FN_102

FEBBRAIO 2020 FIELDBUS & NETWORKS 33 autorizzati e data leakage. Questi principi fondamentali includono: visibilità completa, controllo efficace e abilitazione delle sole ap- plicazioni ICS/Scada; segmentazione virtuale per impedire il movi- mento laterale di malware attraverso la rete usando un approccio ‘Zero Trust’; protezione della rete di automazione ‘end-to-end’, dove la rete deve essere uno dei punti di enforcement; utilizzo di una security operating platform che adotti tecniche evolute in grado di identificare malware avanzato, noto e sconosciuto, e di prevenire exploit zero-day; reporting tempestivo per consentire ai professio- nisti IT/OT, analisti cybersecurity e threat hunter di coordinare le azioni; condivisione e distribuzione immediata e automatica dell’in- telligence sulle minacce tra i sistemi”. Ricorda Giovanni Sangiorgio , division manager di Pilz Italia ( www.pilz.it ) : “Gli attacchi informatici sono più diffusi di quanto si pensi, tanto che le categorie di utenti della rete si potrebbero divi- dere macroscopicamente in due grandi gruppi: quello degli utenti che hanno subito un attacco informatico e quello degli utenti che ancora non sanno di averlo subito. La sicurezza informatica, a differenza di quella funzionale, è dinamica, muta nel tempo e necessita di continue revisioni dell’approccio in funzione dei nuovi vettori di attacco e tecno- logie disponibili. Pensando a come pro- teggerci, in ambito normativo abbiamo la fortuna di disporre dei riferimenti dati dalla IEC62443, che distingue l’ambito applicativo del costruttore di disposi- tivi rispetto all’utilizzatore/integratore. L’approccio dato è quello di suddividere le reti in zone, per esempio attraverso la tecnologia Vlan, e metterle in comuni- cazione attraverso condotti monitorati e protetti adeguatamente. A seconda del livello di sicurezza (informatica) SL che si vuole raggiungere, la norma indica quali strategie mettere in atto. L’idea è sezionare la rete informatica in zone raggiungibili da condotti di comunicazione univoci e controllati, in modo da poter autenticare e autorizzare gli utenti in ogni zona”. Procedure che ci vengono consigliate anche da Roberto Motta , bu- siness development lead network and security services di Rockwell Automation ( www.rockwellautomation.it ) : “Le misure di mitigazione dei rischi specifiche che un’organizzazione attua dipenderà dal proprio insieme unico di rischi per la security e i loro potenziali impatti sulla safety. Tuttavia, vi sono alcune misure di mitigazione chiave che la maggior parte dei costruttori e degli operatori industriali dovrebbero implementare come best practice. Prima di tutto la segmentazione in zone, un accorgimento che dovrebbe essere usato in ogni impianto come parte di un approccio di ‘difesa in profondità’ alla Security, per limitare l’accesso anche ai sistemi sa- fety. È una ‘zona demilitarizzata indu- striale’ (IDMZ) basata su firewall che contiene gli asset fisici o virtuali che opereranno come ‘intermediari’ dei dati, che non attraversano mai diret- tamente una IDMZ. Dovrebbe essere sempre posta tra una rete ‘affidabile’ per definizione, nel nostro caso quella industriale, e una ‘non affidabile’, ov- vero quella aziendale. Inoltre, usando Vlan e una gerarchia di switch layer 2 o layer 3 si possono creare funzionalità di sottozone per stabilire ‘domain of trust’ più piccoli e semplificare l’applicazione delle policy di security. È poi utile impiegare prodotti safety con fun- zioni di security integrate. Per esempio, un controllore di sicurezza che utilizza chiavi software può garantire che un aggiornamento firmware venga scaricato solo da una fonte attendibile, mentre con uno switch managed industriale, usando Access Control List (ACL), è possibile assicurare che solo dispositivi, utenti e traffico autorizzati stiano uti- Giovanni Sangiorgio di Pilz Italia Roberto Motta di Rockwell Automation Ci stiamo sempre più avvicinando a una visione unica e complessiva della sicurezza, in cui occorre tenere presenti diversi aspetti: // À & / & / & & // ( Fonte: www.pixabay.com