Le 5 principali sfide per la sicurezza dell'Internet of Things industriale e i modi per superarle

Nel 2010, una centrale nucleare a Natanz, in Iran, è stata vittima del malware Stuxnet che ha preso di mira Simatic Step 7, un prodotto software per la configurazione e il funzionamento di controllori logici programmabili (PLC). L'attacco ha permesso agli hacker di sfruttare le unità PLC della fabbrica e di danneggiare quasi un migliaio di centrifughe per l'arricchimento dell'uranio, infliggendo un duro colpo al programma nucleare del paese.

Nel caso dell’Iran, ciò non è stato necessariamente un fatto negativo; non vogliamo davvero più armi nucleari in giro, vero? Ma immagina se la stessa cosa accadesse alla tua fabbrica o alle tue apparecchiature del valore di diversi milioni di dollari ciascuna, con in gioco la tua reputazione. È sempre utile mettere le cose in prospettiva, vero?

Ciò a cui puntiamo è questo: la tua azienda non può permettersi di prendere alla leggera la sicurezza informatica, in particolare se operi in settori altamente competitivi come la produzione e la gestione della catena di fornitura, e soprattutto se la tua azienda ha attinto allo sviluppo di software dell'Internet delle cose – semplicemente come ha fatto il 72% dei tuoi rivali.

Dal rilevamento di anomalie nelle prestazioni delle apparecchiature prima che si verifichino guasti al monitoraggio dei livelli di inventario in tempo reale utilizzando tag RFID e beacon BLE, ci sono molte interessanti applicazioni e vantaggi IIoT da considerare. Esistono altrettanti modi in cui la tua soluzione IIoT potrebbe compromettere l'intera infrastruttura IT, portando alle seguenti conseguenze:

• Macchinari danneggiati
• Fermi della produzione
• Incidenti in fabbrica
• Violazione dei dati
• Danni alla reputazione
• Perdite finanziarie dirette e indirette causate da tutto quanto sopra

Quali sono i fattori chiave che mettono a rischio la sicurezza dell’IIoT e come può la vostra azienda prevedere e risolvere le sfide della sicurezza dell’IIoT prima che si verifichi una catastrofe? Risolviamo insieme l'enigma!

Panoramica degli errori e delle sfide della sicurezza IIoT

Per motivi di chiarezza, definiamo l'IIoT e i suoi componenti tecnologici prima di approfondire le sue implicazioni sulla sicurezza.

Il termine IIoT si riferisce alla rete interconnessa di macchine, sensori, controllori e sistemi che comunicano e scambiano dati tra loro e piattaforme centrali in ambienti industriali.

Tali sistemi cyber-fisici combinano elementi delle tradizionali apparecchiature industriali con connettività, analisi dei dati e visualizzazione dei dati. Le aziende si rivolgono ai consulenti IIoT per monitorare le operazioni di produzione e di magazzino e automatizzare singoli processi o interi flussi di lavoro.

Dietro le quinte, l’IIoT ha la stessa architettura di ogni altra soluzione Internet of Things (IoT), anche se le implementazioni IoT edge in cui i dati vengono analizzati più vicino ai sensori tendono a prevalere negli ambienti industriali. Le aziende che sfruttano l’IIoT possono acquistare apparecchiature nuove di zecca potenziate con sensori e che supportano la connettività per impostazione predefinita o aggiornare i macchinari esistenti utilizzando kit di retrofit IIoT personalizzati e standardizzati.

Dal punto di vista della sicurezza IIoT, perché è importante capire come funzionano i sistemi IIoT dietro le quinte? I problemi di sicurezza IIoT possono manifestarsi a ogni livello del tuo sistema cyber-fisico, dai controller programmabili alle app legacy contenenti vulnerabilità senza patch. Per mitigare i rischi per la sicurezza IIoT, la tua azienda dovrebbe quindi proteggere tutti gli endpoint sulla tua rete cablata o wireless, proteggere i dati in transito e inattivi e correggere le lacune di sicurezza nelle applicazioni che compongono la tua infrastruttura IT.

Senza ulteriori indugi, esaminiamo quali fattori minano la sicurezza nelle soluzioni IIoT e cosa puoi fare per proteggere i tuoi sistemi cyber-fisici da queste minacce.

