114 AO 392 Settembre 2016 – Tavola rotonda Cyber Security
Sempre più nel mondo dell’automazione, o meglio nell’OT (Operational Technology), si stanno facendo largo i concetti di Industrial Internet e Industria 4.0. La premessa da fare é che Industrial Internet e Industria 4.0 non sono sinonimi. Di Industrial Internet ha iniziato a parlare nel 2012 Marco Annunziata, chief economist ed executive director of Global Market Insight di General Electric, indicandola come il luogo in cui avviene la convergenza tra l’industria e le possibilità fornite dai sistemi di gestire Big Data, fare analisi, raccogliere informazioni da tutti gli ulteriori sensori che e possibile connettere e integrare, grazie proprio alla connettività messa a disposizione da Internet (http://www.ge.com/ docs/chapters/Industrial_Internet.pdf). Il termine Industria 4.0 (in realtà Industrie 4.0, in tedesco) é stato usato in Germania dal 2011 come espressione per definire nuovi scenari per le smart factory nei quali modelli organizzativi innovativi e modulari sono coadiuvati da una estesa digitalizzazione a supporto e integrazione delle attività umane e di quelle automatizzate per aumentare la catena del valore, anche all’esterno del perimetro della fabbrica (https://en.wikipedia. org/wiki/Industry_4.0).
Quando Internet scende in fabbrica
La OT, come detto, é la Operational Technology, ovvero l’insieme di tutti i ‘sistemi intelligenti’ che gestiscono informazioni dell’impianto: é, in pratica, il versante fabbrica dell’altro dominio dei sistemi in azienda, la IT Information Technology, che da sempre e preposta a definire le strategie e mettere a disposizione sistemi e infrastruttura ove vengono generati e gestiti dati e informazioni. In una prospettiva non troppo distante é ipotizzabile che tutti questi sistemi siano destinati a convergere nel segno di Internet: già oggi infatti è proprio tramite Internet che sistemi IT di organizzazioni, aziende, pubbliche amministrazioni che devono scambiare dati tra loro sono connessi in rete. Internet è il mezzo con il quale le persone parlano tra loro, sia a mezzo voce, video, messaggistica, social ecc. ma è anche il mezzo che collega gli oggetti (IoT, Internet of Things): auto, parchimetri, bus, televisori, antifurti, moto, biciclette elettriche, semafori, contatori, ascensori, telecamere, aerei, navi, treni, sensori del meteo sul territorio, strumenti da laboratorio, braccialetti fitness, celle frigo nei magazzini e nei supermercati, impianti di riscaldamento in scuole, uffici, condomini e centri commerciali e chi piu ne ha piu ne metta. Naturale quindi che anche tutti i sensori e dispositivi distribuiti su impianti nell’industria e nelle Infrastrutture, sia in fabbriche sia distribuiti sul territorio utilizzino Internet per comunicare stati, valori, allarmi, trend, dati e informazioni. E questi sensori e dispositivi dell’Industrial IoT, oltre che a parlarsi tra loro, sono raggiungibili via Internet dall’uomo, che ne può leggere valori e stati, comandarli, accenderli, spegnerli.
I cyber-rischi
Proprio questo fa intravedere quali possano essere i rischi insiti in questo nuovo ordine delle cose: per proteggere un impianto, che probabilmente è già connesso a Internet oggi (anche se, in qualche caso, l’utilizzatore nemmeno lo sa) e se non lo è lo sarà sicuramente domani, bisogna pensare a proteggersi da cosa o chi potrebbe causare problemi, incidentali o dolosi che siano, alla fabbrica, alle persone, all’ambiente. Ecco perché è necessario rivolgere un occhio attento alla sicurezza, e non solo a quella che gli anglosassoni chiamano safety ma anche alla security. E parlando di dispositivi computerizzati, reti e connessioni, è necessario quindi valutare i rischi informatici, che non sono solo quelli degli hacker o degli attivisti che vogliono prendere di mira un impianto per ragioni più o meno chiare.
Come proteggersi?
