Sempre pi\u00f9 nel mondo dell\u2019automazione, o meglio nell\u2019OT (Operational Technology), si stanno facendo largo i concetti di Industrial Internet e Industria 4.0. La premessa da fare \u00e9 che Industrial Internet e Industria 4.0 non sono sinonimi. Di Industrial Internet ha iniziato a parlare nel 2012 Marco Annunziata, chief economist ed executive director of Global Market Insight di General Electric, indicandola come il luogo in cui avviene la convergenza tra l\u2019industria e le possibilit\u00e0 fornite dai sistemi di gestire Big Data, fare analisi, raccogliere informazioni da tutti gli ulteriori sensori che e possibile connettere e integrare, grazie proprio alla connettivit\u00e0 messa a disposizione da Internet (http:\/\/www.ge.com\/ docs\/chapters\/Industrial_Internet.pdf). Il termine Industria 4.0 (in realt\u00e0 Industrie 4.0, in tedesco) \u00e9 stato usato in Germania dal 2011 come espressione per definire nuovi scenari per le smart factory nei quali modelli organizzativi innovativi e modulari sono coadiuvati da una estesa digitalizzazione a supporto e integrazione delle attivit\u00e0 umane e di quelle automatizzate per aumentare la catena del valore, anche all\u2019esterno del perimetro della fabbrica (https:\/\/en.wikipedia. org\/wiki\/Industry_4.0).<\/p>\n
Quando Internet scende in fabbrica<\/strong><\/p>\n La OT, come detto, \u00e9 la Operational Technology, ovvero l\u2019insieme di tutti i \u2018sistemi intelligenti\u2019 che gestiscono informazioni dell\u2019impianto: \u00e9, in pratica, il versante fabbrica dell\u2019altro dominio dei sistemi in azienda, la IT Information Technology, che da sempre e preposta a definire le strategie e mettere a disposizione sistemi e infrastruttura ove vengono generati e gestiti dati e informazioni. In una prospettiva non troppo distante \u00e9 ipotizzabile che tutti questi sistemi siano destinati a convergere nel segno di Internet: gi\u00e0 oggi infatti \u00e8 proprio tramite Internet che sistemi IT di organizzazioni, aziende, pubbliche amministrazioni che devono scambiare dati tra loro sono connessi in rete. Internet \u00e8 il mezzo con il quale le persone parlano tra loro, sia a mezzo voce, video, messaggistica, social ecc. ma \u00e8 anche il mezzo che collega gli oggetti (IoT, Internet of Things): auto, parchimetri, bus, televisori, antifurti, moto, biciclette elettriche, semafori, contatori, ascensori, telecamere, aerei, navi, treni, sensori del meteo sul territorio, strumenti da laboratorio, braccialetti fitness, celle frigo nei magazzini e nei supermercati, impianti di riscaldamento in scuole, uffici, condomini e centri commerciali e chi piu ne ha piu ne metta. Naturale quindi che anche tutti i sensori e dispositivi distribuiti su impianti nell\u2019industria e nelle Infrastrutture, sia in fabbriche sia distribuiti sul territorio utilizzino Internet per comunicare stati, valori, allarmi, trend, dati e informazioni. E questi sensori e dispositivi dell\u2019Industrial IoT, oltre che a parlarsi tra loro, sono raggiungibili via Internet dall\u2019uomo, che ne pu\u00f2 leggere valori e stati, comandarli, accenderli, spegnerli.<\/p>\n I cyber-rischi<\/strong><\/p>\n Proprio questo fa intravedere quali possano essere i rischi insiti in questo nuovo ordine delle cose: per proteggere un impianto, che probabilmente \u00e8 gi\u00e0 connesso a Internet oggi (anche se, in qualche caso, l\u2019utilizzatore nemmeno lo sa) e se non lo \u00e8 lo sar\u00e0 sicuramente domani, bisogna pensare a proteggersi da cosa o chi potrebbe causare problemi, incidentali o dolosi che siano, alla fabbrica, alle persone, all\u2019ambiente. Ecco perch\u00e9 \u00e8 necessario rivolgere un occhio attento alla sicurezza, e non solo a quella che gli anglosassoni chiamano safety ma anche alla security. E parlando di dispositivi computerizzati, reti e connessioni, \u00e8 necessario quindi valutare i rischi informatici, che non sono solo quelli degli hacker o degli attivisti che vogliono prendere di mira un impianto per ragioni pi\u00f9 o meno chiare.