Sfida 1: Comunicazioni non protette

Le tecnologie di connettività sono la spina dorsale di tutti i sistemi IoT, indipendentemente dalla complessità e dal campo di applicazione.

Negli ambienti industriali, man mano che sempre più dispositivi e sensori vanno online, emergono più endpoint, canali di comunicazione e soluzioni di archiviazione dei dati. E ciò richiede una combinazione molto diversificata e, preferibilmente, equilibrata di dati e protocolli di rete che soddisfino specifici requisiti di sicurezza IIoT.

Attualmente, fino al 98% di tutto il traffico IoT non è crittografato, il che significa che gli hacker possono facilmente aggirare la prima linea di difesa (ad esempio, apprendendo il login e la password di un utente tramite un attacco di phishing) e mettere le mani sui dati della vostra azienda.

Le pratiche di crittografia inadeguate derivano dall'utilizzo di tecnologie di comunicazione legacy, come Modbus, Profibus e DeviceNet. In effetti, la maggior parte dei protocolli di comunicazione IIoT legacy mancano del tutto di funzionalità di crittografia dei dati, costringendo gli sviluppatori IoT a cercare soluzioni alternative, come l’implementazione di VPN e tunnel o gateway sicuri e la risoluzione dei problemi di crittografia a livello Secure Sockets Layer (SSL)/Transport Layer Security ( livello TLS).

Soluzione

Per proteggere lo scambio di dati tra i componenti di una soluzione IIoT e quindi prevenire incidenti di sicurezza IIoT, ti consigliamo di implementare uno stack tecnologico di connettività a prova di errore composto da quanto segue.

Protocolli dati affidabili

Nell'IIoT, i protocolli dati determinano il modo in cui le informazioni vengono strutturate, codificate e interpretate dai dispositivi. Se la tua azienda opta per un'implementazione IIoT cablata, potresti facilitare lo scambio di dati tra apparecchiature connesse e gateway tramite protocolli Ethernet, come Profinet, EtherNet/IP e Modbus TCP/IP.

Sebbene questi protocolli non supportino intrinsecamente la crittografia dei dati, gli sviluppatori IIoT possono comunque rendere i dati illeggibili a terze parti implementando lo stack tecnologico TLS/SSL a livello di trasporto o introducendo dispositivi intermediari, come gateway o firewall sicuri, tra i dispositivi connessi e il sistema. rete. Se cerchi un protocollo dati più flessibile per soluzioni IIoT e di automazione industriale, ti consigliamo vivamente il protocollo OPC Unified Architecture (OPC UA), che supporta la crittografia end-to-end, utilizza certificati digitali X.509 per l'autenticazione dei dispositivi e può essere utilizzato in soluzioni IIoT sia cablate che wireless.

Quando costruisce sistemi IIoT wireless, il team ITRex di solito si attiene a Message Queuing Telemetry Transport (MQTT), Constrained Application Protocol (CoAP), Advanced Message Queuing Protocol (AMQP), WebSocket o API RESTful con HTTPS. Questi protocolli moderni offrono funzionalità di crittografia tramite TLS/SSL o Datagram Transport Layer Security (DTLS) e aiutano a stabilire canali di comunicazione sicuri tra apparecchiature connesse, gateway e server cloud.

Per ulteriori informazioni sui protocolli dati e sul loro impatto sulla sicurezza IIoT, prenota una consulenza gratuita con il nostro team di ricerca e sviluppo.

Protocolli di rete sicuri

A differenza dei protocolli dati, che si occupano principalmente dello scambio di informazioni e dell’interoperabilità, i protocolli di rete definiscono regole, standard e procedure su come i dispositivi sono collegati, come vengono trasmessi i dati e come i componenti di un sistema IIoT interagiscono all’interno di una rete.

Dal punto di vista della sicurezza IIoT, i protocolli di rete possono rappresentare obiettivi interessanti per gli hacker. Le ragioni di ciò includono meccanismi limitati di controllo degli accessi e di autenticazione e la mancanza di funzionalità di crittografia dei dati. A seconda dell'architettura di rete (ad esempio modelli punto-punto, a stella o mesh) e dei casi d'uso previsti, è possibile utilizzare vari protocolli di rete per affrontare le sfide della sicurezza IIoT. Questi protocolli comprendono Data Distribution Service (DDS), Low Power Wide Area Network (LoRaWAN), Zigbee, WirelessHART e Narrowband IoT (NB-IoT).

