Misure di protezione dei sistemi di controllo industriali (ICS)
Garantendo la sicurezza dei sistemi di controllo industriali (Industrial Control Systems ICS) si proteggono non solo i dati, ma anche l’infrastruttura, i processi e le persone. Di seguito, l’UFCS ha riassunto le misure più importanti.
I sistemi di controllo e di gestione consistono in uno o più dispositivi che gestiscono, regolano e/o sorvegliano il comportamento di altri dispositivi o sistemi. Nella produzione industriale il concetto di «sistemi di controllo industriali» (dall’inglese «industrial control systems», ICS) è consolidato.
Da tempo i sistemi di controllo e di gestione industriali si ritrovano anche all’infuori dell’industria di produzione, per esempio nella domotica o nella regolazione del traffico. In linea di principio, ogni sistema può essere considerato un sistema di controllo industriale che regola e/o sorveglia un processo fisico. La maggior parte delle regole di base per la protezione di sistemi simili si applica anche all’infuori della produzione industriale.
Garantire la sicurezza non è un progetto una tantum, ma piuttosto un processo continuo. Iniziate con le misure che richiedono pochi sforzi ma sono molto efficaci, come per esempio cambiare tutte le password standard.
Una panoramica delle misure principali:
- Tenere una banca dati di tutti i dispositivi
Tenete un inventario completo di tutti gli apparecchi ICS, dei sistemi correlati e dei dispositivi terminali. Solamente se si sa cosa è collegato alla rete lo si può proteggere in modo efficace. I dispositivi sconosciuti che si collegano per la prima volta dovrebbero fare scattare un allarme. - Tenere un inventario dei software e gestire le patch
Registrate tutti i software in uso e stabilite un processo sistematico di gestione delle patch e del ciclo di vita. Attivate il whitelisting sui dispositivi critici per consentire l’esecuzione esclusivamente di programmi conosciuti e autorizzati. - Adottare configurazioni sicure
Cambiate tutte le password standard e seguite in modo coerente le istruzioni sulla protezione avanzata fornite dal produttore. Le interfacce amministrative non possono mai essere accessibili direttamente da internet. Laddove possibile, occorre attivare la firma digitale dei software. - Creare un’architettura di rete robusta
Le reti ICS e quelle degli uffici devono essere rigorosamente separate e isolate le une dalle altre tramite un concetto delle zone chiaro. Gli accessi da remoto possono essere autorizzati esclusivamente tramite VPN e con un’autenticazione a due fattori. Il traffico di rete deve sempre essere criptato. - Prevedere più livelli di protezione dai malware
Proteggete tutti i sistemi Windows connessi con una protezione antivirus aggiornata. È importante che la protezione antivirus agisca su più livelli, così da consentire che un malware che supera un livello venga riconosciuto in quello successivo. Occorre impedire la connessione diretta dei sistemi a internet. - Prevedere l’autenticazione e l’autorizzazione
Attribuite i diritti di accesso secondo il principio dell’attribuzione minimale dei diritti, anche nei confronti di aziende di manutenzione esterne. Per le interfacce esposte è obbligatoria l’autorizzazione a due fattori. Non sono ammessi account standard con password preimpostate. - Svolgere analisi dei log centralizzate
Raccogliete in modo centralizzato tutti i log di tutte le classi di sistema e analizzateli. Definite una base di riferimento di eventi normali nell’esercizio. Tutto ciò che se ne discosta deve essere chiarito. Gli attacchi riusciti vengono scoperti spesso solo mesi dopo, è quindi decisivo conservare i log per un periodo di tempo sufficientemente lungo. - Predisporre una protezione fisica
La protezione fisica deve comprendere oltre all’ICS vero e proprio, anche i sistemi correlati e gli impianti in uso. Ogni interfaccia fisica costituisce un potenziale punto di accesso e deve quindi essere protetta di conseguenza. - Definire il backup e il ripristino
Definite processi di backup e verificate il ripristino almeno una volta ogni sei mesi. Anche i dati di configurazione devono essere inclusi nel backup. Occorre inoltre verificare regolarmente con valori hash crittografati che i backup siano integri. - Garantire la Security Incident Management
Preparatevi agli incidenti prima che si verifichino, adottando processi chiari, definendo le responsabilità e svolgendo esercizi regolari. Dopo ogni incidente occorre svolgere un’analisi delle cause e derivarne miglioramenti concreti. - Diffondere una cultura della sicurezza
La sicurezza non interessa solamente l’ambito informatico. Deve essere integrata in tutti i processi aziendali e sancita a livello dirigenziale. Creando un ruolo indipendente, che dispone delle risorse e dei poteri necessari, si può garantire che i rischi vengano comunicati alla direzione in modo autentico.
SANS, un istituto di sicurezza degli USA, ha pubblicato 20 elementi chiave che generalmente permettono di proteggere le infrastrutture IT e possono in parte essere applicati anche agli ICS. Ulteriori raccomandazioni sono emesse dall’«US Industrial Control Systems Cyber Emergency Response Team (ICS-CERT)» e dal «National Institute of Standards and Technology (NIST)». Le raccomandazioni dell’UFCS si basano su questi documenti.
Ulteriori informazioni
Standard minimi per le TIC