Sorry, this entry is only available in Italian. For the sake of viewer convenience, the content is shown below in the alternative language. You may click the link to switch the active language.

Tavola Rotonda

“La cybersecurity nell’era dell’IoT”

a cura di M. Giussani

Come cambia la gestione della sicurezza informatica nell’era dell’Internet delle Cose? Lo abbiamo chiesto a varie aziende del settore dell’automazione

L’Internet delle Cose porta con sé opportunità di crescita in ambito industriale e commerciale ma apre al contempo scenari inquietanti dal punto di vista della sicurezza. Quali sono le prospettive per il futuro della sicurezza informatica in un mondo in cui virtualmente ogni dispositivo è connesso in rete? Ne abbiamo parlato con Angelo Candian, head of industrial communication and identification di Siemens Italia, Giancarlo Carlucci, PlantStruxure Offer product expert & business development di Schneider Electric, Alberto Griffini, product manager advanced PLC & Scada di Mitsubishi Electric, Lucilla Mancini, chief consulting officer di Business-e (Gruppo Itway), Filippo Monticelli, country manager di Fortinet Italia, Cristian Randieri, presidente e CEO di Intellisystem Technologies, Enzo Maria Tieghi, CEO di ServiTecno, Maurizio Tondi, vp strategy di Axitea e Stefano Volpi, practice leader per l’Italia, Global Security Sales Organization di Cisco.

Automazione Oggi: La sicurezza informatica delle reti aziendali e industriali (di controllo, automazione e supervisione) ‘tradizionali’ è di per sé un compito già arduo. L’ampliamento conseguente all’integrazione dei numerosi dispositivi che rientrano nella definizione di IoT determinerà un considerevole allargamento del fronte informatico che dovrà essere difeso dagli attacchi. Come cambia la gestione della cybersecurity nell’era dell’IoT?

Cristian Randieri: L’era dell’IoT porterà a una gestione più attenta del concetto di sicurezza, a partire dal livello del silicio per arrivare fino all’educazione degli utenti sui potenziali rischi e su come evitarli. Requisiti di sicurezza sempre più stringenti, associati a una domanda di una connettività dati persistente, spingeranno sempre più gli attuali player verso l’attivazione di infrastrutture di automazione connesse coinvolgendo le aziende operanti nel campo dell’automazione, le società di telecomunicazioni e i giganti della mobile-tech ad attivarsi per tentare di definire un disegno e una strategia comune. Il mio consiglio alle aziende è di rendere la sicurezza una priorità di business, assegnandone al management la responsabilità pur estendendone la consapevolezza a tutti i livelli.

Enzo Maria Tieghi: La cybersecurity dell’IoT deve essere intesa in modo diverso da quella dell’IT tradizionale. Già oggi si vede che il perimetro delle applicazioni IoT non è più ‘tracciabile’ su una mappa: è infatti divenuto talmente labile e indefinito che forse è meglio non parlare più di difesa perimetrale e concentrarsi su altre tecniche e metodologia di difesa del dato e dell’informazione contenuta nell’oggetto e che deve essere trasmesso in modo sicuro all’applicazione che la deve utilizzare.

Maurizio Tondi: I benefici della disponibilità di una rete allargata di sensori e nodi intelligenti sono subordinati alla possibilità di mettere in sicurezza tutti i suoi elementi. La tecnologia e un diverso approccio all’ingegneria e alla progettazione di un’architettura sicura ‘full resilient’ sono elementi cruciali di questa transizione che vede anche un’accresciuta consapevolezza su rischi, minacce e vulnerabilità indotti dall’ampliamento della rete di sensori e attuatori. C’è quindi la necessità di un nuovo paradigma di cybersecurity che preveda non solo ingegneria, installazione e manutenzione, ma nuove modalità di gestione integrata dello spazio cyber-fisico, con tanto di automazione e relativi controlli.

