Gestione della Cybersecurity in ambito OT videointervista ad Aldo Campi

All'interno di questo articolo presenteremo la videointervista fra Matteo Cecchini Co-Founder e CEO di T-Consulting e Aldo Campi Co-Founder e CEO di Stoorm5 che ci parlerà di Cybersecurity in ambito industriale.

I nostri ospiti:

Il tema della videointervista di oggi: Cybersecurity in ambito OT

La digitalizzazione dei sistemi produttivi e la realizzazione di fabbriche 4.0 hanno fatto emergere la necessità di dotare gli impianti industriali non solo di sicurezze fisiche, ma anche informatiche. Nel corso della videointervista si parlerà di come adottare una strategia difensiva che abbia come obiettivo la continuità operativa e, pertanto, la sicurezza dei dispositivi e dei sistemi OT. Inoltre, verranno analizzati gli elementi di attenzione e i problemi più comuni che bisogna affrontare nel mettere in sicurezza gli impianti industriali dotandoli di sicurezze informatiche conformi alla normativa di Cybersecurity dei sistemi industriali ISA/IEC 62443 in Europa e NIST 800-82 negli USA.

Se sei interessato ad approfondire gli argomenti trattati contattaci cliccando qui.

TRANSCRIPT INTERVISTA

MATTEO: Buon pomeriggio a tutti! Siamo qui oggi al nostro terzo appuntamento post T-CON, un appuntamento fatto di chiacchierate con i professionisti che ci hanno accompagnato come speaker durante il nostro evento. Oggi siamo qui con Aldo Campi, il CEO di Stoorm5. Ciao Aldo!

ALDO: Ciao, buongiorno!

MATTEO: Eccoci qua. Allora, oggi, come avrete visto, parleremo di sicurezza in ambito industriale, in ambito OT. Bene, io entrerei subito nel vivo. Aldo, partirei col farti la prima domanda da cui magari sviluppare questa veloce chiacchierata. Durante il T-CON ci hai, in qualche modo, condiviso l’esigenza sempre più diffusa di sviluppare e affrontare il tema della sicurezza in ambito industriale con delle soluzioni che possano essere verticali e specifiche per questo ambito. Ci puoi illustrare un pochino meglio questo tipo di concetto?

ALDO: Diciamo che con l’avvento dell’industry 4.0 abbiamo assistito all’inizio della 4° Rivoluzione industriale che ha portato di fatto all’informatizzazione dei sistemi produttivi e di stabilimento. Storicamente, i sistemi produttivi sono sempre stati confinati all’interno di una struttura informatica separata dai tradizionali sistemi IT. Con l’introduzione dell’industry 4.0 e la congiunzione di questi due mondi differenti è chiaro che la sicurezza informatica è entrata prepotentemente anche nella gestione dell’operatività di fabbrica, quindi oggi non è più possibile pensare che la continuità operativa di una fabbrica possa essere sostanzialmente garantita indipendentemente dal fatto che i propri sistemi informatici sono messi in sicurezza. Ecco allora che diventa fondamentale prendere in mano la sicurezza informatica dell’azienda, quindi PC, server, posta, ecc., che sono i cavalli classici di ingresso verso il mondo produttivo, però stare molto ben attenti perché ad oggi il vero punto vulnerabile sono esattamente i sistemi produttivi. Noi abbiamo numerosi clienti che, nel momento in cui si affacciano alla sicurezza dell’informatica tradizionale, hanno a disposizione e hanno già implementato tante soluzioni, tanti prodotti, e hanno già consolidato buona parte del know how che gli serve per raggiungere un livello di sicurezza adeguato per la propria infrastruttura. Poi, però, quando andiamo a vedere, quando apriamo il contenitore della fabbrica, troviamo che all’interno del settore produttivo dove, ricordo sempre, che un’azienda di produzione i soldi li fa nel settore produttivo, se non produce prodotto...

MATTEO: Giustamente!