<\/p>\n Come proteggersi?<\/strong><\/p>\n L\u2019incidente o il danno pu\u00f2 essere dietro l\u2019angolo: una recente analisi di Sans (Sans 2016 State of ICS Security Survey) sullo stato della security dei sistemi di controllo industriale (ICS, Industrial Control Systems) indica che il 42% delle minacce ai sistemi arrivano dall\u2019interno delle organizzazioni. In questa cifra rientrano quelle intenzionali, i sabotaggi, che rappresentano oltre il 10% del totale; quelle non volute (errori degli operatori dovuti a scarsa competenza oppure a sistemi di interfacciamento non chiari), che pesano per oltre il 15%; o ancora i problemi derivanti da malfunzionamenti o da non accurata integrazione IT\/OT (circa il 10%). I criteri di protezione del mondo OT possono essere differenti da quelli dell\u2019IT: per fare in modo che Industria 4.0 e Industrial Internet possano dare i benefici auspicati, \u00e8 necessario iniziare a pensare a una \u2018Security by Design\u2019, fin dall\u2019inizio del progetto. Tenendo ben presente che sistemi e applicazioni gi\u00e0 presenti sull\u2019impianto, da quelli destinati ad avere vita propria e da non connettere a quelli che invece si vuol mettere in rete in ottica smart factory, hanno bisogno di una necessaria valutazione anche sul piano security. Abbiamo parlato di sicurezza con Andrea Natale<\/strong>, marketing manager di Tyco Integrated Fire & Security (www.tycofs.it), Francesco Tieghi<\/strong>, responsabile digital marketing di ServiTecno (www. servitecno.it), Cristian Randieri<\/strong>, presidente & CEO di Intellisystem Technologies (www.intellisystem.it), Emanuele Temi<\/strong>, product specialist cyber-security di Phoenix Contact (www.phoenixcontact. it), Giancarlo Carlucci<\/strong>, PlantStruXure offer – product expert & business development di Schneider Electric (www. schneider-electric.com).<\/p>\n Di seguito si riporta l’estratto dell’Intervista riguardante le risposte date da parte del Presidente e CEO Cristian Randieri.<\/em><\/p>\n Automazione Oggi: <\/strong>Come valutate la domanda di sicurezza da parte dei vostri clienti, aziende utilizzatrici di sistemi di automazione, controllo e telecontrollo? Negli ultimi 6-12 mesi avete notato maggiore consapevolezza e maggiore attenzione al tema da parte del mercato al quale vi rivolgete?<\/em><\/strong><\/p>\n Cristian Randieri: <\/strong>Confrontando le nostre esperienze nel campo dell\u2019automazione con i dati generali ottenuti da recenti studi condotti da Inside Agency in termini di sicurezza e del risk management possiamo confermare l\u2019attendibilit\u00e0 di tali studi anche nel campo dell\u2019automazione industriale. Purtroppo il quadro generale evidenzia che ancora oggi circa il 70% delle aziende del nostro settore non godono di un sistema di sicurezza adeguato; circa il 90% delle aziende considerano il tema della sicurezza come strategico per i prossimi anni e pi\u00f9 della met\u00e0 considera debole l\u2019attuale offerta di sicurezza sul mercato italiano. Se da un lato la domanda di sicurezza aziendale risulta essere in fortissima crescita, dall\u2019altro i manager aziendali non si sentono assistiti e ben tutelati nel gestire i rischi economici, finanziari e reputazioni che possono ledere le loro aziende e il loro business. Considerando che gran parte del mondo dipende ormai da infrastrutture elettroniche e supporti informatici detentori di dati e informazioni strategiche \u00e8 evidente che il tema della sicurezza aziendale rientra nella sfera