Proteggere una fabbrica dagli attacchi informatici è molto diverso dal mettere in sicurezza una normale infrastruttura IT. Il problema principale è che negli stabilimenti industriali convivono macchinari e sistemi di generazioni differenti, spesso progettati quando la connessione a Internet non era prevista e la cybersecurity non rappresentava ancora una priorità.
Si tratta di apparecchiature che devono continuare a lavorare, talvolta per decenni, e che non possono essere aggiornate o sostituite con la stessa facilità di un computer o di un server.
La crescente diffusione delle connessioni remote, delle piattaforme digitali e dell’integrazione IT/OT ha però cambiato radicalmente lo scenario. Macchinari un tempo isolati sono diventati parte di sistemi interconnessi e, di conseguenza, sono esposti a nuove vulnerabilità.
Come proteggere questo patrimonio senza compromettere la continuità produttiva?
Il tema è stato al centro degli interventi di Mario Testino, COO di Novotek Italy (ex ServiTecno), Carlo Mariani, Head of Product Management & Service, Automation & Electrification di Bosch Rexroth, e Matteo Lucchetti, direttore del Competence Center Cyber 4.0 in occasione dell’evento dedicato alla “Fabbrica fragile” organizzato da Nextwork 360.
Indice degli argomenti
Quando le regole dell’IT arrivano in fabbrica
Uno dei problemi principali riguarda l’applicazione al mondo produttivo di modelli di sicurezza nati per i sistemi informatici tradizionali.
Come osserva Testino, l’introduzione della NIS 2 ha contribuito a sensibilizzare le imprese, soprattutto quelle appartenenti ai settori più regolamentati, ma il processo di adeguamento ha seguito prevalentemente un percorso dall’alto verso il basso.
Le aziende hanno iniziato a lavorare su procedure, policy e processi organizzativi, spesso con il supporto di società di consulenza. Soltanto in un secondo momento queste attività hanno raggiunto concretamente i sistemi di fabbrica.
“Molte imprese hanno affrontato la NIS 2 partendo dagli aspetti organizzativi e dalla definizione delle procedure. Adesso stanno arrivando alla parte operativa e devono confrontarsi con un problema che non è affatto superato: quello che funziona nell’IT non sempre funziona nell’OT”, spiega Testino.
La differenza è legata innanzitutto alla natura dei sistemi da proteggere.
Nell’IT gli aggiornamenti, la sostituzione delle apparecchiature e la standardizzazione delle configurazioni sono attività relativamente frequenti. Negli ambienti industriali, invece, una stessa linea produttiva può comprendere dispositivi di numerosi costruttori, software sviluppati in epoche differenti e sistemi di controllo le cui modifiche richiedono verifiche approfondite.
A complicare il quadro c’è il fatto che alcune funzioni dei macchinari vengono gestite direttamente dai costruttori attraverso servizi di assistenza e manutenzione remota.
Questo significa che la cybersecurity non dipende soltanto dall’impresa utilizzatrice, ma anche dalla collaborazione con i fornitori delle tecnologie installate.
Il problema delle patch: aggiornare può significare fermare
Uno degli esempi più significativi della distanza fra IT e OT riguarda la gestione delle vulnerabilità.
In un sistema informatico tradizionale l’installazione di una patch di sicurezza è generalmente considerata una misura necessaria per correggere un problema conosciuto.
In fabbrica, invece, l’applicazione di un aggiornamento può richiedere l’interruzione della produzione, test di compatibilità e nuove verifiche sul funzionamento dell’impianto.
In alcuni casi il sistema operativo non è più supportato dal produttore. In altri l’aggiornamento di un componente potrebbe compromettere la comunicazione con altre apparecchiature o modificare il comportamento di una macchina.
Per questo una vulnerabilità conosciuta può rimanere irrisolta anche quando l’azienda è consapevole del problema.
La complessità si estende alle attività di backup e ripristino.
“Non basta avere una copia dei sistemi. In ambito produttivo bisogna essere certi che il backup corrisponda effettivamente alla configurazione che sta funzionando sull’impianto. Una macchina può essere stata aggiornata dal costruttore, magari da remoto, e la versione salvata potrebbe non essere più quella effettivamente in uso”, ha osservato Testino.
La capacità di ripristinare un impianto dopo un incidente richiede quindi una conoscenza dettagliata delle configurazioni, delle versioni software e delle dipendenze fra i diversi componenti.
Fare backup non equivale automaticamente a garantire un ripristino efficace.
Cyber 4.0: vulnerabilità note e configurazioni errate sono ancora diffuse
Quanto siano concrete queste difficoltà emerge anche dalle attività realizzate dal Competence Center Cyber 4.0.
Matteo Lucchetti ha presentato alcuni risultati delle analisi tecniche condotte nell’ambito delle attività finanziate dal PNRR su centinaia di imprese, molte delle quali manifatturiere.
Nel campione analizzato, il 51% delle imprese presentava configurazioni errate dei sistemi e il 57% vulnerabilità note e non risolte.
Si tratta di risultati riferiti alle aziende sottoposte ad assessment, non di percentuali automaticamente estendibili all’intero sistema industriale italiano. Sono comunque indicativi della natura dei problemi che emergono dalle verifiche sul campo.
Le criticità più frequenti riguardano configurazioni di rete inadeguate, credenziali deboli, accessi non sufficientemente protetti, software obsoleti e assenza di sistemi di monitoraggio efficaci.
Secondo Lucchetti il problema più difficile da affrontare è proprio la presenza di macchinari che non possono essere aggiornati senza conseguenze sul processo produttivo.
