Sicurezza industriale
Sicurezza OT: come proteggere i sistemi industriali e i dispositivi che li compongono
La sicurezza OT protegge la operational technology: i sistemi programmabili e i dispositivi che monitorano e controllano processi fisici, come PLC, controllori industriali, building automation e robot. A differenza dell’IT d’ufficio, disponibilità e sicurezza (safety) vengono prima di tutto, quindi ogni controllo viene scelto in modo da non interrompere il processo.
Piano Free, nessuna carta richiesta.
Cos’è la operational technology?
La NIST SP 800-82 Rev. 3, la guida statunitense alla sicurezza OT pubblicata a settembre 2023, descrive la OT come un ampio insieme di sistemi e dispositivi programmabili che interagiscono con l’ambiente fisico o gestiscono dispositivi che lo fanno. I suoi esempi comprendono i sistemi di controllo industriale, la building automation, i sistemi di trasporto e il controllo degli accessi fisici.
I sistemi di controllo industriale sono stati a lungo isolati, restavano in funzione per decenni e parlavano protocolli proprietari. Oggi molti si collegano a reti aziendali, servizi cloud e strumenti di manutenzione remota, e molti controllori, gateway e pannelli operatore eseguono software commerciale o open source, compreso Linux embedded. Questa connettività porta nello stabilimento vulnerabilità tipiche dell’IT.
Come la sicurezza OT differisce da quella IT
Le stesse tecniche di attacco funzionano in entrambi i mondi, ma le priorità sono diverse. La guida del NIST affronta la sicurezza OT tenendo conto dei suoi requisiti specifici di prestazioni, affidabilità e sicurezza (safety), ed è per questo che strumenti e abitudini dell’IT non possono essere semplicemente copiati in uno stabilimento.
| Aspetto | IT d’ufficio | OT |
|---|---|---|
| Prima priorità | Riservatezza e integrità dei dati | Disponibilità e sicurezza (safety) del processo fisico |
| Aggiornamenti | Regolari, spesso automatici | Pianificati in base alla produzione; alcuni sistemi non possono essere aggiornati rapidamente |
| Durata | Pochi anni | Spesso molto più lunga, a volte decenni |
| Test | Di solito possibili sui sistemi in produzione | Le scansioni attive possono interrompere i controllori; i test si eseguono in ambienti di prova o in modo passivo |
| Cambiamenti | Frequenti | Rigorosamente controllati, spesso con una nuova validazione della sicurezza (safety) |
I principali rischi per la sicurezza OT
La maggior parte degli incidenti OT parte da debolezze ben note. Le linee guida per i sistemi industriali indicano sempre le stesse:
- Reti piatte, in cui un aggressore che raggiunge la rete d’ufficio può raggiungere anche i controllori.
- Accessi remoti per fornitori e manutenzione che aggirano i controlli di sicurezza.
- Credenziali predefinite o condivise su controllori, pannelli operatore e postazioni di ingegneria.
- Vulnerabilità note in sistemi operativi, firmware e componenti di terze parti obsoleti, che restano senza patch per anni.
- Protocolli industriali progettati senza autenticazione, per cui chiunque sia sulla rete può inviare comandi.
- Visibilità limitata: nessun inventario completo di asset, versioni del firmware e componenti software al loro interno.
IEC 62443: il quadro di riferimento per la sicurezza OT
La serie ISA/IEC 62443, sviluppata dal comitato tecnico 65 della IEC insieme al comitato ISA99, è il quadro di riferimento internazionale per la sicurezza dei sistemi di automazione e controllo industriale. Organizza la sicurezza per ruoli: l’asset owner che gestisce l’impianto, l’integratore che costruisce il sistema e il fornitore di prodotti che realizza i componenti.
Per i gestori, le parti dedicate al sistema definiscono zone e condotti, valutazione del rischio e livelli di sicurezza. Per i fabbricanti di prodotti, la IEC 62443-4-1 stabilisce i requisiti per un ciclo di vita dello sviluppo sicuro e la IEC 62443-4-2 le capacità tecniche di sicurezza di componenti come controllori, sensori e gateway. La guida alla IEC 62443 di questo sito tratta la serie in dettaglio.