degli asset pi\u00f9 critici di ogni azienda. Le principali ricerche di settore confermano il trend di continua crescita sia a livello nazionale sia estero, evidenziando l\u2019altissima richiesta di fondi e nuove normative per un comparto che secondo le stime pi\u00f9 attendibili potenzialmente potr\u00e0 raggiungere i 170 miliardi di euro gi\u00e0 nel 2020. Per questo oggi \u00e8 importantissimo operare una campagna di sensibilizzazione verso il tema dei sistemi di sicurezza all\u2019interno dei CDA di grandi e medie imprese, affinch\u00e9 un team dedicato, che faccia capo alla figura del risk manager, si occupi di elaborare la migliore strategia al fine di gestire e al tempo stesso prevenire il rischio in relazione ai vari aspetti che vanno dall\u2019assenteismo dei dipendenti, all\u2019infedelt\u00e0 aziendale, alla cyber-security.<\/p>\n A.O.: <\/em><\/strong>Parlate di sicurezza con i vostri clienti? Quali reputate siano gli eventuali rischi ai quali sono maggiormente esposti gli utilizzatori dei sistemi di automazione di fabbrica da voi proposti?<\/em><\/strong><\/p>\n Randieri: <\/strong>Al giorno d\u2019oggi vivendo in un mondo sempre pi\u00f9 interconnesso e alla luce dell\u2019imminente trasformazione delle nostre aziende nel contesto di Industria 4.0 \u00e8 ormai indispensabile disporre di un sistema di risk management che, mettendo al centro la protezione dei dati e delle informazioni, tuteli la reputazione, la competitivit\u00e0 e il benessere finanziario di ogni societ\u00e0. Purtroppo lo stratificarsi di soluzioni proprietarie rende pi\u00f9 difficile mantenere una visione chiara e completa di tutti gli elementi presenti all\u2019interno delle rispettive reti industriali. Questo influisce in particolare sul lavoro degli industrial engineer che lavorando direttamente sui processi devono poter monitorare un impianto per capire se si stanno verificando anomalie che possono nascondere insidie per la sicurezza e la relativa continuit\u00e0 operativa. Alla luce di ci\u00f2 \u00e8 ovvio che non si pu\u00f2 pi\u00f9 fare a meno di un sistema di sicurezza integrato e ben collaudato. Il rischio pi\u00f9 grande che riscontriamo di frequente consiste nell\u2019incapacit\u00e0 di valutare se la propria organizzazione sia sufficientemente consapevole e preparata a rispondere ai rischi in modo rapido, sicuro ed efficace. Gestire l\u2019incertezza non \u00e8 semplice poich\u00e9 significa prevedere gli impatti sulle proprie attivit\u00e0 da eventi inattesi e ci\u00f2 non pu\u00f2 prescindere da un\u2019attenta preparazione nel prevedere, anticipare o definire i pi\u00f9 adeguati sistemi di gestione dei rischi compatibilmente alla propria realt\u00e0 aziendale. Per questo motivo occorre rivolgersi a consulenti o aziende che abbiano maturato un knowhow decennale possibilmente anche a carattere internazionale.<\/p>\n A.O.: <\/em><\/strong>Sono utili gli standard di security, industriali o di mercato che siano? Possono aiutare nella proposta commerciale? Ed eventualmente quali sono gli standard pi\u00f9 richiamati e utilizzati?<\/em><\/strong><\/p>\n Randieri: <\/strong>La continua evoluzione dei rischi in termini di minacce informatiche per i sistemi di automazione suggerisce che un elevato livello di sicurezza pu\u00f2 essere raggiunto con l\u2019approccio di tecniche di security digitali meglio definite con il termine di \u2018sicurezza funzionale\u2019. I sistemi di controllo industriali, proprio per la loro natura, hanno bisogno di implementare alti livelli di security per la sicurezza funzionale. Senza security il raggiungimento delle funzioni di sicurezza non pu\u00f2 essere garantito. Per questo motivo, se ad esempio un sistema di automazione esegue una funzione di sicurezza a seguito di un attacco cyber classificato