Stefano Volpi: Storicamente, il focus della sicurezza è stato quello di proteggere gli endpoint di rete, come le singole macchine o i dispositivi mobile. Tuttavia, data la facilità con cui gli oggetti connessi potrebbero essere compromessi, ciò non è più sufficiente. Al contrario, le aziende devono integrare la sicurezza nella rete stessa. Una volta che gli endpoint vengono identificati come legittimi, i protocolli e le policy possono essere impostati per limitare le tipologie di messaggi e comandi che possono essere scambiati tra di loro. Focalizzandosi in questo modo sulla protezione delle connessioni, le minacce alla sicurezza possono essere identificate e rimosse prima che possano accedere ad altri parti della rete. La ricchezza di informazioni generata dai miliardi di dispositivi dell’IoT può essere sfruttata per incrementare la sicurezza informatica. Ad esempio, la visibilità dei percorsi del traffico e dei comportamenti di rete è una risorsa di inestimabile valore nel favorire il contesto, l’enforcement e l’analisi continua della sicurezza.

Filippo Monticelli: L’IoT cambia in modo sostanziale la gestione della cybersecurity aggiungendo di fatto nuovi fronti: i terminali si moltiplicano e incrementano la loro varietà, con un ulteriore elemento critico rappresentato dal fatto che la gran parte di essi non è intrinsecamente dotato di security. In questi casi, diventa fondamentale portare la sicurezza a livello di infrastruttura o di rete, grazie a un approccio end-to-end in grado di evidenziare in modo tempestivo le possibili anomalie. In campo IoT diventa ancor più importante un concetto sui cui Fortinet batte da sempre, quello della network segmentation, ovvero la possibilità di dividere logicamente un network in modo da limitare i possibili problemi di sicurezza ed evitare ogni forma di contagio, il tutto mantenendo una capacità di visione complessiva della rete.

Lucilla Mancini: I nuovi scenari del tutto inediti e legati all’incredibile proliferare di oggetti connessi richiedono oggi approcci di sicurezza innovativi, che spesso le aziende non hanno ancora metabolizzato. La protezione dell’accresciuta superficie di attacco è essenziale per difendere sia il know-how dell’azienda, sia la continuità dei processi interessati dai dispositivi connessi IoT, sia la reputazione del brand. Un tema chiave della strategia di e-business sono i Cyber Security Services erogati tramite la piattaforma Cerbero, servizi che includono il monitoraggio della funzionalità e della sicurezza delle infrastrutture informatiche dei clienti, i servizi NOC (Networking Operation Center), i servizi SOC (Security Operation Center) e l’assistenza in materia di sicurezza informatica.

Giancarlo Carlucci: L’ampliamento e la maggiore varietà di punti di accesso da proteggere richiedono un attento riesame delle strategie di cybersecurity, il cui ruolo nell’azienda diventa pervasivo, andando a toccarne tutti i reparti e tutti i livelli. Per la maggior parte delle aziende manifatturiere si tratta di uno scenario che deve essere affrontato subito nella sua interezza, intervenendo sia sulle forme di protezione tradizionali (perimetrali, firewall), sia sull’integrazione di nuove policy di sicurezza informatica. La cybersecurity in un mondo di oggetti, persone, device connessi è una ‘catena’ che parte dalla protezione adeguata delle apparecchiature di campo aperte, passa per la difesa dei sistemi di controllo e arriva alla protezione delle piattaforme digitali che consentono di coordinare e gestire una fabbrica connessa. A tutto ciò va aggiunta un’attenzione estrema alla formazione: le persone devono rispondere a politiche di sicurezza chiare e definite da regole, che le rendano consapevoli dell’importanza del corretto approccio ai sistemi che gestiscono.

Angelo Candian: Nell’era IIoT, molteplici sono gli approcci raccomandati dai nuovi standard sulla cybersecurity (ISA99/IEC62443). Per prima cosa è fondamentale attuare una segmentazione delle reti, realizzando delle celle di protezione, con prodotti dedicati alla sicurezza di rete (firewall e router industriali). In secondo luogo diventa fondamentale la tracciabilità e la verifica degli accessi sia in termini di building sia in termini di sistema, reti e macchine. Infine, l’integrità dei sistemi deve essere mantenuta e protetta attraverso un costante aggiornamento di security patch del sistema operativo e del software antivirus. La gestione della sicurezza dev’essere sempre più puntuale, rivolta a un miglioramento continuo, nel rafforzamento di nuove contromisure richieste a fronte di nuove minacce.

