Cyber security per IoT e GDPR: come garantire la sicurezza informatica in azienda

Una cosa è certa: non c’è progetto IoT che possa andare disgiunto dal tema della sicurezza.
Nel mondo dell’Internet of Things i sensori raccolgono, comunicano, analizzano dati e sulla base di quei dati, o per meglio dire sulla base del valore che quei dati, trasformati in informazioni, assumono, si innescano azioni conseguenti.
E se i dati sono così centrali nella catena del valore di un progetto IoT, è logico pensare che proprio i dati diventino bersaglio diretto di azioni malevole, studiate con l’obiettivo di compromettere le informazioni o di entrarne in possesso, a maggior ragione se considerate sensibili di natura.
Detto in termini più semplici, tanti più dati si condividono e tanto più sensibili sono, tanto maggiore è il rischio di attacchi o compromissioni.

Indice degli argomenti

GDPR e cyber security: Sicurezza da tutelare sia nel mondo delle imprese sia nel mondo consumer

Un assioma, va detto, che si applica tanto al mondo industriale, tanto alle sempre più comuni applicazioni dell’Internet delle Cose nella vita privata.
In una recente analisi dedicata proprio a questo tema, Deloitte prende ad esempio un telecomando per l’apertura della serranda del garage che integra anche una funzionalità per disattivare l’allarme domestico: una compromissione del telecomando potrebbe garantire accesso alla proprietà a “ospiti indesiderati”. E se non fosse il telecomando, potrebbe analogamente trattarsi di termostati, serrature, televisori e qualunque altro dispositivo connesso ormai comunemente disponibile nelle nostre case.

In ambito industriale, la compromissione delle macchine o delle reti porta con sé rischi sia correlati all’operatività stessa dei macchinari, sia correlati al possibile accesso non autorizzato alle informazioni aziendali o ai sistemi di back-end.

Per avere un’idea di come tutto questo possa tradursi nella realtà, basta fare un piccolo passo indietro nel tempo e tornare alla fine del 2016 con l’attacco di tipo DDoS (Distributed Denial of Service) di cui fu vittima il fornitore di servizi DNS Dyn. Un attacco che sfruttò le vulnerabilità dei dispositivi connessi, dalle telecamere di sorveglianza ai router, e che si tradusse nell’impossibilità di raggiungere siti popolarissimi, da Twitter a Spotify, da parte degli utenti di tutto il mondo.

Focus sulla security nell’Industria 4.0

Torniamo dunque al punto di partenza: qualunque progetto IoT deve prevedere anche una strategia di sicurezza. E il corollario a questo paradigma è che è arrivato il momento di abbandonare le logiche dei silos o gli approcci di tipo dipartimentale. L’Internet of Things connette il mondo IT a quello delle operation e coinvolge l’intera infrastruttura aziendale: l’approccio alla sicurezza deve essere di tipo integrato.

Il problema è che di fronte a queste tematiche le aziende sembrano ancora impreparate. Così, se da un lato la loro propensione a muoversi verso i paradigmi dell’Industria 4.0 cresce progressivamente, dall’altro sembra non potersi dire sulla loro capacità di rispondere all’innalzamento del livello di rischio.

Sempre Deloitte, lo scorso anno, nel suo studio “Industry 4.0 and cybersecurity. Managing risk in an age of connected production” definiva il mondo del manufacturing “drammaticamente impreparato” a fronteggiare le minacce informatiche.
Qualcosa, però, sta cambiando.

INFOGRAFICA – Finance. Security e web experience

ISCRIVITI

È interessante, a questo proposito, una riflessione su questo tema pubblicata proprio all’inizio di quest’anno da Maciej Kranz, vice president Innovation Group di Cisco sul blog ufficiale della società.