“Spesso non possiamo intervenire direttamente sul macchinario installando una patch, perché il fermo necessario o un’eventuale incompatibilità potrebbero provocare un danno maggiore della vulnerabilità stessa. In questi casi dobbiamo proteggere l’ambiente in cui la macchina opera”, spiega il direttore di Cyber 4.0.
È un cambio di prospettiva importante: quando non è possibile eliminare direttamente una vulnerabilità, bisogna ridurre le possibilità che venga sfruttata e limitarne gli effetti attraverso misure di protezione esterne al dispositivo.
Segmentazione, accessi protetti e monitoraggio: le misure per il brownfield
La prima misura consiste nella segmentazione delle reti. L’obiettivo è evitare che i macchinari possano comunicare indiscriminatamente con tutti i sistemi aziendali, limitando le connessioni a quelle strettamente necessarie per il funzionamento dell’impianto.
Questo permette di ridurre la superficie di attacco e di ostacolare la propagazione di un’eventuale compromissione.
Un secondo ambito riguarda il controllo degli accessi. Molte apparecchiature industriali utilizzano sistemi di autenticazione datati e non supportano direttamente meccanismi moderni come l’autenticazione multifattore.
In questi casi, spiega Lucchetti, è possibile intervenire sui sistemi intermedi attraverso i quali tecnici e operatori raggiungono il macchinario, applicando controlli più robusti senza modificarne direttamente il software.
Un’attenzione particolare deve essere riservata agli accessi remoti utilizzati dai fornitori per la manutenzione.
C’è poi il problema dei dispositivi fisici introdotti nello stabilimento: chiavette USB, computer portatili e altre apparecchiature utilizzate durante gli interventi tecnici possono diventare veicoli di compromissione.
Infine serve una maggiore visibilità sull’infrastruttura, attraverso inventari aggiornati degli asset, sistemi di monitoraggio e strumenti che consentano di individuare tempestivamente comportamenti anomali.
Queste misure non eliminano necessariamente le vulnerabilità presenti nei macchinari, ma permettono di costruire una protezione dell’ambiente operativo che riduce la probabilità e l’impatto di un attacco.
Sicurezza e prestazioni non devono essere in contrapposizione
Il problema del brownfield è particolarmente rilevante per i fornitori di tecnologie di automazione, chiamati ad accompagnare i clienti nell’adeguamento di infrastrutture costruite e ampliate nel corso degli anni.
Come osserva Mariani di Bosch Rexroth una delle criticità è che molte imprese continuano ad affrontare la cybersecurity con un approccio emergenziale, intervenendo per correggere le singole vulnerabilità senza sviluppare una strategia di medio periodo.
È un approccio comprensibile quando si avvicinano le scadenze normative, ma difficilmente sostenibile nel tempo.
“Le minacce evolvono rapidamente, spesso più delle contromisure. Per questo dobbiamo ragionare su sistemi capaci di evolvere. Non possiamo mettere un lucchetto a una macchina e aspettarci che quella protezione rimanga efficace per anni”, dice Mariani.
L’alternativa è progettare architetture solide, flessibili e il più possibile aperte, evitando dipendenze tecnologiche che potrebbero impedire futuri aggiornamenti.
Questo principio vale per le nuove installazioni, ma deve orientare anche gli interventi sugli impianti esistenti.
Un tema particolarmente delicato riguarda il possibile conflitto fra sicurezza, apertura dei sistemi e prestazioni produttive.
Le fabbriche hanno bisogno di connettività, interoperabilità e accesso ai dati. Introdurre misure di protezione che rallentano eccessivamente le attività o complicano il lavoro degli operatori rischia però di favorire comportamenti poco sicuri, come l’aggiramento delle procedure.
Per Mariani il problema va affrontato già nella progettazione delle soluzioni. “La sicurezza richiede di trovare un equilibrio tra protezione, connettività e prestazioni. Ma non significa che una macchina sicura debba necessariamente essere più lenta. Bisogna lavorare sulla cultura delle persone e ripensare, quando necessario, i processi e le architetture”, sottolinea.
Per i dispositivi più datati, sui quali non è possibile intervenire direttamente a livello di firmware o software, Bosch Rexroth propone di valutare insieme ai clienti misure di mitigazione a livello di sistema, creando una sorta di perimetro protetto intorno alla macchina.
Anche in questo caso, dunque, l’obiettivo non è necessariamente sostituire l’apparecchiatura, ma proteggerla attraverso l’architettura in cui è inserita.
La sicurezza del brownfield richiede un percorso graduale
Le esperienze illustrate da Novotek Italy, Bosch Rexroth e Cyber 4.0 convergono su un punto: non esiste una soluzione universale per mettere in sicurezza il patrimonio industriale esistente.
Ogni fabbrica presenta caratteristiche proprie, con macchinari di diversa età, livelli differenti di connettività e vincoli operativi che devono essere considerati nella definizione degli interventi.
Il punto di partenza è conoscere ciò che si deve proteggere: censire gli asset, ricostruire le connessioni, identificare i sistemi più critici e valutare le conseguenze di un’eventuale compromissione.
Da qui diventa possibile stabilire le priorità, distinguendo i dispositivi aggiornabili da quelli che richiedono misure compensative e pianificando nel tempo gli interventi di ammodernamento.
La cybersecurity industriale non può quindi essere ridotta all’installazione di nuovi strumenti di protezione. Richiede competenze specifiche, collaborazione tra IT e OT, coinvolgimento dei fornitori e un piano di evoluzione dell’infrastruttura.
