Sicurezza informatica e sistemi SCADA: sfide e soluzioni

I sistemi SCADA (Supervisory Control and Data Acquisition) corrispondono ad una categoria di applicazioni software utilizzate per il controllo di processi industriali. Consente di raccogliere dati in tempo reale da postazioni remote al fine di gestire apparecchiature e monitorare le condizioni operative.
SCADA fornisce alle organizzazioni gli strumenti necessari per prendere decisioni basate sui dati e applicarle ai propri processi industriali.

Essendo uno dei sistemi di controllo industriale più diffusi, SCADA può essere utilizzato per gestire quasi qualsiasi tipo di processo industriale.

I sistemi SCADA sono composti da componenti hardware e software.
L’hardware di SCADA raccoglie i dati e li invia ai sistemi di controllo sul campo, che a loro volta inoltrano i dati ad altri sistemi per l’elaborazione e la presentazione in modo tempestivo su un’interfaccia uomo-macchina (HMI). I sistemi SCADA registrano e archiviano tutti gli eventi, consentendo di monitorare lo stato del processo e segnalare eventuali problemi.

Inoltre, le applicazioni SCADA attivano allarmi quando le condizioni operative diventano pericolose.

1. La nascita di SCADA
2. Quali sono le sfide dei sistemi di sicurezza SCADA?
3. Best practice per la cybersicurezza SCADA
4. Framework di Cybersicurezza NIST: un approccio strutturato
5. ISA/IEC 62443: sicurezza Cross-Layer
6. Strategie per rafforzare i sistemi SCADA

La nascita di SCADA

Per comprendere le origini del sistema SCADA, dobbiamo innanzitutto capire i problemi che le organizzazioni industriali cercavano di risolvere. Prima dell’introduzione del concetto di SCADA, a metà del XX secolo, molti impianti produttivi, fabbriche e siti remoti facevano affidamento su personale che controllava e monitorava manualmente le apparecchiature tramite pulsanti e quadranti analogici.

Con l’espansione degli impianti e delle strutture industriali, divenne necessario trovare soluzioni in grado di gestire le apparecchiature a distanza.
Le organizzazioni cominciarono a utilizzare relè e temporizzatori per offrire un certo livello di controllo senza dover inviare tecnici in loco per ogni intervento.

Sebbene l’uso di relè e temporizzatori abbia risolto molti problemi, fornendo una prima forma di automazione, emersero nuove difficoltà con l’aumento delle dimensioni e della complessità dei processi. Questi sistemi erano infatti difficili da riconfigurare e da diagnosticare, e i pannelli di controllo occupavano intere file di rack. Divenne chiaro che era necessario un sistema più efficiente e completamente automatizzato.

Nei primi anni ’50, i computer iniziarono a essere sviluppati per il controllo industriale.
Il controllo supervisore cominciò a diffondersi tra le principali utility, le aziende di gas e petrolio e altri settori industriali. Negli anni ’60, con lo sviluppo della telemetria, fu possibile monitorare i dati provenienti da siti remoti e trasmetterli automaticamente alle apparecchiature di controllo. Il termine SCADA venne coniato nei primi anni ’70, quando l’avvento dei microprocessori e dei PLC (Programmable Logic Controllers) permise alle aziende di monitorare e controllare i processi automatizzati in maniera più efficiente.

Quali sono le sfide dei sistemi di sicurezza SCADA?

Sistemi legacy
I sistemi SCADA sono stati costruiti decenni fa, senza considerare l’aspetto della sicurezza informatica. Di conseguenza, questi sistemi utilizzano frequentemente tecnologie obsolete e mancano di funzionalità di sicurezza moderne, come la crittografia delle informazioni e l’autenticazione, rendendoli vulnerabili agli attacchi informatici.

Convergenza IT/OT
Storicamente, i sistemi IT e OT sono stati gestiti separatamente, con team diversi responsabili per ogni area.
Poiché i sistemi SCADA sono sempre più connessi alle reti IT, si creano ulteriori punti di ingresso per potenziali attacchi informatici, aumentando la superficie di attacco.