come potenzialmente pericoloso, il sistema di controllo deve essere progettato e validato in accordo ai migliori standard presenti nel mercato. Tutto ci\u00f2 al fine di garantire un adeguato livello di security contro le minacce esterne aumentando il livello di protezione dei dati e l\u2019affidabilit\u00e0 dei sistemi. L\u2019obiettivo chiaramente \u00e8 quello di diminuire la vulnerabilit\u00e0 e la violazione della sicurezza digitale e quindi ridurre possibili danni pericolosi. A tal proposito la serie degli standard IEC62443, definiscono le linee guida per incrementare la sicurezza digitale degli impianti industriali di automazione e dei sistemi di controllo. Questi standard vantano un\u2019ampia applicazione poich\u00e9 non si limitano ai soli utilizzatori finali (es. proprietari della rete), ma si estendono anche ai system integrator, operatori di security e costruttori di sistemi di controllo. L\u2019applicazione correttamente di tali standard di norma prevede a priori la conduzione di un Security Assessment al fine di determinare il livello di sicurezza pi\u00f9 idoneo per i prodotti o i sistemi d\u2019interesse. I vantaggi ottenuti mediante l\u2019applicazione di questa tipologia di assessment permettono anche di far crescere la propria credibilit\u00e0 aziendale sul mercato proporzionalmente a un conseguente incremento delle vendite. E\u2019 ben noto infatti che la maggior parte dei sistemi di comando e controllo sul mercato richiedono una dimostrazione del proprio livello di security.<\/p>\n A.O.: <\/strong>Secondo voi il tema sicurezza pu\u00f2 avere impatti sul percorso di adozione dei concetti di Industry 4.0 e Industrial Internet? Ed eventualmente come e per quali motivi?<\/em><\/strong><\/p>\n Randieri: <\/strong>Il tema sicurezza purtroppo non pu\u00f2 prescindere dal percorso di adozione dei concetti di Industry 4.0 e Industrial Internet poich\u00e9 \u00e8 fondamentale gestirne i diversi aspetti, tutelando, ad esempio, quelli pi\u00f9 operativi, che si occupano di acquisire i valori generati negli impianti monitorandoli in tempo reale ed entrando nel dettaglio dei protocolli di comunicazione siano essi open che proprietari. Purtroppo la differenza rispetto alla tipica sicurezza dei sistemi informativi aziendali risiede nel fatto che quando ci si riferisce all\u2019automazione industriale nei termini di Industry 4.0 le conseguenze di un cyber attacco possono dimostrarsi molto meno gestibili e possono generare una grande quantit\u00e0 di problemi diffusi, offuscando la visibilit\u00e0 e capacita di controllo fondamentali per il corretto funzionamento delle infrastrutture critiche. E\u2019 ben noto, ad esempio, che in alcuni casi basta un ritardo di pochi millisecondi sull\u2019azionamento di una valvola per avere conseguenze davvero disastrose. Questi ambienti critici sino a qualche anno fa erano completamente isolati, mentre oggi sono interconnessi con le reti aziendali. Tutto ci\u00f2 comporta naturalmente un aumento dei rischi associati all\u2019esposizione verso\u00a0Internet delle relative infrastrutture. Un esempio riguarda il caso della tecnologia smart grid che coinvolge le centrali elettriche dislocate sul territorio per le quali i gestori, attraverso una serie di analisi, possono decidere in tempo reale se, quanto e dove produrre energia. Per fare ci\u00f2 questi ambienti industriali devono essere necessariamente interconnessi con le reti aziendali, utilizzano protocolli di comunicazione che spesso non prevedono meccanismi avanzati di cifratura e di autenticazione. Ne segue che la costruzione di un attacco mirato ai sistemi industriali diventa un rischio concreto quando i malintenzionati riescano a stabilire una connessione. In un contesto dinamico come quello di Industry 4.0 non \u00e8 