Alberto Griffini: L’attenzione alla cybersecurity è indispensabile e assumono sempre maggior rilievo le specifiche di sicurezza e apertura dei nuovi protocolli di comunicazione, come lo standard OPC UA (Unified Architecture) che rende possibile, veloce e sicura la realizzazione di soluzioni IoT per servizi di configurazione, manutenzione e diagnostica in ambito industriale. A questo scopo, Mitsubishi Electric ha scelto di puntare su CC-Link IE come protocollo di rete open: oltre a offrire prestazioni a livello Gigabit, questa tecnologia presenta i rischi di vulnerabilità inferiori rispetto a quelli di protocolli con stack TCP/IP più comuni nelle reti enterprise e di conseguenza maggiormente esposti.

A.O.: L’Industrial Internet of Things amplia la superficie d’attacco di sistemi, quali sono quelli di controllo e automazione industriali, la cui compromissione può determinare danni insostenibili dal punto di vista economico, ambientale e in termini di vite umane. Quali sono i confini del compromesso tra convenienza della connettività IIoT e sicurezza delle aree critiche di un impianto?

Candian: Il compromesso sta nell’investimento in termini di security e il confine sta nella capacità o meno di attuare tutte le contromisure necessarie ad affrontare le criticità. Le linee guida di standard internazionali (ISA99/IEC62443) sono evolute per rendere sempre più convenienti i vantaggi legati all’IIoT mentre le aziende mettono a disposizione nuovi prodotti con sicurezza integrata. Quindi il limite della convenienza della connettività IIoT è intrinseco nella capacità di sviluppare sistemi di automazione industriale, utilizzando prodotti e soluzioni idonei per sfruttare i benefici di queste nuove tecnologie con meccanismi di sicurezza adeguati all’ambito applicativo.

Mancini: L’introduzione della tematica IoT deve creare maggiore sensibilità verso l’analisi dei rischi, perché questo deve essere il driver che guida tutte le scelte organizzative, procedurali, tecnologiche di qualsiasi organizzazione. Il dover affrontare un ampliamento dei fronti di attacco, come si ipotizza sarà nel mondo IoT, di certo potrà aumentare la sensibilità verso il tema rischio e, ironicamente, aumentare il livello di sicurezza globale. Inoltre, ipotizzare di avere anche dei KPI e poterli analizzare in realtime aumenta notevolmente la capacità di rilevamento di eventi magari sconosciuti prima di utilizzare tecnologie IoT.

Volpi: Per affrontare con efficacia il tema della sicurezza dell’IoT il primo passo dovrebbe andare nella direzione di una gestione più aperta delle reti, sia nell’IT sia nell’OT, per poi prevederne la convergenza. Dobbiamo pensare a una rete in grado di consentire una preventiva segmentazione, che è anche il presupposto per la corretta applicazione delle tecnologie di protezione dell’informazione, della cybersecurity. In ambito industriale, la sicurezza può essere implementata impedendo usi non corretti della rete, ad esempio limitando l’accesso a determinate macchine solo a personale autorizzato in orari predefiniti e consentendo solo specifiche operazioni preventivamente pianificate. Inoltre, è molto importante poter determinare il passaggio di protocolli autorizzati o meno.

Randieri: Gli esperti di sicurezza possono avvalersi di diversi approcci per implementare la sicurezza informatica in termini di costo-beneficio-sicurezza: l’Integrated Business Risk-Management Framework secondo il quale i rischi tecnologici vanno gestiti in maniera similare ai rischi finanziari mettendo a punto dei veri e propri piani d’azione a protezione delle informazioni e dei dati; le metodologie Valuation-Driven nelle quali vengono standardizzate le procedure per garantire sia la sicurezza sia la valutazione dei rischi e delle risorse; l’approccio basato sull’analisi degli scenari, nel quale vengono costruiti e interpretarti tutti gli scenari possibili in termini di rischi e azioni al fine di illustrarne le eventuali vulnerabilità nascoste; e infine le best practice, con le quali partendo da un’analisi accurata dei pericoli che si corrono vengono definite delle regole precise da rispettare al fine di evitare rischi specifici.

