Come proteggere l’infrastruttura OT aziendale

In uno scenario in cui l’integrazione tra mondo IT e mondo OT, seppur necessaria e vantaggiosa, può implicare l’aumento di minacce e cyber attacchi all’infrastruttura di rete aziendale, com’è possibile proteggere i propri asset? Nel dibattito aperto su sistemi e soluzioni di prevenzione degli accessi, molte imprese si chiedono infatti: come garantire una sicurezza attiva che protegga componenti di rete, hardware, sistemi operativi, software e storage di dati? Queste domande sorgono perché è evidente quanto sia cruciale per le aziende 4.0 dotarsi di tecnologie innovative e sistemi di protezione adeguati a una interconnessione permanente degli asset aziendali e per lo scambio continuo di dati e informazioni.

Con un approccio olistico alla sicurezza per i sistemi di automazione, Siemens supporta i propri clienti attraverso la strategia di “Defense in Depth” – un concetto multistrato per gli utilizzatori industriali che garantisce una protezione degli impianti, delle reti e dell’integrità del sistema – secondo le norme ISA 99 ed IEC 62443, gli standard più importanti per la sicurezza nel settore dell’automazione industriale. “Defense in Depth” dimostra, inoltre, quanto sia di rilevante importanza attuare una segmentazione delle reti, realizzando delle celle di protezione, con prodotti dedicati alla sicurezza di rete (firewall e router industriali). Altrettanto fondamentali sono la tracciabilità e la possibilità di verificare gli accessi sia in termini di edificio/fabbrica sia in termini di sistema, reti e macchine. In più, è necessario mantenere l’integrità dei sistemi attraverso un costante aggiornamento delle strutture di sicurezza e antivirus all’interno degli impianti di automazione.

In che modo la strategia “Defense in Depth” permette di proteggere l’infrastruttura OT aziendale è il tema di questo articolo.

Per prima cosa, l’approccio “Defense in Depth” combina gli opportuni software, hardware ed esperienza per aiutare le aziende ad implementare un programma di cybersecurity che si declina in quattro aree specifiche: Identify, Protect, Detect, Manage.

Identificare le vulnerabilità della rete

Nell’implementare un robusto regime di cybersecurity all’interno di sistemi di controllo industriale è fondamentale identificarne i punti deboli. Utilizzando un approccio di valutazione basato sul rischio come previsto dal framework NIST e lo standard IEC 62443, Siemens aiuta le aziende ad analizzare la rete, a identificare le vulnerabilità esistenti e propone una soluzione di mitigazione del rischio informatico in linea con gli obiettivi di ogni impresa. Si tratta di una valutazione della vulnerabilità non intrusiva che consiste in 3 fasi:

• Discovery: in questa fase si identificano tutti gli asset dei sistemi utilizzati, le singole configurazioni, i controlli di sicurezza in atto e i flussi di dati della rete.
• Assessment: la fase successiva consiste nell’identificare le vulnerabilità del sistema che possono essere oggetto di un’azione offensiva, valutare la superficie di attacco della rete e quantificare il livello di rischio di queste vulnerabilità.
• Recommendation: analizzando i risultati delle prime due fasi, è possibile individuare e circoscrivere i punti deboli e pianificare azioni per implementare un robusto regime di cybersecurity per i sistemi di controllo industriale.

Gli standard industriali richiedono valutazioni informatiche costanti nel tempo: l’ottimale sarebbe effettuare delle verifiche annuali, in modo da mitigare i rischi associati alle vulnerabilità delle reti di infrastrutture critiche. Siemens possiede una consolidata esperienza nel condurre queste valutazioni, senza rallentare o impedire l’operatività degli impianti.

Proteggere i sistemi di controllo industriale (SCI)

Per proteggere efficacemente i sistemi di controllo industriale e massimizzare l’uptime della rete, è necessario impiegare l’approccio “Defense in Depth” su tutti i livelli della rete. Questo richiede:

• Hardware robusto che può tollerare condizioni ambientali difficili e che permette processi sicuri attraverso la segmentazione della rete, la disabilitazione delle porte, la crittografia dei dati e il routing sicuro.
• Soluzioni di software che Siemens propone per un accesso sicuro ai dispositivi critici in campo.
• Protezione del punto d’ingresso della rete tramite Next Generation Firewall (NGFW) e sistemi di prevenzione delle intrusioni (Intrusion Prevention Systems o IPS) per creare un perimetro di sicurezza per i sistemi industriali e bloccare il traffico dannoso.

Rilevare minacce e anomalie all’interno dei sistemi di controllo industriale

Assicurarsi che le minacce e le anomalie vengano rilevate in anticipo è fondamentale per prevenire danni all’infrastruttura IT e alle operazioni aziendali. Questo richiede un efficace sistema di rilevamento delle intrusioni (Intrusion Detection System o IDS) con capacità di Deep Packet Inspection (DPI). Il Deep Packet Inspection (DPI) è una funzionalità che Siemens può fornire all’interno del sistema di prevenzione delle intrusioni che esamina in modo non intrusivo i pacchetti dati OT alla ricerca di potenziali minacce. Esamina le comunicazioni del protocollo industriale a tutti i livelli dello stack di rete. Il risultato di questa analisi permette di ottenere un meccanismo più robusto per filtrare i pacchetti di rete e può essere utilizzata per identificare con precisione una serie di minacce complesse che si nascondono nei flussi di dati di rete.

Gestire i programmi con la cybersecurity e ripristinare la sicurezza informatica

Rispondere a un attacco informatico e riprendersi da quest’ultimo richiede che persone, processi e tecnologia collaborino secondo un approccio olistico alla cybersecurity; è altrettanto fondamentale avere una visione ampia e in real-time su tutto ciò che sta accadendo nella rete aziendale.

Siemens offre sistemi di gestione della rete per network industriali che garantiscono un monitoraggio in real-time e una visibilità 24/7 dell’intera rete. Offre anche speciali funzioni di sicurezza per la registrazione e la segnalazione di eventi critici a un server centrale o a un sistema SIEM (Security Incident and Event Management) e facilita le configurazioni firewall basate sulle policy dei vari dispositivi di rete. Insieme al sistema di rilevamento delle intrusioni (IDS) e a Next Generation Firewall di Siemens, le aziende godono della completa trasparenza sulle proprie operazioni di rete, al fine di rispondere a qualsiasi attacco informatico. Siemens è al fianco delle imprese digitalizzate in ogni fase del percorso per aiutarle a raggiungere gli obiettivi di cybersecurity prefissati, dal trovare la tecnologia giusta per la propria rete, all’implementazione dei più opportuni processi di sicurezza, passando per la formazione del personale aziendale, che potrà così autogestire il nuovo regime di cybersecurity impostato.

Infine, non meno importante, in qualità di player globale nell’automazione e operatore leader in numerosi siti di produzione di tutto il mondo, Siemens garantisce che i suoi prodotti e soluzioni siano “Secure by Design”, a partire dalla R&D nei propri impianti di produzione. Infatti, prima ancora che le soluzioni e i prodotti Siemens siano introdotti sul mercato mondiale, questi devono dimostrare la loro idoneità in condizioni reali, ovvero direttamente negli impianti di produzione della multinazionale.