quindi possibile pensare a una netta divisione di compiti e competenze tra cyber-security e industrial security, in quanto oggi e assolutamente necessario possedere le competenze specifiche di entrambi i campi. La sfida di ogni azienda che intende aderire ai canoni di Industry 4.0 consiste nel mettere assieme informazioni sia IT che industriali rendendole leggibili e fruibili da professionisti con background differenti. Questo consente di individuare, e anche prevenire, anomalie nel funzionamento degli impianti. Ad esempio integrandosi con tecnologie esterne quali i sistemi di log management e i firewall che consentono anche a chi opera all\u2019interno del Security Operation Center di avere a disposizione un panorama completo di quanto accade nella rete industriale. Questo consente anche al dipartimento di IT Security di poter contribuire alla sicurezza di un mondo considerato in precedenza intoccabile per timore di fare danni irreparabilit\u00e0.<\/p>\n A.O.: <\/em><\/strong>Quali sono i prodotti da voi maggiormente proposti o caldeggiati riguardo alla sicurezza?<\/em><\/strong><\/p>\n Randieri: <\/strong>In campo industriale, i protocolli di comunicazione utilizzati sono moltissimi, per cui ogni azienda ha un\u2019infrastruttura di automazione tipicamente diversa dalle altre generalmente caratterizzata da un mix di sistemi proprietari e open. Un mondo sicuramente molto frammentato in cui \u00e8 richiesto uno sviluppo continuo di nuove soluzioni che possano stare al passo con le pi\u00f9 moderne tecnologie. Il tutto si complica se ad esempio prendiamo in considerazione il caso degli aggiornamenti dei sistemi Scada che proprio per la loro natura di norma non possono essere eseguiti in background ma vengono eseguiti solamente durante i fermi programmati nell\u2019anno. In questo contesto l\u2019implementazione di un \u2018layer di sicurezza\u2019 si rivela un\u2019operazione critica in quanto andrebbe a influire sulle prestazioni generali dell\u2019intero sistema. Per questo motivo occorre sviluppare nuovi standard in grado di risolvere alla base questa particolare problematica. In questo contesto le soluzioni che la nostra azienda propone si riferiscono a una tecnologia che mediante dei sensori \u2018appliance\u2019 collegati in modo passivo e non intrusivo alla rete industriale ne permettono un continuo monitoraggio senza richiedere un fermo impianto e soprattutto senza interferire con il sistema industriale da proteggere. Il sistema, utilizzando dei particolari algoritmi di apprendimento, \u2018impara\u2019 in automatico il funzionamento normale del sistema che ha sotto osservazione, ispezionando le comunicazioni pi\u00f9 basilari ed entrando nel merito dei protocolli utilizzati fino al dettaglio dei singoli elementi controllati (pompe, ventole, compressori e le relative impostazioni e stati). In altre parole la soluzione riconosce automaticamente e in tempo reale tutte le componenti infrastrutturali creando una mappa del funzionamento dell\u2019impianto sia dal punto di vista fisico sia di rete. A partire da ci\u00f2 genera un profilo di sicurezza adatto all\u2019ambiente e da proteggere generando allarmi specifici in caso di attivit\u00e0 anomala.<\/p>\n A.O.: <\/em><\/strong>Che impatti potranno avere sulla sicurezza industriale il cloud computing e Internet of Things?