Per selezionare lo stack tecnologico di connettività appropriato che soddisfi tutte le tue esigenze di sicurezza IIoT, è importante considerare il tipo di sistema cyber-fisico che stai cercando di costruire, la portata di trasmissione dei dati richiesta e i requisiti di consumo energetico. Questo può essere fatto durante la fase di scoperta del tuo progetto IoT.

Sfida 2: pratiche di aggiornamento software inadeguate

A differenza di computer, tablet e smartphone, i dispositivi IoT non supportano i sistemi di sicurezza degli endpoint, come i programmi antivirus, semplicemente perché spesso eseguono software incorporato altamente personalizzato o obsoleto o sono specificamente progettati per essere piccoli ed efficienti dal punto di vista energetico.

Sebbene sia possibile risolvere parzialmente le sfide relative alla sicurezza IIoT introducendo firewall, rilevamento e prevenzione delle intrusioni (IDP), insieme a meccanismi di controllo dei dispositivi a livello di rete, l'aggiornamento delle applicazioni che costituiscono l'ecosistema software IIoT alla versione più recente diventa fondamentale per risolvere eventuali problemi di sicurezza IIoT. .

Parlando di software IIoT, dobbiamo tracciare il confine tra i sistemi embedded, come firmware, middleware e sistemi operativi (OS), e il software ordinario: si pensi alle applicazioni web, desktop e mobili che facilitano la gestione dei dispositivi.

A causa dei vincoli di progettazione dei dispositivi IIoT e del gran numero di endpoint all’interno di un sistema cyber-fisico, l’applicazione di patch alle vulnerabilità della sicurezza del software IIoT è un compito che poche aziende industriali possono affrontare. Ecco perché fino al 65% dei produttori utilizza ancora sistemi operativi obsoleti, pieni di vulnerabilità di sicurezza zero-day.

Soluzione

Per mitigare i rischi legati alla sicurezza informatica dell’IIoT, un’azienda industriale deve disporre di un efficiente meccanismo di gestione degli aggiornamenti software.

Qui a ITRex siamo forti sostenitori degli aggiornamenti software e firmware via etere (OTA). In questo scenario, una piattaforma basata su cloud basata su AWS IoT Device Management, Azure IoT Hub o soluzioni SaaS preconfigurate come Bosch IoT Rollouts fornisce automaticamente aggiornamenti software a dispositivi edge, controller e gateway.

Una piattaforma di gestione dei dispositivi adeguatamente configurata manterrà inoltre traccia migliore del parco dispositivi, ottimizzerà l'implementazione degli aggiornamenti alla luce delle impostazioni specifiche del dispositivo e dei requisiti di sicurezza e avviserà il team IT in caso di emergenza.

Sfida 3: misure di sicurezza fisica inadeguate

A parte la sicurezza della rete IIoT, un'azienda industriale consapevole del cyber dovrebbe anche impedire ai criminali informatici e agli addetti ai lavori malintenzionati di rubare l'hardware con l'obiettivo di scansionare l'interno dei dispositivi e infestarli con virus e programmi di spionaggio.

Misure di sicurezza fisica insufficienti non solo compromettono l’integrità e la riservatezza dei dati sensibili, ma portano anche a interruzioni del servizio, tempi di inattività operativa e perdite finanziarie. Le ripercussioni delle vulnerabilità della sicurezza fisica possono estendersi oltre il loro impatto immediato, mettendo potenzialmente in pericolo la sicurezza pubblica e le infrastrutture critiche.

Soluzione

Per affrontare i problemi di scarsa sicurezza fisica nell’IIoT, è necessario un approccio articolato. Ecco cosa dovrebbe fare la tua azienda nell'ambito della revisione della sicurezza fisica IIoT.

