Come affrontare i rischi di sicurezza nelle implementazioni IIoT

Negli ultimi anni, l’Internet of Things (IoT) ha aumentato in modo sensibile la sua presenza. Oltre 27 miliardi di dispositivi connessi sono già online, con un numero che raggiungerà i 75 miliardi entro il 2025. L’Industrial Internet of Things (IIoT), in particolare, potrebbe portare un contributo di 14 trilioni di dollari all’economia globale entro il 2030. Numerosi settori industriali si affidano già a dispositivi IIoT come contatori intelligenti, allarmi e sensori per attività business-critical come automazione delle macchine, monitoraggio e manutenzione predittiva, monitoraggio dell’inventario e trasformazione di processi e flussi di lavoro.

Nonostante questa sua crescente presenza, le organizzazioni che passano all’IIoT non possono permettersi di ignorare le problematiche di sicurezza correlate. Una rete IIoT può estendersi per miglia e avere centinaia di migliaia di punti dati. La debolezza di un dispositivo può rendere tutti gli altri dispositivi della rete vulnerabili ai cyberattacchi e aumentare il rischio di interruzioni dei processi, manipolazioni non autorizzate e persino spionaggio aziendale.

Per proteggere i dispositivi e le reti IIoT, le aziende devono smettere di pensare alla sicurezza come un elemento aggiuntivo. Nascondere i potenziali punti di debolezza (la cosiddetta security by obscurity) non rappresenta più una soluzione adeguata; la necessità attuale è la sicurezza a livello di progettazione (security by design).

Ecco alcuni modi in cui le aziende che passano all’IIoT possono ridurre al minimo i rischi di sicurezza

Selezionare la giusta tecnologia di protezione cyber

Con la crescita delle reti IIoT, le organizzazioni industriali devono implementare solide tecnologie di sicurezza specifiche per l’IoT. Ma prima, fare chiarezza su aspetti importanti come:

• Vettori critici di minacce
• Considerazioni normative e di conformità
• Tipo di tecnologia Machine to Machine (M2M) e necessità di operazioni continue
• Tipo di dati raccolti, specialmente se sono time-sensitive e/o critici per il business
• Fattori esterni che possono influenzare la trasmissione e la ricezione affidabile dei dati tra punti diversi
• Punto d’incontro ideale tra funzionalità, facilità d’uso e sicurezza

Sulla base di queste risposte, sarà possibile identificare e implementare una serie di tecnologie per fornire una sicurezza continua per le implementazioni IIoT, tra cui:

• Crittografia per prevenire la compromissione dei dati sensibili
• Sicurezza di rete e autenticazione dei dispositivi per proteggere le implementazioni tra dispositivi, apparecchiature periferiche e sistemi back-end
• Gestione delle identità e degli accessi (IAM) per proteggere e gestire le relazioni tra dispositivi e identità
• Analisi della sicurezza per identificare e fermare potenziali attacchi o intrusioni che possono bypassare i controlli di sicurezza tradizionali

La sicurezza è una questione di business, non un problema tecnologico

La sicurezza IIoT deve essere considerata una questione strategica di business che richiede soluzioni robuste e a lungo termine, piuttosto che un problema tecnologico da risolvere con soluzioni specifiche. Per questo, è fondamentale stabilire Key Performance Indicator (KPI) e impostare procedure e pratiche adatte a soddisfarli. Un programma formale di sicurezza IIoT e un modello di eccellenza operativa possono aiutare sia a mitigare il rischio di sicurezza che a migliorare le prestazioni. Per implementare questo programma in tutta l’azienda, è necessario creare un team interfunzionale composto da sicurezza IT, ingegneria, operations e sistemi di controllo.

I dipendenti dovrebbero avere maggiore visibilità sulle operazioni di sicurezza IIoT e sulla tecnologia operativa (OT) per migliorare la consapevolezza delle minacce e la conoscenza delle strategie di mitigazione. Un programma di formazione personalizzato di cyber-difesa dovrebbe essere un elemento critico di un quadro di sicurezza. Le organizzazioni hanno anche bisogno di risorse qualificate di cybersecurity IIoT per condurre regolarmente l’inventario delle attrezzature, e trovare il giusto punto di incontro tra sicurezza, privacy e affidabilità senza impattare negativamente sulla continuità operativa. Infine, l’azienda e i suoi team di sicurezza dovrebbero creare e impiegare l’automazione, così come l’ingegneria continua, la consegna e l’integrazione per garantire una protezione coerente.

Incorporare l’IIoT nel quadro dei rischi enterprise

Con una rete IIoT in crescita, le organizzazioni devono elevare il livello di risk management, portandolo a livello aziendale. Per questo, devono identificare e profilare tutti gli endpoint IoT e monitorarli regolarmente per valutare la vulnerabilità rispetto al rischio.

Per identificare le vulnerabilità e prepararsi a potenziali attacchi informatici, dovrebbero essere eseguite valutazioni di rischio costanti seguite da piani dettagliati di mitigazione. È anche consigliabile effettuare simulazioni di violazione e monitorare il proprio centro operativo di sicurezza. Rafforzare le capacità di cybersecurity intelligence può aiutare i dipendenti a capire i vettori di attacco a cui sono più vulnerabili. Il rischio può venire anche da fattori esterni, ed è quindi fondamentale definire chiari SLA ogni volta che si fa affidamento su integratori di sistema e altri partner.

Per una mitigazione ottimale del rischio con i giusti controlli di sicurezza e la giusta priorità, è necessario abbattere qualsiasi barriera esistente tra funzioni IT e OT, e sfruttare le competenze condivise per rafforzare la sicurezza IIoT complessiva. Sfruttando dispositivi tecnologici all’avanguardia una rete può essere protetta con meccanismi di sicurezza superiori tra cui SSL, SSH, 802.1X e altro. Allo stesso tempo, alte prestazioni, affidabilità e facilità di gestione forniscono il miglior valore dalla loro infrastruttura IIoT.

Implementare tecnologie e dispositivi IIoT a un ritmo più veloce di quanto possano essere protetti può lasciare le organizzazioni vulnerabili a molti pericoli informatici. Questi rischi possono influenzare la produttività e l’efficienza operativa, la stabilità finanziaria e persino la reputazione dell’azienda. Purtroppo, la maggior parte delle organizzazioni si trova ancora nelle prime fasi di adozione di pratiche e tecnologie di protezione per ridurre al minimo questi rischi. Nei prossimi anni, l’IIoT vivrà una crescita ancor più impetuosa, ed è quindi essenziale che le aziende facciano della sicurezza IIoT la loro massima priorità. Solo allora potranno davvero sfruttare appieno le sue potenzialità per casi d’uso critici nel mondo reale.

E poiché la sicurezza IoT non esiste di per sé, adottare un robusto programma di sicurezza IIoT che combina persone, processi e tecnologia è assolutamente vitale.

Giovanni Prinetti

European Solutions Marketing Manager di Allied Telesis