L’incidente o il danno può essere dietro l’angolo: una recente analisi di Sans (Sans 2016 State of ICS Security Survey) sullo stato della security dei sistemi di controllo industriale (ICS, Industrial Control Systems) indica che il 42% delle minacce ai sistemi arrivano dall’interno delle organizzazioni. In questa cifra rientrano quelle intenzionali, i sabotaggi, che rappresentano oltre il 10% del totale; quelle non volute (errori degli operatori dovuti a scarsa competenza oppure a sistemi di interfacciamento non chiari), che pesano per oltre il 15%; o ancora i problemi derivanti da malfunzionamenti o da non accurata integrazione IT/OT (circa il 10%). I criteri di protezione del mondo OT possono essere differenti da quelli dell’IT: per fare in modo che Industria 4.0 e Industrial Internet possano dare i benefici auspicati, è necessario iniziare a pensare a una ‘Security by Design’, fin dall’inizio del progetto. Tenendo ben presente che sistemi e applicazioni già presenti sull’impianto, da quelli destinati ad avere vita propria e da non connettere a quelli che invece si vuol mettere in rete in ottica smart factory, hanno bisogno di una necessaria valutazione anche sul piano security. Abbiamo parlato di sicurezza con Andrea Natale, marketing manager di Tyco Integrated Fire & Security (www.tycofs.it), Francesco Tieghi, responsabile digital marketing di ServiTecno (www. servitecno.it), Cristian Randieri, presidente & CEO di Intellisystem Technologies (www.intellisystem.it), Emanuele Temi, product specialist cyber-security di Phoenix Contact (www.phoenixcontact. it), Giancarlo Carlucci, PlantStruXure offer – product expert & business development di Schneider Electric (www. schneider-electric.com).
Di seguito si riporta l’estratto dell’Intervista riguardante le risposte date da parte del Presidente e CEO Cristian Randieri.
Automazione Oggi: Come valutate la domanda di sicurezza da parte dei vostri clienti, aziende utilizzatrici di sistemi di automazione, controllo e telecontrollo? Negli ultimi 6-12 mesi avete notato maggiore consapevolezza e maggiore attenzione al tema da parte del mercato al quale vi rivolgete?
Cristian Randieri: Confrontando le nostre esperienze nel campo dell’automazione con i dati generali ottenuti da recenti studi condotti da Inside Agency in termini di sicurezza e del risk management possiamo confermare l’attendibilità di tali studi anche nel campo dell’automazione industriale. Purtroppo il quadro generale evidenzia che ancora oggi circa il 70% delle aziende del nostro settore non godono di un sistema di sicurezza adeguato; circa il 90% delle aziende considerano il tema della sicurezza come strategico per i prossimi anni e più della metà considera debole l’attuale offerta di sicurezza sul mercato italiano. Se da un lato la domanda di sicurezza aziendale risulta essere in fortissima crescita, dall’altro i manager aziendali non si sentono assistiti e ben tutelati nel gestire i rischi economici, finanziari e reputazioni che possono ledere le loro aziende e il loro business. Considerando che gran parte del mondo dipende ormai da infrastrutture elettroniche e supporti informatici detentori di dati e informazioni strategiche è evidente che il tema della sicurezza aziendale rientra nella sfera degli asset più critici di ogni azienda. Le principali ricerche di settore confermano il trend di continua crescita sia a livello nazionale sia estero, evidenziando l’altissima richiesta di fondi e nuove normative per un comparto che secondo le stime più attendibili potenzialmente potrà raggiungere i 170 miliardi di euro già nel 2020. Per questo oggi è importantissimo operare una campagna di sensibilizzazione verso il tema dei sistemi di sicurezza all’interno dei CDA di grandi e medie imprese, affinché un team dedicato, che faccia capo alla figura del risk manager, si occupi di elaborare la migliore strategia al fine di gestire e al tempo stesso prevenire il rischio in relazione ai vari aspetti che vanno dall’assenteismo dei dipendenti, all’infedeltà aziendale, alla cyber-security.
A.O.: Parlate di sicurezza con i vostri clienti? Quali reputate siano gli eventuali rischi ai quali sono maggiormente esposti gli utilizzatori dei sistemi di automazione di fabbrica da voi proposti?
Randieri: Al giorno d’oggi vivendo in un mondo sempre più interconnesso e alla luce dell’imminente trasformazione delle nostre aziende nel contesto di Industria 4.0 è ormai indispensabile disporre di un sistema di risk management che, mettendo al centro la protezione dei dati e delle informazioni, tuteli la reputazione, la competitività e il benessere finanziario di ogni società. Purtroppo lo stratificarsi di soluzioni proprietarie rende più difficile mantenere una visione chiara e completa di tutti gli elementi presenti all’interno delle rispettive reti industriali. Questo influisce in particolare sul lavoro degli industrial engineer che lavorando direttamente sui processi devono poter monitorare un impianto per capire se si stanno verificando anomalie che possono nascondere insidie per la sicurezza e la relativa continuità operativa. Alla luce di ciò è ovvio che non si può più fare a meno di un sistema di sicurezza integrato e ben collaudato. Il rischio più grande che riscontriamo di frequente consiste nell’incapacità di valutare se la propria organizzazione sia sufficientemente consapevole e preparata a rispondere ai rischi in modo rapido, sicuro ed efficace. Gestire l’incertezza non è semplice poiché significa prevedere gli impatti sulle proprie attività da eventi inattesi e ciò non può prescindere da un’attenta preparazione nel prevedere, anticipare o definire i più adeguati sistemi di gestione dei rischi compatibilmente alla propria realtà aziendale. Per questo motivo occorre rivolgersi a consulenti o aziende che abbiano maturato un knowhow decennale possibilmente anche a carattere internazionale.