Dare priorità all’implementazione di robusti meccanismi di controllo degli accessi

Ciò include misure come il controllo degli accessi basato sui ruoli (RBAC) alle apparecchiature connesse, l'autenticazione biometrica e la videosorveglianza basata sulla visione artificiale, nonché l'implementazione di sistemi di rilevamento delle intrusioni

Condurre controlli regolari sulla sicurezza fisica e valutazioni dei rischi

Gli audit di sicurezza IIoT aiutano a identificare tempestivamente le vulnerabilità. Aiutano inoltre a sviluppare strategie di mitigazione adeguate. Questo approccio proattivo consente alle organizzazioni di stare un passo avanti rispetto alle potenziali minacce e di adottare misure preventive per salvaguardare i propri sistemi IIoT. In pratica, ciò significa disconnettere dalla rete i dispositivi che presentano segni di manomissione, nascondere i marchi del produttore sui dispositivi e, ove possibile, rimuovere componenti non necessari della soluzione IIoT per evitare eventi di reverse engineering

Implementare programmi completi di formazione dei dipendenti

Aumentare la consapevolezza sui rischi per la sicurezza fisica e sulle migliori pratiche è fondamentale per rafforzare la sicurezza informatica dell’IIoT (ne parleremo più avanti). Anche la collaborazione tra i team IT e di sicurezza fisica è fondamentale. Questa partnership garantisce un approccio olistico alla sicurezza, in cui sia gli aspetti digitali che quelli fisici vengono considerati e sincronizzati per fornire una solida protezione contro le minacce emergenti alla sicurezza.

Sfida 4: Visibilità limitata sui dispositivi e sull'attività di rete

Fino al 90% delle organizzazioni riferisce di avere dispositivi IoT ombra sulla propria rete, con il 44% degli intervistati che ammette che tali dispositivi erano collegati all’insaputa dei team IT o di sicurezza.

Di conseguenza, molti dipendenti aziendali non sono consapevoli di quali dispositivi comunicano tra loro, né del tipo di informazioni che raccolgono e scambiano, né se tali informazioni siano inaccessibili a terzi. E il fatto che gli audit di sicurezza IIoT vadano ben oltre l’identificazione delle soluzioni hardware in base al loro IP e al sistema operativo non fa altro che complicare la questione.

Soluzione

È possibile eseguire diversi passaggi per ottenere visibilità sui dispositivi e sulla rete nelle distribuzioni IIoT.

• Analizza tutte le comunicazioni di rete utilizzando soluzioni DPI (Deep Packet Inspection).
• Raccogli informazioni esaustive sul dispositivo, inclusi tipo di hardware, modello, numero di serie e versioni del sistema integrato.
• Raggruppa i tuoi dispositivi in ​​base al tipo, alla funzione, alla mission critical e ai potenziali rischi per la sicurezza IIoT.
• Crea reti locali virtuali (VLAN) per ogni gruppo di dispositivi per migliorare la visibilità e il controllo del traffico.
• Utilizza piattaforme affidabili di gestione dei dispositivi, come AWS IoT Core, Azure IoT Hub e PTC ThingWorks, per migliorare gli inventari dei dispositivi, il monitoraggio, la configurazione, l'implementazione degli aggiornamenti e la risoluzione dei problemi.

Sfida 5: Formazione e consapevolezza informatica dei dipendenti insufficienti

Come accennato in precedenza, la mancanza di collaborazione e coordinamento tra i team di tecnologia informatica (IT) e quelli di tecnologia operativa (OT) può comportare pratiche di gestione della sicurezza IIoT inadeguate.

Sebbene gli operatori delle apparecchiature e i gestori delle fabbriche possano prendersi cura adeguatamente delle macchine connesse, spesso sanno poco delle tecnologie integrate e di connettività che le alimentano. I team IT, al contrario, sono esperti nella tradizionale sicurezza delle informazioni, ma tendono a trattare le soluzioni IIoT come un normale hardware.

Ciò può portare a livelli di patch bassi, visibilità limitata sull’attività di rete e configurazioni errate dei sistemi IIoT. Inoltre, i criminali informatici possono sfruttare la conoscenza limitata dei dipendenti delle migliori pratiche di sicurezza IIoT attraverso attacchi di phishing e furto d'identità. Il tuo team potrebbe anche scegliere password deboli o riutilizzarle in più applicazioni, il che potrebbe aprire una backdoor nella tua infrastruttura IT, minando la sicurezza del software IIoT.