ALDO: Poi tutto il resto, tutti quelli che ci sono negli uffici possono anche stare a casa, non serve che vadano a lavorare! Quando, quindi, apriamo la scatola del sistema produttivo, invece, si trova che all’interno dei sistemi informatici la capacità di poter in qualche modo compromettere, ledere, rallentare o bloccare la catena di produzione è estremamente semplice. Tant’è vero che negli assessments che facciamo anche nel sistema di produzione, come ci disse proprio questa normativa internazionale sulla Cybersecurity dei sistemi OT, dei sistemi di fabbrica, la IEC 62443 nel settore europeo, mentre la NIST 882 nel settore americano, ci dice: “guardate, l’oggetto di fabbrica dovete pensare che sia perso per definizione.”

MATTEO: Di default!

ALDO: Di default, esatto. Un PLC illeggibile, un HMI, ecc. E, soprattutto, perché la fabbrica vive di strutture organizzative che derivano dal passato, quindi è chiaro che se io ho un tornio con un CNC un po’ datato non è che adesso cambio il tornio semplicemente perché il CNC è un po’ datato.

MATTEO: Chiaro.

ALDO: È chiaro che quando si va all’interno dei settori produttivi il gioco che si gioca è quello della produttività, il quale ha regole completamente diverse dalle regole informatiche. Ecco perché i settori produttivi oggi sono altamente vulnerabili e una loro compromissione porta, ovviamente, a un blocco della produzione.

MATTEO: Ecco, quindi a fronte di questo scenario che ci hai dipinto, che è uno scenario che già evidenzia degli elementi molto interessanti, il primo dei quali è che la sicurezza in ambito OT, in ambito fabbrica non può essere gestita e pensata allo stesso modo di come si gestisce e si pensa la sicurezza in ambito IT, sono due modi e due mondi sicuramente diversi. Dal tuo punto di vista, quali sono, a fronte di questo scenario, i rischi maggiori che un’azienda oggi si trova ad affrontare quando pensa alla sicurezza in ambito fabbrica, quando pensa al garantire la continuità operativa della propria produzione?

ALDO: Guarda, se noi pensiamo agli strumenti che utilizziamo quotidianamente nel nostro lavoro, io credo che siano pochi gli strumenti che ci risultano indispensabili, cioè possiamo più o meno fare a meno, per un piccolo periodo di tempo, di qualsiasi oggetto, anche del cellulare stesso o del PC. Qualsiasi elemento informatico, nel caso in cui ci fosse una compromissione, noi possiamo accettarne una discontinuità operativa, ma questo non è così nella fabbrica. La rottura di uno stock o il fermo di produzione di qualche ora, di mezza giornata o, in maniera più catastrofica, anche di qualche settimana, porta a degli ammanchi di fatturato che sono, per un’azienda di produzione, non sostenibili. Quindi così come all’interno del sistema produttivo l’elemento di sicurezza dell’operatore (e fortunatamente, non era così un po’ di tempo fa, ma adesso lo è diventato) è un elemento imprescindibile, deve essere imprescindibile la sicurezza informatica perché a catena potrebbe portare a una compromissione della sicurezza dell’operatore stesso e, in seconda battuta, potrebbe portare a una compromissione della capacità produttiva dell’azienda.

MATTEO: Chiaro.

ALDO: Diciamo che se in qualche modo c’è una compromissione del sistema informatico e parte del sistema informatico sta giù per uno, due o tre giorni ok, è una cosa veramente sgradita, però tollerabile. Se a un certo punto bucano l’azienda, mi criptano tutti i CNC e mi chiedono un riscatto per far ripartire le macchine, la cosa è leggermente diversa.

MATTEO: Leggermente diversa, assolutamente, dove poi “leggermente” lo mettiamo abbondantemente fra virgolette. Chiaro, chiaro. Voi come azienda avete ovviamente sviluppato una vostra soluzione che è una soluzione assolutamente innovativa e che ha una serie di caratteristiche particolarmente interessanti. Ci vuoi descrivere con una veloce panoramica quelli che sono gli elementi distintivi della vostra soluzione Edge SDN?

