Perché la strategia di sicurezza IT non è adatta per proteggere le reti industriali?

Parlando del settore industriale, qual è l’obiettivo più importante da raggiungere? Sono quasi certo che la risposta della maggior parte sarebbe di preservare la continuità operativa e la sicurezza degli utenti. Tuttavia, cosa succederebbe se aggiungessimo la sicurezza informatica a questa equazione? Come cambierebbe la tua risposta?

Beh, penso che la risposta rimarrebbe la stessa, ma la stessa risposta vale se spostiamo la domanda nel dominio IT? Probabilmente no! In quest’ultimo caso, infatti, l’attenzione si concentra sul mantenimento di politiche coerenti e sul controllo in tutta l’organizzazione, oltre che sulla protezione di applicazioni sensibili e dati riservati da accessi non autorizzati.

Per riassumere brevemente la differenza chiave tra IT e OT, si può sostenere che l’IT è incentrata sulle attività informative front-end di un’organizzazione, mentre l’OT si concentra sulla produzione back-end. Se ci fermassimo qui, sarebbe già sufficiente per capire che i due scenari sono profondamente differenti, non solo da un punto di vista tecnologico, ma anche procedurale e normativo, influenzando notevolmente la cybersecurity.

Infatti, se oggi non si può più trascurare la sicurezza informatica, è altrettanto vero che il concetto di sentirsi al sicuro risulta sfumato. Il livello di sicurezza deriva per lo più dalla percezione del rischio che affrontiamo nelle nostre attività quotidiane, e ciò ha più a che fare con aspetti psicologici che con scelte tecnologiche. Ed è proprio in questo scenario che si potrebbe essere tentati di applicare le stesse misure di sicurezza, efficaci nel reparto IT, all’intera fabbrica, commettendo un grave errore.

Oggi, in generale, l’approccio alla sicurezza è guidato dall’acquisto di dispositivi specifici – firewall, IPS, antivirus, switch gestiti, ecc. – che forniscono strumenti difensivi per affrontare l’ampia gamma di minacce e malware presenti in rete.

Altre strategie difensive si basano su sistemi di rilevamento e prevenzione delle intrusioni (IDS, IPS), approcci ben definiti che individuano le minacce mentre tentano di entrare o di propagarsi nella rete. Questo metodo è molto efficace nelle reti IT, dove, al rilevamento di una minaccia o di un comportamento scorretto, viene attivata un’azione automatica che isola il problema. Ma è possibile utilizzare la stessa strategia in un dominio IoT industriale? Ricordiamo che la continuità operativa è l’obiettivo primario per ogni responsabile OT: la produttività e la sicurezza degli operatori vengono prima di tutto. Fermare automaticamente la produzione a causa di un rilevamento software sarebbe controproducente. Solo sistemi di sicurezza supervisionati possono funzionare in un ambiente industriale, sottolineando la costante dipendenza del reparto OT da quello IT.

Per tale motivo, una strategia di sicurezza basata esclusivamente su metodi di rilevamento risulta parzialmente efficace, essendo continuamente influenzata dalle azioni degli utenti, dal supporto IT e dall’emergere costante di nuove minacce e malware, come quelli zero-day.

Ultimo, ma non meno importante, menzioniamo le VLAN, che in termini generali sono semplicemente LAN più piccole. Quindi, presentano gli stessi problemi tipici delle LAN, seppur su scala ridotta. Non fraintendermi: le VLAN sono essenziali in una rete industriale, ma sono efficaci per l’architettura di rete e non possono essere considerate una strategia di sicurezza a sé stante. Approcciare la sicurezza limitandosi alla segmentazione di rete porta a una definizione debole delle zone di rete e nulla di più.

Quindi, una strategia di sicurezza IT è fattibile ed efficace per proteggere una rete IoT industriale? La risposta breve è no.

Le condizioni limite che regolano il settore industriale sono profondamente diverse e, nonostante il numero di firewall, IPS, VLAN, tunnel o servizi difensivi messi in atto, senza una conoscenza approfondita, supervisione continua e una gestione costante, la sicurezza OT diventa un insieme fragile di dispositivi. Questo mette in evidenza, da un lato, la necessità di utilizzare al meglio gli strumenti disponibili e, dall’altro, l’importanza delle azioni degli utenti nel seguire rigorosamente le best practice e le procedure di sicurezza. Anche gli strumenti più semplici, intuitivi e automatizzati non possono sostituire una gestione efficace e una corretta condotta operativa.

Tuttavia, come recita un famoso detto “la coperta è corta”, cercare di definire procedure di sicurezza troppo rigide per minimizzare gli attacchi malware crea condizioni operative in cui gli operatori non riescono a lavorare in modo efficiente e, di conseguenza, ignorano, aggirano o rimuovono le protezioni informatiche. È noto che più rigorosa è la protezione, maggiore sarà l’impegno richiesto per mantenerla, e in un settore industriale questo rappresenta una sfida continua per la continuità operativa.

Alla fine, quale strategia è la più adatta a te? Quali sono le condizioni limite che rendono la sicurezza OT diversa da quella IT e quali conclusioni possiamo trarre? Un piccolo suggerimento: in ambito industriale è necessario adottare un approccio in cui la prevenzione venga prima del rilevamento, mantenendo sempre come obiettivo principale la continuità operativa e la sicurezza degli utenti.