Monticelli: Connettività e sicurezza sono aspetti non necessariamente collegati tra loro, perché i sistemi critici possono essere a rischio anche se non collegati direttamente a Internet. Il modo probabilmente più efficace per proteggersi è quello di definire e implementare una serie di policy a livello di rete, andando a indicare gli asset più critici e dotandosi di un sistema di monitoraggio in grado di evidenziare tempestivamente le eventuali anomalie così da poter prendere le opportune contromisure. Una sicurezza efficace discende dai concetti di analisi, monitoraggio e gestione, e da come vengono di fatto implementati.

Griffini: La diffusione di Industrial Ethernet ha favorito una sempre più diffusa presa di coscienza non solo dei vantaggi tecnologici ma anche dei possibili rischi in termini di security legati ad accessi indesiderati e potenzialmente pericolosi alle reti aziendali. Benché si sia ancora distanti dal poter ritenere il mercato completamente formato sul tema, sta crescendo l’attenzione dedicata ai rischi provenienti da agenti sia interni (operatori, errori, accessi ‘fisici’), sia esterni (attacchi via Internet, virus). Le aziende approcciano il problema in modo diverso, prevedendo misure di sicurezza più o meno raffinate secondo la reale consapevolezza sul tema e il potenziale di rischio: si va da soluzioni di tipo tradizionale come VPN, firewall o password fino a tecnologie specifiche integrate nel prodotto.

Carlucci: Se guardiamo a quanto è già avvenuto in attacchi che hanno colpito delle infrastrutture, ci rendiamo conto che la gravità del danno è correlata alla persistenza dell’attacco, ovvero al fatto che i malintenzionati, una volta penetrati nel sistema, possano permanervi a lungo perché non tempestivamente rilevati. Un altro elemento da considerare soprattutto in termini di riduzione dell’impatto di un attacco è la tolleranza dei nostri sistemi, l’adozione di soluzioni che ne garantiscano la resilienza. Infine, dobbiamo anche renderci conto che ormai ogni azienda è parte di una filiera interconnessa di fornitori, di altre aziende, di altre reti che non controlliamo direttamente, ma dai quali possiamo pretendere un adeguato livello di servizio e di protezione per lavorare con noi.

Tieghi: Non possiamo basarci su perimetri e confini che non esistono più. Meglio quindi avere una chiara visione di quello che circola in rete, monitorare che non ci siano ‘cose strane’ e, nel caso si individuino anomalie di comportamento o di traffico, prendere subito adeguate contromisure per bloccare sul nascere eventuali minacce. Naturalmente bisogna rigidamente preservare anche la safety con adeguati livelli di protezione: per questo un’attenta analisi dei rischi deve precedere qualunque studio di applicazione IIoT ed eventualmente segmentare adeguatamente la rete per evitare che i problemi possano arrivare a procurare danni a persone, ambiente, impianti.

A.O.: Nick Jones, analista di Gartner, ha usato il termine ‘consumerization’ per denotare la progressiva penetrazione di dispositivi consumer nelle reti aziendali e industriali. Il passaggio dal concetto di Byod (Bring Your Own Device) a quello di Byot (Bring Your Own Thing o Bring Your Own Technology) sembra inevitabile. Dove e come è più opportuno intervenire per evitare che Byot diventi un incubo insostenibile dal punto di vista della cybersecurity?