A.O.: Sono utili gli standard di security, industriali o di mercato che siano? Possono aiutare nella proposta commerciale? Ed eventualmente quali sono gli standard più richiamati e utilizzati?
Randieri: La continua evoluzione dei rischi in termini di minacce informatiche per i sistemi di automazione suggerisce che un elevato livello di sicurezza può essere raggiunto con l’approccio di tecniche di security digitali meglio definite con il termine di ‘sicurezza funzionale’. I sistemi di controllo industriali, proprio per la loro natura, hanno bisogno di implementare alti livelli di security per la sicurezza funzionale. Senza security il raggiungimento delle funzioni di sicurezza non può essere garantito. Per questo motivo, se ad esempio un sistema di automazione esegue una funzione di sicurezza a seguito di un attacco cyber classificato come potenzialmente pericoloso, il sistema di controllo deve essere progettato e validato in accordo ai migliori standard presenti nel mercato. Tutto ciò al fine di garantire un adeguato livello di security contro le minacce esterne aumentando il livello di protezione dei dati e l’affidabilità dei sistemi. L’obiettivo chiaramente è quello di diminuire la vulnerabilità e la violazione della sicurezza digitale e quindi ridurre possibili danni pericolosi. A tal proposito la serie degli standard IEC62443, definiscono le linee guida per incrementare la sicurezza digitale degli impianti industriali di automazione e dei sistemi di controllo. Questi standard vantano un’ampia applicazione poiché non si limitano ai soli utilizzatori finali (es. proprietari della rete), ma si estendono anche ai system integrator, operatori di security e costruttori di sistemi di controllo. L’applicazione correttamente di tali standard di norma prevede a priori la conduzione di un Security Assessment al fine di determinare il livello di sicurezza più idoneo per i prodotti o i sistemi d’interesse. I vantaggi ottenuti mediante l’applicazione di questa tipologia di assessment permettono anche di far crescere la propria credibilità aziendale sul mercato proporzionalmente a un conseguente incremento delle vendite. E’ ben noto infatti che la maggior parte dei sistemi di comando e controllo sul mercato richiedono una dimostrazione del proprio livello di security.
A.O.: Secondo voi il tema sicurezza può avere impatti sul percorso di adozione dei concetti di Industry 4.0 e Industrial Internet? Ed eventualmente come e per quali motivi?
Randieri: Il tema sicurezza purtroppo non può prescindere dal percorso di adozione dei concetti di Industry 4.0 e Industrial Internet poiché è fondamentale gestirne i diversi aspetti, tutelando, ad esempio, quelli più operativi, che si occupano di acquisire i valori generati negli impianti monitorandoli in tempo reale ed entrando nel dettaglio dei protocolli di comunicazione siano essi open che proprietari. Purtroppo la differenza rispetto alla tipica sicurezza dei sistemi informativi aziendali risiede nel fatto che quando ci si riferisce all’automazione industriale nei termini di Industry 4.0 le conseguenze di un cyber attacco possono dimostrarsi molto meno gestibili e possono generare una grande quantità di problemi diffusi, offuscando la visibilità e capacita di controllo fondamentali per il corretto funzionamento delle infrastrutture critiche. E’ ben noto, ad esempio, che in alcuni casi basta un ritardo di pochi millisecondi sull’azionamento di una valvola per avere conseguenze davvero disastrose. Questi ambienti critici sino a qualche anno fa erano completamente isolati, mentre oggi sono interconnessi con le reti aziendali. Tutto ciò comporta naturalmente un aumento dei rischi associati all’esposizione verso Internet delle relative infrastrutture. Un esempio riguarda il caso della tecnologia smart grid che coinvolge le centrali elettriche dislocate sul territorio per le quali i gestori, attraverso una serie di analisi, possono decidere in tempo reale se, quanto e dove produrre energia. Per fare ciò questi ambienti industriali devono essere necessariamente interconnessi con le reti aziendali, utilizzano protocolli di comunicazione che spesso non prevedono meccanismi avanzati di cifratura e di autenticazione. Ne segue che la costruzione di un attacco mirato ai sistemi industriali diventa un rischio concreto quando i malintenzionati riescano a stabilire una connessione. In un contesto dinamico come quello di Industry 4.0 non è quindi possibile pensare a una netta divisione di compiti e competenze tra cyber-security e industrial security, in quanto oggi e assolutamente necessario possedere le competenze specifiche di entrambi i campi. La sfida di ogni azienda che intende aderire ai canoni di Industry 4.0 consiste nel mettere assieme informazioni sia IT che industriali rendendole leggibili e fruibili da professionisti con background differenti. Questo consente di individuare, e anche prevenire, anomalie nel funzionamento degli impianti. Ad esempio integrandosi con tecnologie esterne quali i sistemi di log management e i firewall che consentono anche a chi opera all’interno del Security Operation Center di avere a disposizione un panorama completo di quanto accade nella rete industriale. Questo consente anche al dipartimento di IT Security di poter contribuire alla sicurezza di un mondo considerato in precedenza intoccabile per timore di fare danni irreparabilità.
