’immaginario tecnologico della operation technology (OT) appare decisamente ampio e variegato, con la difficoltà di definire degli standard per via del fatto che il tradizionale isolamento a cui erano soggetti ha favorito il proliferare di tecnologie proprietarie.
Se riducessimo la questione sul piano dei componenti dei sistemi OT, l’argomento più popolare sarebbe con ogni probabilità caratterizzato dai sistemi di controllo industriali (ICS), composti a loro volta da uno stack eterogeneo di dispositivi, controller e reti. È il caso dei popolari sistemi SCADA (Supervisory Control and Data Acquisition) e dei sistemi DCS (Distributed Control System). Si tratta di differenti architetture in grado di acquisire dati da una serie di sensori opportunamente predisposti e trasmetterli ad unità in grado di analizzarli. I sistemi SCADA e DCS sono per molti versi i precursori dell’attuale ambito dell’IIoT (Industrial Internet of Things).
Il proliferare dell’OT e la sua integrazione sempre più marcata con i sistemi IT ha di fatto dato luogo ad una nuova definizione tecnologica. L’IIoT è infatti uno dei principali abilitatori dell’Industria 4.0, il nuovo paradigma che caratterizza la digitalizzazione della fabbrica e dei sistemi di produzione, sempre più interconnessi grazie a sensori, attuatori ed una serie di apparati tecnologici in grado di rendere sempre più intelligenti e interattive le operazioni.
Un sistema OT oggi è in grado di interfacciarsi con un’ampia varietà di componenti, che spazia dai controller PLC alle unità di elaborazione in locale e in remoto, ai robot industriali e a tutti gli elementi in grado di garantire il corretto funzionamento di un impianto, come i generatori e i sistemi di controllo delle temperature di esercizio.
Operation technology: la trasformazione digitale e l’emergenza di una nuova minaccia informatica
In sede di premessa abbiamo anticipato come il concetto di OT security sia di derivazione piuttosto recente, per il fatto che un tempo i sistemi di operation technology erano in larga prevalenza disconnessi dalla rete. Oggi, come vedremo, la convergenza tra IT e OT è assolutamente necessaria per poter controllare remotamente le macchine e acquisire i dati a livello produttivo, per renderle disponibili in tempo reale alle applicazioni di business analytics.
In precedenza, le reti IT e OT venivano tendenzialmente mantenute in separata sede, duplicando a tutti gli effetti gli sforzi necessari per garantire la loro sicurezza. Si creavano pertanto dei silos a discapito della visibilità necessaria per garantire un livello di cybersecurity adeguato a fronte della crescente minaccia informatica.
Un evidente limite interviene qualora l’azienda decidesse di affidare a responsabilità differenti la gestione della sicurezza IT e della sicurezza OT. Nel primo caso, la figura designata potrebbe essere identificata nel CIO, mentre per i sistemi OT si fa più spesso riferimento al COO. Il risultato è di avere all’interno della stessa sede due team poco propensi all’interazione, spesso non coordinati nemmeno a livello tecnologico, con il ricorso a vendor e soluzioni differenti.
A peggiorare ulteriormente questo quadro confusionario interviene l’oggettiva difficoltà di rilevare competenze adeguate a fronte della oggettiva complessità di queste infrastrutture, a maggior ragione se a monte vi è un’architettura disegnata in maniera tutt’altro che ottimale dal punto di vista della sicurezza informatica.
Questa mancanza di visibilità sulla sicurezza dell’intera infrastruttura digitale genera ovviamente una serie di vulnerabilità assai difficili da identificare e risolvere, lasciando i dati sensibili presenti sulle reti OT sempre più esposte alle intenzioni malevole dei cybercriminali.
OT security e IT security: due concetti tanto differenti, quanto convergenti
Per comprendere le differenze concettuali e pratiche tra OT security e IT security, è sufficiente concentrarsi su cosa siano, a tutti gli effetti, l’OT e l’IT.
Mentre l’OT, come abbiamo rilevato, si focalizza sostanzialmente sul controllo delle macchine dei sistemi di produzione, l’IT controlla i dati da essi generati. In termini di sicurezza, l’IT comporta pertanto il fatto di dover garantire la protezione dei dati, in termini di riservatezza, integrità e disponibilità.
Il fatto che i sistemi IT dialoghino ormai continuamente con i sistemi IT ha dato luogo ad una convergenza sempre più forte tra queste due infrastrutture, al punto che in molti casi questa pluralità tende a sfumarsi fino quasi a scomparire.