Tondi: L’approccio Byot rappresenta da sempre un punto di attenzione e anche di forte contrasto tra vantaggi economici, accessibilità e l’indispensabile mantenimento di adeguati livelli di sicurezza e protezione. In realtà, non è nella limitazione o negazione della disponibilità del servizio che ci si protegge da attacchi, minacce o utilizzi impropri, ma attraverso l’adozione di innovative tecnologie di gestione degli accessi, che privilegino mobilità e ubiquità garantendo criteri e profilazioni in base ai ruoli, la rivisitazione delle policy di sicurezza e un’aumentata e imprescindibile leadership della sicurezza aziendale. Chief security officer, chief information officer e, più in generale, gli operatori aziendali della sicurezza devono collaborare in modo proattivo con IT e utenti per la realizzazione e il mantenimento nel tempo di un’architettura evoluta che preveda necessariamente l’utilizzo di device innovativi per coniugare aumento della produttività, velocità nella ricerca e disponibilità dei dati con adeguati livelli di protezione. Nel contesto, la formazione e un’impostazione strategica (ma sostenuta con piani operativi, workshop e servizi specialistici) alla ‘awareness’ trasversale rappresentano certamente un fattore critico di successo.

Randieri: Per far fronte alle nuove problematiche introdotte dal concetto di Byot nel mondo dell’automazione industriale occorre procedere su più fronti in parallelo sviluppando sia i processi, la governance e le certificazioni, nonché gli aspetti tecnologici. Nell’attuale contesto dell’Industrial Iot occorre proteggere anche le tecnologie cloud, nel momento in cui vengono adottate, pretendendo dal fornitore dei servizi una sicurezza interamente customizzata che riguardi non solo l’integrità e disponibilità dei dati, ma anche gli accessi privilegiati con apposita cifratura. Attualmente è possibile implementare opportune piattaforme, ad esempio basate su Apache Hadoop, capaci di rilevare i più piccoli cambiamenti comportamentali di un utente o di un sistema, che sono tradizionalmente gli indicatori di violazione più affidabili. Un altro tipo di soluzione a cui è stato dato il nome di Byoe (Bring Your Own Encryption), si riferisce a un modello di cloud computing security capace di consentire all’utente di un servizio cloud di far uso di un proprio software di crittografia con autonoma gestione delle chiavi di cifratura.

Volpi: Ogni volta che si introduce un sistema connesso e comunicante e non si attuano controlli di autenticazione e di accesso, gli attacchi DOS (denial-of-service) possono impattare sulla business continuity. Esistono policy di sicurezza molto forti per la gestione del Byod e dell’Internet of Things tali da garantire business continuity e proattività di risposta in caso di incidenti. In tutto questo è fondamentale progettare sistemi di gestione che consentano massima integrazione e minima complessità gestionale.

Monticelli: Non si può ancora parlare di sicurezza intrinseca dei singoli dispositivi, perché le tipologie sono potenzialmente infinite e perché nella stragrande maggioranza dei casi non sono costruiti pensando alla sicurezza. Per questo, fatte salve attività di formazione del personale e di sensibilizzazione degli utenti che sono sempre rilevanti, ci sentiamo di consigliare l’adozione di un approccio olistico alla sicurezza, che la consideri nel suo complesso e non come semplice combinazione di tecnologie puntuali. Puntare su soluzioni best-of-breed a nostro avviso non è più sufficiente, perché non è possibile coprire ogni dispositivo e ogni tipologia di uso. Mettere in sicurezza l’intero network, abbinando la visibilità sui singoli eventi e la capacità di correlarli tra loro è l’approccio che riteniamo vincente in questo ambito.

Tieghi: L’aggiunta in rete di dispositivi che non abbiano dei criteri di security minimali comporterebbe un indebolimento della rete nel suo complesso, compromettendone la protezione. Detto questo, iniziano a esserci standard ai quali riferirsi quando si disegna un’applicazione IIoT, come ad esempio quelli definiti da Cloud Security Alliance per IoT; questo comporta la definizione di baseline condivise e l’introduzione del concetto di security-by-design. Tutti gli aspetti devono essere congrui in quest’ottica, dalla progettazione del modello di business alla qualifica dei progettisti, dalla stesura di policy per la progettazione, per sviluppo e implementazione del POC, di testing, di scale-up e deployment, manutenzione fino al momento della dismissione per obsolescenza degli oggetti.