Strumenti IT tradizionali
Ad aggravare la sfida della convergenza IT/OT c’è il fatto che gli strumenti di sicurezza IT tradizionali non possono essere utilizzati per proteggere gli ambienti OT. Questo è dovuto al fatto che i sistemi OT tendono ad avere architetture hardware e software uniche, protocolli specializzati e requisiti prestazionali diversi, rendendo inefficaci gli strumenti tradizionali. Se utilizzati, gli strumenti tradizionali possono interferire con i processi critici, causando perdita di produzione o, ancora peggio, problemi di sicurezza.

Vulnerabilità delle componenti fisiche
Gli elementi costitutivi dei sistemi di controllo industriale (come le unità centrali di supervisione, i terminali remoti e i dispositivi elettronici intelligenti) possono presentare punti deboli strutturali che i malintenzionati potrebbero sfruttare. In particolare, le unità terminali remote, essendo dotate di risorse computazionali limitate e memoria ridotta, sono particolarmente esposte a tecniche di attacco che puntano a sovraccaricare la loro capacità di gestione dei dati, causando potenziali malfunzionamenti o interruzioni del servizio.

Accesso remoto
Molti sistemi SCADA mancano di controlli adeguati per l’accesso remoto OT, rendendo più facile per i criminali informatici ottenere accesso non autorizzato ai sistemi critici. Devono anche affrontare il problema degli utenti interni e di terze parti che richiedono l’accesso remoto ai sistemi SCADA per manutenzione e altri scopi. Se non gestito correttamente, l’accesso remoto può bypassare le misure di segmentazione della rete e causare una superficie di attacco ampliata, introducendo nuovi punti di ingresso per le minacce informatiche.

Requisiti normativi
La conformità alle normative può essere estremamente complessa, rendendo difficile per le organizzazioni comprendere cosa è richiesto e come implementare le necessarie misure di sicurezza. Questo è particolarmente vero con i sistemi SCADA, dove i requisiti normativi spesso non sono ben definiti o sono soggetti a frequenti cambiamenti.

Best practice per la cybersicurezza SCADA

Vedremo ora dei framework essenziali, che non solo offrono un modello per proteggere le infrastrutture critiche, ma forniscono anche un approccio strutturato per gestire e mitigare i rischi di sicurezza informatica.

Modello Purdue: stratificazione in livelli distinti

Il modello Purdue, ufficialmente noto come Purdue Enterprise Reference Architecture (PERA), riveste particolare importanza nel contesto della cybersicurezza per i sistemi di controllo industriale. Questo modello facilita una chiara separazione tra le funzioni a livello aziendale (come le reti IT aziendali) e le funzioni a livello operativo (come i processi di produzione).
Tale separazione garantisce sia l’efficienza operativa che la sicurezza informatica, attraverso i seguenti livelli:

1. Livello 0 – Processo fisico: è il livello più basso e comprende i macchinari fisici e i processi controllati, come sensori, attuatori e altri dispositivi sul campo.
2. Livello 1 – Controllo base: include i dispositivi che controllano direttamente i processi fisici, come i controllori logici programmabili (PLC).
3. Livello 2 – Controllo supervisivo di area: questo strato coinvolge i sistemi di controllo supervisivo, inclusi i sistemi SCADA, che monitorano e gestiscono i dispositivi di controllo base.
4. Livello 3 – Operazioni del sito: si concentra sulla gestione delle operazioni, integrando i sistemi di controllo tra diverse aree del sito per la pianificazione della produzione, la gestione dei lotti e altro.
5. Livello 4 – Gestione aziendale: collega l’ambiente operativo al lato business dell’azienda, includendo sistemi ERP e altre funzioni di gestione aziendale.
6. Livello 5 – Rete aziendale: anche se non incluso in tutte le interpretazioni del modello Purdue, questo livello rappresenta la rete aziendale più ampia, comprendendo l’accesso a Internet e le comunicazioni esterne.

Il modello Purdue fornisce un linguaggio universale che facilita una migliore comunicazione e comprensione tra vari stakeholder, inclusi ingegneri, professionisti IT ed esperti di cybersicurezza.