<\/em><\/strong><\/p>\n Randieri: <\/strong>Nel mondo industriale proteggere dati, processi, propriet\u00e0 intellettuale, e non di meno la continuit\u00e0 operativa (in termini di Fault-Tolerance e Disaster Recovery), \u00e8 oggi una sfida complicata sia da nuove minacce sempre pi\u00f9 evolute che si diffondono attraverso le reti IP che da comportamenti errati della forza lavoro. Anche i sistemi industriali di recente hanno dimostrato la loro vulnerabilit\u00e0 agli attacchi cyber. Un utilizzo sempre pi\u00f9 diffuso di reti Ethernet per i sistemi d\u2019automazione collegati e integrati a sistemi di nuova concezione per mezzo di reti aperte ha aumentato il rischio di malware e l\u2019esposizione a nuove minacce. Inoltre grazie all\u2019utilizzo di sistemi sempre pi\u00f9 aperti si introduce la necessit\u00e0 di condividere in tempo reale informazioni sullo stato degli impianti con le squadre di pronto intervento, ponendo nuove sfide alla sicurezza, senza mai dimenticare che i sistemi industriali richiedono una continuit\u00e0 funzionale pressoch\u00e9 totale. Se poi aggiungiamo anche l\u2019Internet of Things, il cloud computing, Industry 4.0 e i Big Data \u00e8 d\u2019obbligo porsi dei quesiti in merito a cosa succeder\u00e0 e come si possono mettere in sicurezza tali dati. Queste nuove dirompenti tecnologie non possono essere utilizzate senza aver predisposto un sufficiente livello di cyber-sicurezza che di fatto deve essere considerata una sorta di enabler. In un mondo completamente interconnesso chiunque \u00e8 potenzialmente in grado di danneggiare gli altri. Sfortunatamente esistono nuovi cybercriminali sempre pi\u00f9 evoluti, ma \u00e8 anche vero che esistono delle tecniche atte a identificarli. Considerando il fatto che i Big Data aiutano a identificare anomalie ovunque, \u00e8 possibile pensare di monitorare l\u2019intera rete alla ricerca di comportamenti sospetti al fine di tracciare i criminali. Per poter fare ci\u00f2 e necessario presentare le principali evidenze relative allo stato di sicurezza dell\u2019Industrial Internet of Things e dei servizi cloud, con riferimento ai trend generali e alle problematiche evidenziate da chi e gia attivo in questo settore. Ovvero, occorre valutare gli aspetti relativi a data protection e compliance che l\u2019estesa connettivit\u00e0 IoT da un lato e la remotizzazione delle informazioni dall\u2019altro, potrebbero richiedere, tenendo sempre presenti i principali riferimenti normativi. Secondo il recente rapporto di Kroll \u201cThe Unusual Suspects\u201d sulla cyber-security nelle imprese e emerso che oltre a quanto appena citato ci sono delle altre possibili minacce che provengono direttamente dall\u2019interno dell\u2019azienda stessa. Tale studio ha riscontrato che spesso le violazioni sono causate da utenti privilegiati e dal personale di alto livello in genere che tende a seguire con meno diligenza le linee guida per la sicurezza dei dati. Un altro fattore di cui tener conto \u00e8 la non esatta conoscenza dei dati aziendali e la loro ubicazione. Il rapporto evidenzia come sia necessario identificare i dati essenziali al fine di utilizzare efficacemente le proprie risorse; sebbene l\u201988% del campione dichiari di conoscere il valore dei dati aziendali, soltanto il 17% sa dove tali dati sono memorizzati e il 33% non \u00e8 a conoscenza se questi siano difesi da un adeguato livello di sicurezza. Ancora una volta emerge come fattore determinate per la sicurezza cambiare il modo di pensare di dipendenti e manager, soprattutto quando si inizia a discutere in termini di Industry 4.0 e di smart manufacturing. In pratica anche se le difese verso attacchi esterni sono eccellenti, se l\u2019attacco arriva dall\u2019interno, molte volte anche per scarsa conoscenza o formazione, i danni aziendali potrebbero essere irreparabili. Poich\u00e9 le informazioni aziendali possono essere custodite sia all\u2019interno dell\u2019azienda che in applicazioni remote cloud, in questo contesto potrebbero essere molte persone a potervi accedere e farne uso. Il problema non \u00e8 il dipendente malintenzionato ma quello in buona fede, tipicamente disattento o non adeguatamente formato in merito.<\/p>\n ___________<\/p>\n