Candian: Non è possibile implementare una rete sicura, ad alta disponibilità e flessibilità, utilizzando una soluzione standard con prodotti a uso domestico. La questione della sicurezza gioca un ruolo sempre più importante quando si tratta di collegare reti industriali alla rete informatica aziendale. In ufficio, la massima priorità è data alla sicurezza dei dati e la protezione verso l’esterno; le reti industriali d’altro canto hanno tradizionalmente collocato il loro punto chiave sull’affidabilità e la continuità funzionale dell’impianto, al fianco della sicurezza del personale. Tuttavia, una maggiore attenzione deve oggi essere rivolta alla questione della sicurezza, in altre parole, le informazioni e la sicurezza dei dati devono essere tenute in conto sin dalla fase di progettazione di reti industriali.

Mancini: Certamente il legislatore dovrà e potrà fare molto sul tema IoT laddove una delle principali criticità sarà legata alla perdita dei dati del consumatore sia in termini di furto sia di interruzione di servizio. A tal proposito anche il nuovo Gdpr (EU 2016/679) introduce il tema del data breach, per cui le aziende che erogano servizi ai cittadini devono impegnarsi affinché non si verifichino sottrazioni di dati dell’utente o che comunque questo ne sia informato; a questo si aggiunge anche il tema che la formazione/sensibilizzazione degli utenti diventa l’aspetto principale per aiutare le aziende stesse a prevenire furti (ad esempio tramite phishing).

A.O.: Domotica faidatè, reti personali, il movimento dei ‘maker’: un vero e proprio Far West dell’Internet delle Cose caratterizzato dalla corsa al ribasso nei prezzi e dalla pressoché totale anarchia progettuale. In un futuro sempre più carico di dispositivi che sacrificano gli aspetti di sicurezza per tenere bassi i costi di sviluppo, quali misure possono essere adottate per garantire il ‘minimo sindacale’ di sicurezza?

Mancini: La garanzia del cosiddetto minimo sindacale nella sicurezza informatica non esiste, questo perché la sicurezza è un processo che vede coinvolte varie componenti. Il punto di partenza primario per una corretta gestione della sicurezza è la gestione del rischio. È quindi importante che chi acquista o usa certi dispositivi per applicarli in contesti rischiosi, si preoccupi di comprendere i rischi connaturati al suo contesto e alle sue scelte. Premesso ciò, la perdita di sicurezza fisica ha forti impatti sulla sicurezza logica e viceversa, ma proteggere i web service non basta ed è per questo che è altresì importante preoccuparsi dell’integrità del messaggio e la comunicazione in sicurezza anche in livelli più vicini a quello fisico.

Monticelli: Tipicamente, i dispositivi IoT privilegiano una trasmissione di dati costante e continua a ogni altro aspetto, compreso quello della sicurezza. E spesso si tratta di oggetti dotati di limitate capacità logiche, quindi poco aggiornabili e non per forza gestibili da remoto. Per questo, la loro sicurezza e quella dei sistemi estesi di cui fanno parte può essere garantita solo innalzando la sicurezza dell’ambiente che li accoglie. Se questi dispositivi si trovano all’interno di una rete, è importante avere il controllo e la visibilità su quello che accade in quella rete, identificando e gestendo in modo efficace e tempestivo eventuali anomalie.

Randieri: La corsa a ribasso dei costi della domotica low cost purtroppo si riflette in una vera e propria anarchia progettuale che si traduce in mancanza di spiccata professionalità e cura nella metodologia applicata nella realizzazione della soluzione offerta. In determinati prodotti consumer è proprio l’hardware a non essere sicuro poiché progettato e realizzato senza il minimo rispetto delle normative fondamentali. Occorrerebbe una sorta di ‘etichetta di sicurezza’ che, sulla falsa riga delle etichette per il consumo energetico degli elettrodomestici, fornisca ai consumatori un’indicazione del grado di protezione offerto dal dispositivo in termini di affidabilità, sicurezza e privacy.