ALDO: Guarda, ti racconto com’è nata, così puoi capire bene quali sono gli elementi che portano l’efficacia per la protezione nei sistemi di fabbrica. Questo prodotto nasce, da un’idea che poi è stata brevettata, 4 anni fa e nasce come un oggetto per gestire la rete di telecomunicazione utilizzando la Software Defined Network che sappiamo essere il nuovo trend emergente nella gestione dei sistemi dati. Due anni fa vedo arrivare, e poi si è concretizzata definitivamente l’anno scorso, questa nuova normativa internazionale sulla Cybersecurity di fabbrica. Vedo proprio scritta in maniera strutturata e ben formata gli stessi concetti che noi stavamo mettendo all’interno di questa rete di telecomunicazione. È così che è nato il prodotto. Il prodotto è nato sostanzialmente dall’aver visto, all’interno di una norma internazionale sulla Cybersecurity, scritta una cosa molto semplice, ovvero c’era scritto: guardate signori che se voi volete proteggere i vostri sistemi di fabbrica, non potete non proteggere la vostra rete di telecomunicazione perché è quella che andrà a veicolare i problemi all’interno della vostra infrastruttura. Ecco allora che se voi lasciate passare esclusivamente il traffico funzionale per l’attività produttiva, considerando tutto il resto del traffico non funzionale, che non deve essere presente, scoprirete che la creazione di una rete di telecomunicazione sicura è una cosa molto più semplice di quello che si pensa. Questo perché in questo momento se noi andiamo a vedere buona parte, se non la maggioranza, sicuramente tutti i clienti che abbiamo, ci sono tutti gli assessments che abbiamo fatto tutte le volte che abbiamo guardato una rete di telecomunicazione industriale di un cliente, ci siamo accorti che buona parte del traffico che girava all’interno della rete non era funzionale per l’attività produttiva. Quando l’abbiamo ridotto, andando con gli strumenti automatici a raccogliere il traffico e a vedere quelle che erano le matrici di comunicazione, ci siamo focalizzati sulla matrice di comunicazione, invece, che permetteva alla fabbrica di funzionare, e ci siamo resi conto che i traffici che permettono alle aziende di andare avanti, nel settore industriale, sono estremamente contenuti, ben definiti e ben delimitati.

MATTEO: Chiaro.

ALDO: Quindi abbiamo semplicemente preso una normativa internazionale e ci abbiamo vestito sotto il nostro prodotto. Poi anche l’ulteriore elemento di vantaggio è che, utilizzando l’infrastruttura di telecomunicazione presente, non rappresenta alcun tipo di elemento di frizione all’interno del settore produttivo. È chiaro che le persone che producono sono misurate e prendono uno stipendio sulla loro capacità di produrre beni, non certo quella di gestire sistemi informatici o sistemi che non hanno la funzione se non quella produttiva. Ecco quindi che noi ci siamo resi conto, nella prima parte della nostra storia aziendale in cui abbiamo fatto, e facciamo ancora, digitalizzazione dei sistemi di fabbrica, che tutte le volte che andavamo a interagire, a modificare o ad aggiungere degli elementi che non erano funzionali per la produzione, ma servivano invece per controllare e migliorare, quindi avevano indubbiamente degli elementi di vantaggio, ma non erano visti e percepiti dalle persone che producevano e, quindi che comandavano le macchine come elementi di produzione, si sentivano a disagio. C’era la tendenza, in alcuni casi purtroppo ci sono stati fatti diversi sabotaggi, proprio anche di rimuoverlo.

MATTEO: Un bypassare queste misure.

ALDO: Esatto! Addirittura un manutentore una volta ci ha tranciato proprio il cavo del nostro gateway iOT sottolineando il fatto che lui stava facendo manutenzione della macchina, questo oggetto, non certo installato da lui perché era installato da noi, gli stava dando fastidio e, quindi, ha pensato bene di darci questa “gentile” informazione.

MATTEO: Un avvertimento...

