Intervista a Raoul Brenna, Responsabile della Practice Information Security & Infrastructures, CEFRIEL – Politecnico di Milano
Le vulnerabilità degli ambienti industriali che evolvono in configurazione 4.0, partendo dal classico “Industrial IoT” o SCADA/ICS, sono molteplici. Poiché le architetture sono stratificate, è opportuno adottare un approccio multilivello, che punti a scomporre le problematiche (per capirle meglio) collocandole sul corretto layer di riferimento, e poi a riconsiderarle valutando anche interdipendenze e possibili effetti a catena. La priorità oggi, se vogliamo una reale resilienza delle infrastrutture critiche (ed in generale di Industria 4.0) a livello Paese, è muoversi in fretta, come afferma Raoul Brenna, Responsabile della Practice Information Security & Infrastructures di CEFRIEL- Politecnico di Milano, in questa intervista con TIG.

Cosa si intende con il concetto Industria 4.0? quali sono le tecnologie abilitanti che lo riguardano? E perché per esso si parla di problematiche di sicurezza informatica?

Il termine Industry 4.0 indica la nuova rivoluzione industriale e ci si riferisce ad uno scenario che prevede un’interconnessione completa e globale degli impianti, dei sistemi di trasporto, della logistica e anche del personale, quindi in generale di tutto l’ecosistema intorno alle attività manifatturiere dell’azienda e idealmente della filiera in cui opera.

Le tecnologie abilitanti sono numerose (Robot collaborativi, Droni e AGV, Big data, Machine learning e Intelligenza Artificiale, Cloud Banda larga e Ultralarga, IoT e sensori), ma il risultato è quello di una fortissima focalizzazione sul “real time”: dalla detection, alla data ingestion, all’elaborazione, fino all’integrazione e alla fruizione da parte dei diversi attori coinvolti di specifici insight sui processi di produzione e sui prodotti realizzati. Ci si spinge anche a tematiche di Predictive e Prescriptive maintenance che puntano a fornire informazioni su quello che succedrà e su come gestire o evitare specifici eventi. Queste tecnologie distribuite, spesso nuove ma altrettanto spesso “legacy” e riadattate mediante retrofitting (per abilitarne la trasmissione dei dati, le comunicazioni in ambienti eterogenei e l’accessibilità worldwide) sono tutti “ingredienti” su cui il rischio cyber è potenzialmente elevatissimo e su cui la connotazione di “real time” di cui dicevo poco sopra non può che essere un’amplificazione.

Quali e quante sono le vulnerabilità degli ambienti industriali e in particolar modo quelle ereditate dal nuovo scenario di Industria 4.0, caratterizzato dall’iperconnettività a tutti i livelli?

In un ambiente industriale, specie se “evoluto” in ottica 4.0, il tema della gestione delle vulnerabilità è molto complesso, perché di fatto le troviamo a tutti i livelli: dagli ambienti per cui questi problemi sono già molto noti (come PC, client e reti ICT) ai nuovi oggetti connessi: sensoristica distribuita con connettività wireless o simili che spesso, essendo di matrice consumer, nascono con minore attenzione alla sicurezza. Pensiamo ai robot e ai droni, che possono essere oggetto di attacchi per cui diventa possibile prenderne il controllo da remoto. Inoltre entra in gioco il cloud che a sua volta presenta problematiche di sicurezza. Perfino le stampanti 3D hanno i loro problemi: si è già prefigurato un loro utilizzo malevolo che porterebbe a una produzione di prodotti con errori intrinseci. Va poi considerato tutto il tema del collegamento della supply chain e quindi dei rischi associati all’assemblaggio di prodotti di terze parti poco sicuri, o semplicemente degli accessi privilegiati garantiti a fornitori magari non altrettanto consapevoli delle tematiche di cybersecurity.

In ambienti industriali molto “connessi”, anche le tradizionali vulnerabilità dell’ICT acquistano una rilevanza particolare: si pensi al fatto che nel 2014 in Germania un accesso abusivo ad un altoforno ha avuto conseguenze molto gravi. Una volta entrati nella rete con tecniche di phishing, gli attaccanti hanno infettato i sistemi ICS utilizzati nella produzione di acciaio e sono riusciti a prendere il controllo dei sistemi che governano l’altoforno: di conseguenza, la fabbrica ha subito gravi danni non potendo governare correttamente lo shutdown. Esistono anche cyber threats specifici per i processi industriali o di logistica, ad esempio RFID malevoli in grado di compromettere i sistemi di lettura e i database sottostanti, malware che parlano la lingua di PLC e SCADA per controllarli, impianti di produttori “furbi” in grado di intercettare il traffico nella fabbrica anche a scopo di sottrazione di Intellectual Property rispetto ai macchinari concorrenti.

Gli attacchi cyber al mondo industriale sono quindi già una realtà oggi, ma le aziende sono consapevoli di questi rischi?

Negli ultimi anni, attacchi al settore energetico, agli autoveicoli, persino al mondo manifatturiero confermano il potenziale impatto di campagne su vasta scala verso questo target e ne confermano anche l’attuale esposizione. Tecniche di phishing più o meno mirato abilitano il raggiungimento di reti e segmenti di impianti ipoteticamente isolati. La mancanza di patch in reti “office” (oltre che nelle reti di processo) ha messo in luce negli ultimi mesi come poi questo isolamento sia più teorico che pratico, e comporta la propagazione di infezioni che hanno come conseguenza estrema il blocco dell’azienda.

In Italia la sensibilità su questi temi e la percezione del rischio ci sono, almeno tra gli addetti del settore dell’Information Security. L’allineamento su questi temi, in termini di gravità percepita, può tuttavia essere solo parziale verso il business, nonostante esso sia l’Owner degli impianti di cui parliamo. Gli attacchi agli ambienti industriali sono una realtà, accadono, però sono molto difficili da rilevare. Quello che si misura di solito è il loro effetto, che in alcuni casi può risultare veramente molto grave, con una reazione a catena che blocca tutta la filiera, come si è visto di recente quando il malware NotPetya ha fermato le operazioni della società di spedizioni danese Maersk per settimane, con un danno economico complessivo tra i 200 e i 300 milioni di dollari. In questi casi il business percepisce il problema… ma purtroppo tardivamente.