Soluzione

Ecco un piano di alto livello che potrebbe aiutare la tua azienda ad aumentare la consapevolezza della sicurezza informatica tra i dipendenti.

Crea programmi di formazione specificatamente adattati all'ambiente IIoT

Questi programmi dovrebbero coprire argomenti quali i fondamenti della sicurezza informatica, la sicurezza dei dispositivi IoT, le pratiche di configurazione sicura, l’igiene delle password, il riconoscimento e la segnalazione di potenziali incidenti di sicurezza e la conformità con le politiche e le procedure di sicurezza interne.

Condurre sessioni di formazione regolari per garantire che i dipendenti rimangano aggiornati sulle ultime minacce e best practice per la sicurezza informatica

Questo può essere fatto attraverso workshop, seminari, webinar o moduli di formazione online nel tuo sistema di gestione dell'apprendimento (LMS). Nell'ambito delle attività di formazione, ad esempio, potresti insegnare al tuo personale a riconoscere e rispondere alle minacce alla sicurezza IIoT attraverso simulazioni di phishing e test di penetrazione. Dovresti inoltre adattare i programmi di formazione a specifiche funzioni lavorative, assicurando che i dipendenti ricevano la formazione pertinente alle loro responsabilità. Ad esempio, il personale IT potrebbe richiedere una formazione più tecnica, mentre i dipendenti operativi potrebbero aver bisogno di formazione sull'utilizzo sicuro dei dispositivi e sulla sicurezza fisica.

Sviluppare policy e procedure complete che affrontano le sfide della sicurezza IIoT

Comunicare queste politiche in modo efficace ai dipendenti e assicurarsi che comprendano i propri ruoli e responsabilità nel mantenimento della sicurezza. Rivedi e aggiorna regolarmente queste politiche man mano che la tecnologia e le minacce evolvono.

Promuovi una cultura di consapevolezza e responsabilità in materia di sicurezza IIoT in tutta l'organizzazione

Incoraggiare i dipendenti a segnalare tempestivamente eventuali incidenti di sicurezza o attività sospette. Sottolineare che la sicurezza informatica è responsabilità di tutti, dal top management al personale in prima linea, e premiare i dipendenti che dimostrano buone pratiche di sicurezza.

Valuta la possibilità di collaborare con esperti o consulenti IIoT esterni per condurre valutazioni della sicurezza

Gli esperti esterni possono apportare informazioni preziose, best practice del settore e le più recenti informazioni sulle minacce per migliorare i programmi di formazione dei dipendenti. Inoltre, possono aiutarti a introdurre le cosiddette pratiche di “sicurezza fin dalla progettazione” nel processo di sviluppo del software IIoT e a individuare requisiti funzionali e non funzionali per le distribuzioni IIoT.

Una nota finale

I tassi di adozione dell’IIoT sono aumentati vertiginosamente negli ultimi anni, così come gli attacchi di alto profilo che hanno preso di mira le infrastrutture IIoT critiche.

Secondo un recente sondaggio di Check Point, nei primi due mesi del 2023, il 54% delle aziende ha subito attacchi legati all’IoT, con una stima di 60 attacchi a settimana per organizzazione (il 41% in più rispetto allo scorso anno). Tra i dispositivi più suscettibili agli attacchi degli hacker figurano i router, i videoregistratori di rete e le telecamere IP: in breve, l'hardware che costituisce la spina dorsale dell'infrastruttura IT di ogni azienda.

Anche se il tuo team IT segue le migliori pratiche di sicurezza IIoT durante tutto il processo di sviluppo e implementazione, non vi è alcuna garanzia che gli hacker non esercitino il controllo sulle apparecchiature e sui dati sfruttando le vulnerabilità nelle app e nei dispositivi esterni all'ecosistema IIoT. Ecco perché la tua azienda ha bisogno di una strategia di sicurezza onnicomprensiva: questo è ciò che ITRex può fare per te!

Se stai pensando di lanciare un progetto pilota IIoT o hai bisogno di aiuto per adattare un proof of concept (PoC) IIoT ad altri casi d'uso, scrivici! Siamo esperti di analisi aziendale, ingegneria di sistemi integrati, cloud computing e DevOps, nonché di sviluppo di applicazioni per l'utente finale.

Questo articolo è stato originariamente pubblicato sul sito itrex.