ALDO: Esatto, un avvertimento un po’ brusco. Da lì abbiamo capito effettivamente che dovevamo entrare, aggiungere un sistema di sicurezza informatica con gli stessi strumenti che in questo momento erano presenti all’interno del sistema di produzione. Quale miglior strumento di uno switch, che è l’oggetto che oggi viene utilizzato per distribuire le informazioni all’interno della fabbrica. Oggi si utilizza solamente per scambiare dati, un domani lo stesso switch si può utilizzare, invece, per scambiare i dati all’interno di un sistema sicuro per il sistema produttivo.

MATTEO: Ottimo. Un altro elemento che mi ha particolarmente e favorevolmente impressionato quando vi ho conosciuto è il fatto che la vostra soluzione, la vostra piattaforma è una piattaforma in qualche modo aperta, non è vincolata a un singolo vendor, a un singolo brand. Questo, chiaramente, la rende estremamente utilizzabile in più contesti perché non c’è il vincolo legato al fatto che lo switch debba per forza essere del vendor X piuttosto che del vendor Y.

ALDO: Quando si parla di sicurezza informatica bisogna essere pragmatici e pensare di avere una soluzione onnisciente è inefficace e anche stupido in ultima analisi. Quello che noi facciamo è mettere al servizio la nostra capacità di riconfigurare e ridefinire la rete di telecomunicazione a tutti gli strumenti che oggi sono presenti all’interno della fabbrica. Ecco allora che ci possiamo integrare col MES, con SIM, con SOC e con altri prodotti che fanno sicurezza informatica tradizionale. L’idea fondamentale della sicurezza informatica, sia tradizionale che quella di fabbrica e OT, è quella di poter fare sistema contro le minacce esterne, non quella di avere un prodotto che ti protegge dalle minacce esterne. Il nostro compito è quello di fare in modo che la rete di telecomunicazione sia un sistema sicuro, noi questo facciamo. Chiunque può trarre beneficio da questa funzionalità, noi possiamo mettere al servizio la nostra capacità.

MATTEO: Chiaro! E un altro elemento particolarmente importante è legato al fatto che la sicurezza che voi in qualche modo riuscite ad applicare in questo contesto industriale e di fabbrica è una sicurezza che consente (questo è bene sottolinearlo) e mantiene l’operatività delle linee di produzione anche nel caso in cui ci sia un attacco in corso (caso estremizzato, però tanto per capirci). La produzione continua, non viene interrotta.

ALDO: Esatto, questo è proprio un requisito necessario della normativa IEC che ci racconta come un sistema di produzione, avendo come ultima finalità quella di mantenere attive le macchine, deve poter mantenere una propria operatività anche in presenza di una compromissione informatica. Viene proprio definita come la funzionalità di least privilege, ovvero privilegio minimo che un sistema deve avere per poter continuare a produrre. Laddove la compromissione informatica sia parziale o non sia così importante da poter compromettere il sistema produttivo, noi dobbiamo dare alle persone che stanno lavorando in fabbrica gli strumenti per poter continuare a lavorare anche in presenza di un attacco informatico. Questa è una cosa diametralmente opposta, invece, da quello che succede, per esempio, nei sistemi IT: durante un attacco informatico i Sacri testi ci dicono di isolare l’attacco informatico e staccare quella che potrebbe essere considerata una minaccia per il resto della rete.

MATTEO: Sì, esatto!

ALDO: Questo non è quello, invece, che ci dice la IEC.

MATTEO: Ottimo, perfetto.

ALDO: Se la condizione e il contorno sono differenti, sono differenti anche le strategie e le metodologie di soluzione.

MATTEO: Molto bene. Aldo, io ti ringrazio per questa veloce panoramica e chiacchierata. Ovviamente invito chi ci ascolta ad approfondire, se vuole, questo tipo di tematiche contattandoci ai contatti che vedrete tra poco in chiusura. Grazie, grazie Aldo! Rimando tutti i nostri ascoltatori al prossimo appuntamento e auguro a tutti una buona continuazione di giornata. Grazie a tutti quanti!

ALDO: Grazie a tutti e grazie Matteo! È stato un piacere fare quattro chiacchiere.

MATTEO: Grazie, a presto!