A.O.: Quali sono i prodotti da voi maggiormente proposti o caldeggiati riguardo alla sicurezza?
Randieri: In campo industriale, i protocolli di comunicazione utilizzati sono moltissimi, per cui ogni azienda ha un’infrastruttura di automazione tipicamente diversa dalle altre generalmente caratterizzata da un mix di sistemi proprietari e open. Un mondo sicuramente molto frammentato in cui è richiesto uno sviluppo continuo di nuove soluzioni che possano stare al passo con le più moderne tecnologie. Il tutto si complica se ad esempio prendiamo in considerazione il caso degli aggiornamenti dei sistemi Scada che proprio per la loro natura di norma non possono essere eseguiti in background ma vengono eseguiti solamente durante i fermi programmati nell’anno. In questo contesto l’implementazione di un ‘layer di sicurezza’ si rivela un’operazione critica in quanto andrebbe a influire sulle prestazioni generali dell’intero sistema. Per questo motivo occorre sviluppare nuovi standard in grado di risolvere alla base questa particolare problematica. In questo contesto le soluzioni che la nostra azienda propone si riferiscono a una tecnologia che mediante dei sensori ‘appliance’ collegati in modo passivo e non intrusivo alla rete industriale ne permettono un continuo monitoraggio senza richiedere un fermo impianto e soprattutto senza interferire con il sistema industriale da proteggere. Il sistema, utilizzando dei particolari algoritmi di apprendimento, ‘impara’ in automatico il funzionamento normale del sistema che ha sotto osservazione, ispezionando le comunicazioni più basilari ed entrando nel merito dei protocolli utilizzati fino al dettaglio dei singoli elementi controllati (pompe, ventole, compressori e le relative impostazioni e stati). In altre parole la soluzione riconosce automaticamente e in tempo reale tutte le componenti infrastrutturali creando una mappa del funzionamento dell’impianto sia dal punto di vista fisico sia di rete. A partire da ciò genera un profilo di sicurezza adatto all’ambiente e da proteggere generando allarmi specifici in caso di attività anomala.
A.O.: Che impatti potranno avere sulla sicurezza industriale il cloud computing e Internet of Things?