Tieghi: Nelle applicazioni consumer o professionali il driver principale è il costo a discapito di altri parametri, tra i quali la protezione cyber. In ambito industriale si deve innanzitutto provvedere al monitoraggio e alla gestione ordinaria della rete per la prevenzione e il rilevamento delle minacce, utilizzando delle tecnologie specificamente pensate per l’ambiente manifatturiero. In tal modo è possibile creare delle policy e attivare segnalazioni relative al traffico non autorizzato.

Candian: In ambito industriale, le interruzioni spesso richiedono soluzioni rapide e semplici. Per questo motivo i componenti di rete di Siemens sono stati sviluppati da zero per garantire la massima praticità di manutenzione e riparazione. È quindi sempre più fondamentale l’utilizzo nelle aree cruciali di rete di dispositivi come gli switch gestiti che permettono di implementare meccanismi di ridondanza, di separazione della rete di sicurezza e di diagnostica per massimizzare l’efficienza e limitare i fermi produzione.

Griffini: Mitsubishi Electric offre soluzioni mirate a garantire un elevato livello di data security nelle applicazioni IoT, grazie a varie funzioni, a partire dal filtro degli indirizzi IP e dalla gestione di password e crittografia. Dal punto di vista della gestione del flusso dati, il ricorso a moduli hardware di interfaccia MES installabili direttamente a bordo dei PLC consente di realizzare in modo semplice e rapido un collegamento diretto tra la memoria dati del PLC e un database tipo Oracle, SQL, Access o altro ‘big data repository’, evitando quindi possibili guasti, colli di bottiglia, complicazioni software e, soprattutto, problemi di vulnerabilità.

A.O.: È ragionevole ritenere che le risorse da dedicare alla sicurezza aumenteranno in seguito alla diffusione dell’IoT, così come aumenterà la richiesta di figure professionali che si occupano di cybersecurity. Ritenete che l’offerta sarà in grado di soddisfare questa domanda? Che tipo di figura ci si aspetta venga formata dal mondo accademico?

Monticelli: La carenza di talenti è uno degli aspetti più critici del panorama tecnologico attuale. Guardando avanti, questo aspetto sarà ancora più critico perché emergerà sempre più forte la necessità di figure dotate di solidi skill tecnologici ma anche di capacità di gestione e correlazione degli eventi. Saranno rilevanti anche le capacità di sviluppo e integrazione applicativa attraverso le API fornite con i principali framework di security. La sicurezza diventa sempre più un aspetto strategico e organizzativo, più che puramente tecnico. Questa sarà una delle grandi sfide che in generale ci troveremo ad affrontare a livello di Paese, di vendor ma anche di sistema economico nel suo complesso.

Carlucci: Così come in generale per il settore ICT, nell’ambito della cybersecurity di fatto c’è un grave problema di carenza di competenze. Da un lato mancano percorsi di formazione specializzati a elevata diffusione; dall’altro, ci troviamo davanti a una materia che cambia continuamente rendendo implausibile un allineamento con i tempi della formazione tradizionale. Sicuramente, nella formazione accademica, ma anche scolastica, è necessario integrare anche nei percorsi formativi rivolti al mondo industriale, dell’energia e delle infrastrutture, competenze legate al digitale e alla cybersecurity. I nostri studenti degli istituti tecnici devono incontrare già sui banchi il tema dell’integrazione tra tecnologie digitali e operative e imparare che la sicurezza informatica è tanto importante quanto la sicurezza fisica delle macchine, delle persone.

Volpi: La carenza di figure professionali specializzate in particolare nella security è un tema che Cisco ha a cuore da anni e che non ci stanchiamo di portare all’attenzione del settore. Per sua stessa natura la cybersecurity è una materia in continua evoluzione e uno spazio in cui è indispensabile una formazione permanente. Per questo, nell’ambito dei nostri progetti di digitalizzazione stiamo portando avanti attività di formazione che iniziano già sui banchi di scuola, per proseguire all’università e nel perfezionamento successivo. La cybersecurity è uno dei focus più importanti nel piano di investimento Digitaliani, volto ad accelerare la digitalizzazione del Paese; all’interno di tale piano, l’offerta formativa del Programma Cisco Networking Academy si è arricchita quest’anno di corsi specifici sulla cybersecurity in un programma complessivo, che mira a raggiungere centomila studenti nell’arco di tre anni.