I sistemi SCADA vengono ormai abitualmente connessi ai tradizionali sistemi IT per l’elaborazione, la gestione e l’archiviazione dei dati raccolti sul piano di fabbrica, per dare luogo ad un’ampia varietà di applicazioni, a cominciare dal monitoraggio e dalla manutenzione predittiva. Il lavoro sui dati finisce inevitabilmente per coinvolgere una porzione sempre più ampia dell’infrastruttura IT, arrivando addirittura ad integrarsi con i sistemi ERP e CRM.
Questo dialogo tra le parti tecnologiche risulta infatti preziosissimo per ottenere una maggior visibilità e controllo, ai fini di migliorare progressivamente l’efficienza dei processi legati allo sviluppo del prodotto e alle fasi operative della sua produzione. Oggi ciò può avvenire in maniera coerente con l’engineering, facendo inoltre tesoro dei feedback provenienti dal customer care.
Grazie alla digitalizzazione, non ci sono limiti alla comunicazione delle informazioni attraverso processi che tradizionalmente non avrebbero quasi alcun legame tra loro. L’integrazione tra IT e OT è la chiave per raggiungere questo crescente livello di efficienza.
Come abbiamo precedentemente rilevato, questa connessione introduce un ampliamento della superficie di attacco, che emerge con particolare criticità in corrispondenza dei nodi della rete, ma soprattutto nella possibilità, da parte dei cybercriminali, di sfruttare le vulnerabilità in ambito IT per penetrare all’interno dei sistemi aziendali ed arrivare progressivamente a ridosso dei sistemi di controllo dell’infrastruttura OT.
Anche senza essere dei luminari della threat intelligence, sappiamo come sia relativamente semplice violare la sicurezza di un sistema IT ottenendo le credenziali di accesso di un utente, mediante un attacco phishing a mezzo di una mail ingannevole. Da lì in poi, se non si implementa un’adeguata stategia operativa di detection and response, la strada per i cybercriminali appare tutta in discesa.
Si rende pertanto opportuno investire su sistemi di sicurezza end-to-end in grado di monitorare il comportamento dell’intera infrastruttura OT-IT, oltre a disegnare la rete con una logica architetturale basata sulla segmentazione, ai fini di isolare il più possibile dall’esterno gli apparati che esercitano un ruolo di rilevanza prevalente.
Bisogna infatti tenere presente che i sistemi OT, specie i più datati, non sono particolarmente sicuri, in quanto non erano stati progettati per essere connessi alla rete internet o a reti wi-fi di moderna concezione, con tutto ciò che ne consegue qualora dovessero emergere delle vulnerabilità critiche.
Molti controller OT sono dotati di sistemi operativi obsoleti, da tempo non più aggiornati, in quanto risultano perfettamente funzionali per soddisfare i requisiti di produzione. Sarebbe per molti versi illogico sostituire tali impianti, oltretutto mediamente molto costosi, dal momento che a livello produttivo sono oggi ancora assolutamente all’altezza della situazione.
A rendere ulteriormente più complesso il quadro della sicurezza OT, in piena convergenza con la sicurezza IT, vi è il funzionamento delle supply chain, che prevede ormai regolarmente l’accesso sulla rete aziendale da parte di soggetti terzi, i cui sistemi informatici contribuiscono a loro volta ad aumentare ulteriormente la superficie di attacco da proteggere.
I rischi degli attacchi alle infrastrutture OT
I sistemi OT sono soggetti, almeno quanto i sistemi IT, all’azione di malware ed altre minacce informatiche sempre più diffuse. Tale aspetto risulta particolarmente sensibile nell’ambito delle infrastrutture critiche. Qualora un cybercriminale riuscisse a prendere il controllo di un’interfaccia OT, potrebbe sabotare sistemi di distribuzione dell’energia o causare incidenti su ampia scala, in grado di mettere a repentaglio la sicurezza di migliaia di persone.
Quando si parla di sicurezza OT occorre pertanto essere necessariamente consapevoli del livello di responsabilità che il controllo di tali sistemi comporta. La loro violazione è infatti foriera di situazioni di estremo pericolo, dal momento che l’operation technology rimane l’elemento fondamentale per garantire il corretto funzionamento di infrastrutture critiche e sistemi di gestione ormai fondamentali nella nostra vita quotidiana, come la gestione del traffico semaforico, giusto per citare un esempio tra i più diffusi sul territorio urbano.