Framework di Cybersicurezza NIST: un approccio strutturato

Il Framework di Cybersicurezza del National Institute of Standards and Technology (NIST) è un framework volontario destinato principalmente alle organizzazioni di infrastrutture critiche per gestire e mitigare il rischio informatico.
L’incorporazione del framework NIST nelle strategie di cybersicurezza dei sistemi SCADA rafforza significativamente le loro difese contro le minacce informatiche. Questo insieme completo di raccomandazioni serve come modello per identificare le vulnerabilità, implementare misure protettive robuste, monitorare continuamente le minacce e rispondere e riprendersi rapidamente dagli incidenti.

ISA/IEC 62443: sicurezza Cross-Layer

ISA/IEC 62443 è una serie di standard sviluppati dalla International Society of Automation (ISA) insieme alla International Electrotechnical Commission (IEC) che si concentra sulla sicurezza dei sistemi di automazione e controllo industriale. Fornisce un framework strutturato per affrontare e mitigare le vulnerabilità attuali e future nei sistemi di automazione e controllo industriale. Gli standard all’interno di ISA/IEC 62443 sono progettati per fornire orientamento su vari aspetti, dalla sicurezza delle reti di comunicazione industriale alla gestione della sicurezza dei componenti dei sistemi di automazione e controllo industriale.

Strategie per rafforzare i sistemi SCADA

Le strategie reali per il rafforzamento dei sistemi SCADA spesso si arenano nella fase di implementazione.
Se il passaggio iniziale di audit per identificare le vulnerabilità è chiaro, il passaggio alla mitigazione e al monitoraggio continuo si rivela impegnativo per molte organizzazioni. Gli ostacoli comuni includono soluzioni tecniche complesse, risorse limitate, preoccupazioni legate alle interruzioni operative e una carenza di competenze in cybersicurezza.
Per colmare questo divario è molto importante avere un programma gestito completo con un partner fidato, focalizzato sia sull’identificazione delle vulnerabilità che sulla costruzione di un meccanismo di difesa robusto.

I componenti chiave di tale programma includono:

1. Allineamento agli standard: per stabilire una base solida, adottare e aderire a framework chiave di cybersicurezza come il NIST Cybersecurity Framework e ISA/IEC 62443.
2. Sviluppo e implementazione del piano di sicurezza: l’implementazione della segmentazione della rete, del controllo degli accessi e il dispiegamento di sistemi di sicurezza come firewall e sistemi di rilevamento/prevenzione delle intrusioni richiede una pianificazione attenta per minimizzare le interruzioni delle operazioni.
3. Pianificazione della manutenzione e dei test: le modifiche in sistemi complessi raramente sono plug-and-play. I test sono necessari per mantenere configurazioni sicure e gestire aggiornamenti regolari.
4. Sicurezza fisica: combinare gli sforzi di sicurezza informatica e fisica per proteggere l’infrastruttura. Monitorare e controllare l’accesso fisico.
5. Documentazione: mantenere una documentazione chiara e facilmente accessibile per la gestione continua della sicurezza, inclusi i contatti per la manutenzione degli asset.
6. Politiche e procedure: sviluppare, documentare e comunicare le politiche di cybersicurezza per garantire che siano integrate nella cultura e nelle pratiche organizzative.
7. Formazione: educare i dipendenti per garantire che le politiche siano ampiamente comprese e applicate.
8. Gestione del rischio dei fornitori: valutare e gestire i rischi derivanti da fornitori terzi e fornitori di servizi.
9. Testdi simulazione: condurre esercitazioni di addestramento in un ambiente controllato per prepararsi al recupero da incidenti reali e migliorare le capacità di risposta.
10. Monitoraggio continuo: fornire supporto continuo nella gestione delle misure di cybersicurezza che si estende oltre l’audit per includere la mitigazione e il monitoraggio.

L’adozione di un approccio programmatico non solo affronta le vulnerabilità immediate, ma stabilisce anche un framework per una resilienza cybersecurity sostenuta, garantendo che le organizzazioni possano navigare efficacemente le complessità della protezione dei sistemi SCADA nel lungo termine.