Tondi: Nel continuo confronto tra attacco e contromisure emergono nuove figure professionali che possono essere interne all’azienda o patrimonio di operatori fortemente specializzati. Le professionalità in questione si spostano necessariamente verso la figura del ‘Security Engineer’ nella progettazione di sistemi fortemente integrati e nello sviluppo di algoritmi software che sfruttino anche intelligenza artificiale, autoapprendimento e automazione. A completamento del security life cycle stanno emergendo operatori della sicurezza orientati all’uso di metodologie di analisi e di intervento di tipo olistico (in grado di operare su tutto lo spettro della potenziale minaccia, sia fisica che cyber, ma anche IoT) che comprendono anche intelligence e gestione da remoto di parametri e livelli di sicurezza dell’infrastruttura dell’azienda.

Mancini: Secondo la nostra esperienza, riteniamo che entro i prossimi 8-10 anni, le nuove tendenze e soprattutto la continua evoluzione tecnologica porteranno alla riduzione delle attività che richiedono skill meno elevati, ampliando invece la ricerca di figure altamente specializzate e di alto livello. Saranno necessari infatti manager sempre più allineati alle esigenze del business in continuo aggiornamento, e di questo dovranno tener conto anche le nostre università. L’evoluzione tecnologica pertanto avrà bisogno di nuove figure professionali, specializzate in tematiche quali IoT, cloud computing, intelligenza artificiale, solo per fare alcuni esempi.

Randieri: Nel contesto IoT c’è un’esigenza concreta di nuove figure professionali capaci di affrontare tematiche come la sicurezza delle reti, cyberattacchi e crittografia per la cyber security; sicurezza dei dispositivi mobili e dei sistemi di cloud computing; sicurezza dei software; gestione del rischio e della sicurezza dei sistemi; big data e condivisione delle informazioni nel rispetto della privacy; aspetti di informatica forense. Tali figure devono essere coordinate da un manager formato ad hoc, il chief information security officer. Si tratta del manager responsabile della definizione della visione strategica aziendale, dell’implementazione dei programmi a protezione degli asset informativi e dell’identificazione, sviluppo e messa in campo dei processi volti a minimizzare tutti i rischi derivanti dall’adozione pervasiva delle tecnologie digitali.

Tieghi: Le figure professionali richieste dalle nuove tecnologie dipendono dalla velocità di adozione e dai ‘Maturity Model’ ai quali si farà riferimento. Non si può negare infatti che la velocità di adozione dipende spesso proprio dalla scarsità di risorse disponibili per lo sviluppo dei modelli di business e per l’implementazione delle applicazioni. Sicuramente trasferire ai giovani che sono ancora a scuola o all’Università almeno dei concetti basilari di cybersecurity potrebbe aiutare in questa direzione.

Tavola Rotonda pubblicata su Automazione Oggi N. 397 – Aprile 2017 – Anno 33

È il mensile dedicato al mondo dell’automazione industriale e delle relative tecnologie. Oltre a fornire rigorose e dettagliate informazioni su prodotti e software program, componenti, applicazioni, Automazione Oggi segue da vicino il mercato con inchieste, analisi e tavole rotonde. Propone a scadenze regolari l’appuntamento con le “Information”, i supplementi monotematici di approfondimento settoriale dell’offerta disponibile sul mercato industriale italiano. L’inserto “e-@utomation”, dedicato all’integrazione tra impresa e produzione, completa la copertura del goal di riferimento offrendo una panoramica sulle più progressive tecnologie e metodologie di gestione integrata dei processi aziendali. Automazione Oggi si rivolge soprattutto alla direzione tecnica aziendale, ai progettisti, ai system integrator, ai costruttori e agli utilizzatori di macchine e impianti automatici, ai direttori e ai tecnici di produzione, I.T. supervisor e responsabili controllo qualità operanti nei vari settori manifatturieri. Distribuita in abbonamento e mailing listing.