Dove rientrano il firmware e la catena di fornitura del software
Ogni controllore, gateway, pannello operatore e PC industriale esegue un firmware costruito da componenti, spesso con librerie open source, un kernel Linux e servizi di rete. Quando viene pubblicata una vulnerabilità in uno di questi componenti, il gestore e il costruttore del dispositivo si pongono la stessa domanda: quali prodotti e quali versioni la contengono?
Per questo una distinta base del software (SBOM) per ogni versione del firmware sta diventando una richiesta normale dei clienti industriali. La IEC 62443-4-1 chiede ai fornitori di prodotti di gestire i difetti di sicurezza e gli aggiornamenti di sicurezza, e il Cyber Resilience Act dell’UE richiederà ai fabbricanti di prodotti con elementi digitali, compresi molti componenti industriali, di redigere una SBOM e di gestire le vulnerabilità per tutto il periodo di assistenza.
I primi passi di un programma di sicurezza OT
La maggior parte dei quadri di riferimento parte dallo stesso punto: sapere cosa si ha, poi ridurre il modo in cui è raggiungibile.
- Costruisci un inventario degli asset che comprenda le versioni del firmware e, dove disponibili, i componenti software all’interno di ciascun dispositivo.
- Segmenta le reti in zone e controlla i condotti tra di esse, come descrivono la IEC 62443-3-2 e la 3-3.
- Controlla e registra gli accessi remoti, ed elimina le credenziali predefinite.
- Tieni traccia delle vulnerabilità che riguardano i tuoi dispositivi, usando gli avvisi dei fornitori e il catalogo CISA KEV, e pianifica gli aggiornamenti in base alla produzione.
- Chiedi ai fornitori SBOM, impegni sugli aggiornamenti di sicurezza e un contatto per la divulgazione delle vulnerabilità.
Disponibile oggi in KROMSE
KROMSE non monitora le reti OT, non individua gli asset dell’impianto e non ispeziona i protocolli industriali. Analizza il software e il firmware basato su Linux dei dispositivi che produci o gestisci.
- Immagini firmware basate su Linux fino a 512 MB, estratte ricorsivamente, con i pacchetti confrontati con OSV.dev e i binari confrontati offline con dati sulle vulnerabilità basati su NVD.
- Le immagini cifrate e il firmware bare-metal o RTOS privo di file system vengono segnalati come non analizzabili, non come puliti.
- SBOM CycloneDX e SPDX per ogni scansione.
- Contesto di CISA KEV, FIRST EPSS, NVD ed ENISA EUVD sui risultati, con le vulnerabilità note come sfruttate segnalate.
Domande frequenti
Cosa significa OT nella sicurezza OT?
Operational technology: l’hardware e il software che monitorano e controllano apparecchiature e processi fisici, in contrapposizione alla information technology, che gestisce i dati. I sistemi di controllo industriale sono il cuore della OT.
La sicurezza OT è la stessa cosa della sicurezza ICS?
In gran parte sì. La sicurezza dei sistemi di controllo industriale (ICS) è il nucleo della sicurezza OT. OT è il termine più ampio e comprende anche la building automation, i sistemi di trasporto, il controllo degli accessi fisici e altri sistemi che agiscono sul mondo fisico.
Quali norme si applicano alla sicurezza OT?
La serie ISA/IEC 62443 è il riferimento internazionale, e la NIST SP 800-82 Rev. 3 è una guida molto usata. Nell’UE, la NIS 2 stabilisce obblighi per i soggetti di molti settori, e il Cyber Resilience Act copre i prodotti con elementi digitali, compresi molti componenti industriali.
Posso analizzare le reti OT con uno scanner di vulnerabilità IT?
Non sui sistemi di produzione in funzione senza grande cautela: le scansioni attive possono sovraccaricare o fermare i controllori più vecchi. I team OT di solito preferiscono il monitoraggio passivo, le scansioni in un ambiente di prova o l’analisi di firmware e software prima della distribuzione.
KROMSE è una piattaforma di sicurezza OT?
No. KROMSE non monitora le reti degli impianti né i protocolli industriali. Trova le vulnerabilità note nel software e nel firmware basato su Linux dei dispositivi connessi e produce SBOM, e questo supporta il lato dispositivi di un programma di sicurezza OT.