Secondo Kranz, infatti, non è sufficiente fare riferimento al numero di dispositivi IoT in circolazione per pensare a un corrispondente aumento dei livelli di rischio.
In realtà, la vera preoccupazione nasce dal fatto che i progetti IoT finalmente si stanno spostando dalle fasi di mera automazione di processi esistenti a quelle di reale trasformazione di modelli business, grazie alla sempre più stretta integrazione e sinergia dell’IoT con tecnologie come l’intelligenza artificiale o il fog computing e ad una accresciuta attenzione ai temi dell’interoperabilità, della collaborazione e della standardizzazione.

È una convergenza in fondo attesa, l’unica in grado di realizzare le promesse dell’IoT. Ma è una convergenza che porta con sé dei rischi.
“Non solo l’IoT connette molte cose prima non connesse all’interno delle imprese, ma porta con sé l’integrazione tra IT e OT – scrive Kranz -. Questo significa che i cybercriminali iniziano a indirizzare i propri sforzi verso il sabotaggio o la presa di controllo dei singoli dispositivi o dei sistemi OT che controllano gli apparati e le infrastrutture critiche”.
A supporto di questa tesi, Kranz evidenzia come già nel 2016 si fosse registrato un incremento del 110 per cento proprio su questa tipologia di attacco.

La cybersecurity è una priorità ma mancano le competenze

È chiaro che la cybersecurity deve diventare una priorità per le imprese, così come è chiaro che è necessario rispondere alla crescita delle minacce anche con una maggiore formazione indirizzata ai propri dipendenti e collaboratori.
Del resto, proprio lo studio Security Capabilities benchmark study pubblicato dalla stessa Cisco poche settimane fa e condotto su 3.600 professionisti della sicurezza (chief information security officer e i manager delle operazioni di sicurezza) in 26 paesi, tra i quali anche l’Italia, emerge proprio la preoccupazione non solo rispetto alla pervasività delle offensive degli hacker, ma soprattutto rispetto alla carenza di talenti specializzati in cybersecurity.
E sono proprio i CSO che identificano nell’automazione, nel machine learning e nell’intelligenza artificiale le possibili soluzioni ai loro “mal di testa” di oggi.

La security e gli ecosistemi

C’è poi un ulteriore aspetto sul quale Kranz solleva l’attenzione.
Come anche su questo sito abbiamo avuto più volte modo di scrivere, fare industria 4.0 è sempre più frequentemente una questione di ecosistema, così come quando si parla di open innovation è facile trovarvi associata un’idea di co-innovation. Tutto questo, tradotto in altri termini, significa avere a che fare con partner, specialisti e un insieme di soggetti che combinano le loro esperienze e le loro risorse mettendole al servizio di un unico progetto, secondo logiche di replicabilità, espandibilità, “cost-effectiveness”.
La diretta conseguenza di questa nuova forma mentis è che anche il tema della sicurezza verrà affrontato con lo stesso spirito, con maggiore propensione agli aspetti di interoperabilità, agli open standard, alle architetture aperte.

GDPR, sicurezza informatica, privacy e cyber risk gdpr

Non solo.
Tutto questo finisce inevitabilmente per incrociarsi con la nuova attenzione che da parte governativa si sta ponendo sulle stesse istanze di interoperabilità, privacy e sicurezza legate non solo all’IoT in sé e per sé, ma, ad esempio, alle auto a guida autonoma, ai droni, ai sistemi di intelligenza artificiale.

Per non parlare del GDPR: se è vero che l’IoT e i dati sono un binomio imprescindibile, è evidente che le responsabilità sui dati imposte dal nuovo Regolamento si estendano anche all’Internet delle Cose. E se è chiaro che non è possibile chiedere il consenso a un sensore, è altrettanto evidente che bisogna capire, sapere e informare quali dati vengono raccolti e a quale scopo (pensiamo ad esempio alle soluzioni di videosorveglianza), dove vengono conservati i dati stessi, chi vi può accedere e perché. Così come è evidente che anche le violazioni debbano essere segnalate sulla base di quanto previsto per legge.
C’è dunque un volano virtuoso che si è messo in moto, ma che ha ancora bisogno di trovare una propria metodicità.

Software AG, il ruolo della real-time predictive analytics

ISCRIVITI