Randieri: Nel mondo industriale proteggere dati, processi, proprietà intellettuale, e non di meno la continuità operativa (in termini di Fault-Tolerance e Disaster Recovery), è oggi una sfida complicata sia da nuove minacce sempre più evolute che si diffondono attraverso le reti IP che da comportamenti errati della forza lavoro. Anche i sistemi industriali di recente hanno dimostrato la loro vulnerabilità agli attacchi cyber. Un utilizzo sempre più diffuso di reti Ethernet per i sistemi d’automazione collegati e integrati a sistemi di nuova concezione per mezzo di reti aperte ha aumentato il rischio di malware e l’esposizione a nuove minacce. Inoltre grazie all’utilizzo di sistemi sempre più aperti si introduce la necessità di condividere in tempo reale informazioni sullo stato degli impianti con le squadre di pronto intervento, ponendo nuove sfide alla sicurezza, senza mai dimenticare che i sistemi industriali richiedono una continuità funzionale pressoché totale. Se poi aggiungiamo anche l’Internet of Things, il cloud computing, Industry 4.0 e i Big Data è d’obbligo porsi dei quesiti in merito a cosa succederà e come si possono mettere in sicurezza tali dati. Queste nuove dirompenti tecnologie non possono essere utilizzate senza aver predisposto un sufficiente livello di cyber-sicurezza che di fatto deve essere considerata una sorta di enabler. In un mondo completamente interconnesso chiunque è potenzialmente in grado di danneggiare gli altri. Sfortunatamente esistono nuovi cybercriminali sempre più evoluti, ma è anche vero che esistono delle tecniche atte a identificarli. Considerando il fatto che i Big Data aiutano a identificare anomalie ovunque, è possibile pensare di monitorare l’intera rete alla ricerca di comportamenti sospetti al fine di tracciare i criminali. Per poter fare ciò e necessario presentare le principali evidenze relative allo stato di sicurezza dell’Industrial Internet of Things e dei servizi cloud, con riferimento ai trend generali e alle problematiche evidenziate da chi e gia attivo in questo settore. Ovvero, occorre valutare gli aspetti relativi a data protection e compliance che l’estesa connettività IoT da un lato e la remotizzazione delle informazioni dall’altro, potrebbero richiedere, tenendo sempre presenti i principali riferimenti normativi. Secondo il recente rapporto di Kroll “The Unusual Suspects” sulla cyber-security nelle imprese e emerso che oltre a quanto appena citato ci sono delle altre possibili minacce che provengono direttamente dall’interno dell’azienda stessa. Tale studio ha riscontrato che spesso le violazioni sono causate da utenti privilegiati e dal personale di alto livello in genere che tende a seguire con meno diligenza le linee guida per la sicurezza dei dati. Un altro fattore di cui tener conto è la non esatta conoscenza dei dati aziendali e la loro ubicazione. Il rapporto evidenzia come sia necessario identificare i dati essenziali al fine di utilizzare efficacemente le proprie risorse; sebbene l’88% del campione dichiari di conoscere il valore dei dati aziendali, soltanto il 17% sa dove tali dati sono memorizzati e il 33% non è a conoscenza se questi siano difesi da un adeguato livello di sicurezza. Ancora una volta emerge come fattore determinate per la sicurezza cambiare il modo di pensare di dipendenti e manager, soprattutto quando si inizia a discutere in termini di Industry 4.0 e di smart manufacturing. In pratica anche se le difese verso attacchi esterni sono eccellenti, se l’attacco arriva dall’interno, molte volte anche per scarsa conoscenza o formazione, i danni aziendali potrebbero essere irreparabili. Poiché le informazioni aziendali possono essere custodite sia all’interno dell’azienda che in applicazioni remote cloud, in questo contesto potrebbero essere molte persone a potervi accedere e farne uso. Il problema non è il dipendente malintenzionato ma quello in buona fede, tipicamente disattento o non adeguatamente formato in merito.
___________
Tavola Rotonda – Automazione Oggi N. 392 (Settembre 2016), pubblicata da E. M. Tieghi.
Per scaricare l’Intervista completa pubblicata sulla rivista, seguire il link riportato di seguito http://www.intellisystem.it/it/portfolio/ao-settembre-2016.

English







Intellisystem Technologies (www.intellisystem.it) ha introdotto di recente sul mercato la linea di termocamere industriali denominata ThermalTronix, di cui la famiglia TT1000LN è tra le prime al mondo appositamente realizzata per il monitoraggio termico a distanza e senza contatto di impianti industriali. Grazie alla tecnologia termica a infrarosso è possibile scorgere il più piccolo dettaglio anche in condizioni metereologiche avverse, quali presenza di nebbia, pioggia o vapore. La telecamera TT1000LN, nata per il monitoraggio video professionale di ambienti industriali critici, grazie alla sua solida struttura vanta una robustezza ‘industrial-grade’ non indifferente. Il suo utilizzo è destinato a industrie del comparto oil&gas e ad altri ambienti caratterizzati da alte temperature e atmosfere particolarmente corrosive, in cui è importante una costante verifica e analisi dello stato di corrosione, per esempio in serbatoi per lo stoccaggio di idrocarburi. Il sistema di ripresa può essere comandato anche a distanza grazie al sistema di comunicazione Ethernet integrato, che rende fruibili le immagini riprese in modalità realtime attraverso Internet. Permettendo la sorveglianza di aree di grande estensione per la rilevazione incendi e di materiali potenzialmente pericolosi e infiammabili, il sistema assicura il costante monitoraggio delle condizioni problematiche e pericolose in genere, al fine di prevenire possibili incidenti e interruzione della produzione. Infine, TT1000LN è in grado di fornire le massime prestazioni in termini di qualità delle immagini termiche acquisite e relative funzioni di analisi integrate, con gestione di allarmi.
