10 Feb Differenze tra la sicurezza industriale IT e OT
Le tecnologie informatiche (IT) e operative (OT) rappresentano due settori differenti con regole del gioco diverse. Oggi questi due ambiti separati sono spesso collegati da sovrapposizioni operative in cui è difficile riconoscere dove finiscono le competenze IT e dove iniziano quelle OT.
È abbastanza comune confondere le condizioni lavorative e operative, l’attitudine a seguire le procedure IT e persino gli obiettivi lavorativi, al punto che le strategie di sicurezza industriale implementate si basano su modelli teorici che difficilmente possono essere perseguiti nella realtà. Il risultato è un approccio alla cybersecurity industriale spesso guidato da una strategia in cui prodotti di sicurezza sofisticati vengono integrati nelle procedure operative con risultati poco significativi.
Compiti dell’IT e OT
Il reparto IT è generalmente responsabile dell’infrastruttura informativa di un’azienda; ciò significa che i team IT si concentrano sul mantenimento di politiche e controlli coerenti all’interno dell’organizzazione, oltre a essere responsabili della protezione di applicazioni sensibili e dati riservati da accessi non autorizzati. D’altra parte, l’OT si occupa di collegare, monitorare, gestire e mettere in sicurezza le operazioni industriali di un’organizzazione.
La gestione di risorse industriali complesse, come robot, sistemi di controllo industriale (ICS), sistemi di supervisione e acquisizione dati (SCADA), controllori logici programmabili (PLC) e macchine a controllo numerico (CNC), sono solo alcuni esempi dei pilastri fondamentali dell’OT. Inoltre, il dominio dell’OT può estendersi oltre i confini aziendali verso aree esterne come parcheggi, telecamere CCTV esterne, bancomat e chioschi, autobus, treni e flotte di servizio connesse, stazioni meteorologiche, e così via; in generale, si estende a ogni area in cui sia presente un dispositivo IoT industriale. In sintesi, si può affermare che l’IT è incentrato sulle attività informative front-end di un’organizzazione, mentre l’OT si concentra sulla produzione back-end.
Una mela, due metà
Facciamo una breve panoramica delle principali differenze tra IT e OT che influenzano la strategia di sicurezza; l’obiettivo non è fornire un’analisi esaustiva o accademica delle differenze, ma evidenziare i principali vincoli che incidono sulle operazioni in modo pragmatico e realistico.
Innanzitutto, l’obiettivo lavorativo.
Può sembrare strano partire dall’obiettivo, poiché solitamente ognuno sa qual è il proprio lavoro; tuttavia, a volte si può (erroneamente) presumere che gli altri conoscano e condividano gli stessi obiettivi. Come già evidenziato, l’obiettivo del reparto IT è mantenere i servizi IT operativi (spesso esternalizzati) e garantire l’accesso agli utenti accreditati, mentre chi lavora nel settore industriale ha come obiettivo principale la continuità operativa e l’efficienza produttiva, quasi sempre a livello interno. Questi due target differenti hanno anche condizioni limite, prospettive lavorative e urgenze differenti.
Dal punto di vista IT, è comune considerare la produttività come secondaria rispetto alla sicurezza, mentre dal punto di vista OT è il contrario. E poiché molto spesso, in “medio stat virtus”, un buon approccio è creare una strategia di resilienza della sicurezza che debba essere in grado di superare le inefficienze delle procedure operative, ciò significa che più la sicurezza è indipendente dalle azioni dei lavoratori, più sarà efficace.
Presenza di utenti esterni.
Generalmente, guest o fornitori non hanno accesso diretto ai servizi IT e ai sistemi informativi aziendali; tuttavia, in molte aziende vi è una presenza costante di personale esterno all’interno dell’impianto (manutentori, elettricisti industriali, ecc.) con accesso diretto alle attrezzature e alla rete industriale. I fornitori hanno accesso alla rete locale dell’azienda e spesso il controllo diretto da parte degli operatori è limitato. Ciò significa che gli operatori OT sono generalmente liberi di utilizzare tutte le loro risorse e capacità per mantenere la produzione in funzione.
Tipi di asset differenti.
L’IT si occupa di asset e dispositivi moderni: PC, server, smartphone sono sotto il diretto controllo dell’IT e facilmente manutenibili e aggiornabili, mentre in fabbrica esiste una moltitudine di asset eterogenei e obsoleti, spesso non protetti, come PLC, sensori, telecamere CCTV, PC datati e così via. La bassa frequenza e la difficoltà nell’aggiornamento di questi asset espongono ogni dispositivo a rischi seri. Uno dei punti fissi nel settore industriale è l’incapacità di mettere in sicurezza gli host (a meno che l’host non disponga di una propria sicurezza) perché è obbligatorio preservare le funzionalità del dispositivo.
Confini di rete.
I servizi IT generalmente hanno confini di rete ben definiti; è facile stabilire il perimetro di rete e impostare una strategia per proteggere i confini. All’interno di questo perimetro vi sono asset moderni, ciascuno con la propria protezione, il che crea delle “recinzioni sicure”. D’altra parte, una rete OT è generalmente considerata senza confini a causa delle frequenti connessioni e accessi esterni o interni (VPN esterna, manutenzione locale, ecc.). La presenza di operatori esterni, spesso non supervisionati, e la moltitudine di dispositivi determinano un insieme di dispositivi connessi in maniera non pianificata. Infatti, la maggior parte delle reti si basa su un’architettura flat, con solo qualche (spesso un’unica) VLAN per segmentare alcune porzioni di rete.
Condizioni operative.
Una delle differenze più rilevanti tra dispositivi IT e industriali sono le differenti condizioni operative. Gli utenti utilizzano liberamente gli strumenti IT, rendendo praticamente impossibile definire un comportamento prevedibile o un profilo operativo uniforme per PC, smartphone e server, che utilizzano numerose applicazioni e processi che scambiano traffico dati tra end-point imprevedibili utilizzando vari protocolli. Nel settore industriale, invece, il traffico dati viene scambiato in maniera controllata, con identificatori di rete noti e protocolli di comunicazione stabiliti. Il profilo di traffico dei dispositivi è prevedibile: PLC, sensori, SCADA, ecc. spesso si limitano a uno scambio di dati applicativo unico con peer ben noti per la maggior parte del tempo all’interno di una rete locale.
Sfortunatamente, oggi le informazioni sul traffico deterministico non vengono utilizzate in alcun modo; anzi, è piuttosto comune che il reparto OT non sappia che tipo di traffico o quali connessioni siano presenti nell’impianto. Questa è la diretta conseguenza di un atteggiamento volto più a permettere ai fornitori di operare senza procedure, per ottenere risultati rapidi, piuttosto che a garantire un buon controllo e una gestione efficace dell’azienda.
Partendo da queste differenze rilevanti, è facile concludere che una strategia di difesa deve essere personalizzata in base alle caratteristiche del settore industriale e non può essere utilizzata una copia obsoleta della strategia di sicurezza tipica del dominio IT.
Questo ci riporta alla domanda principale: qual è un modello di sicurezza pratico che si adatti al settore industriale, e quale dovrebbe essere la strategia di partenza?
Sicuramente, la rete di telecomunicazioni è uno degli elementi chiave, in quanto consente di creare una rete che permetta alle risorse industriali di scambiare solo i dati rilevanti per il loro corretto funzionamento, senza esporre completamente tutte le interfacce di rete o porzioni di essa.
Per questo compito potrebbe essere utile una rete programmabile, come la Software Defined Network, Edge SDN rende la rete programmabile, sfruttando le caratteristiche specifiche dell’OT per creare uno strato di sicurezza efficace.