In molti settori industriali, i dati che vengono generati e raccolti dai sistemi nel corso dell’intero ciclo di vita del prodotto sono importanti tanto quanto il prodotto stesso
Dall’arresto della filiera produttiva al furto di dati sanitari sensibili, fino alla manomissione di servizi pubblici primari, una cosa è certa: la continua evoluzione delle minacce digitali coinvolge sempre più sovente i sistemi industriali OT. Con impatti sia in termini di interruzione della produzione sia di perdite finanziarie e conseguenze potenziali su larga scala. Perché le conseguenze possono uscire dall’ambito strettamente tecnologico per andare a interessare un pubblico potenzialmente più ampio, che si tratti di utenti di un servizio o di semplici cittadini consumatori.
È sotto gli occhi di tutti che negli ultimi tempi l’adozione del digitale è aumentata a un ritmo mai visto prima e anche aziende tradizionalmente “caute” come quelle del Life Science (farmaceutiche, biotech, dispositivi medici, ecc.) si sono rapidamente spostate verso lavoro a distanza e sistemi basati su cloud. Come confermato anche dai dati raccolti nel “Barometro della trasformazione digitale” di Iconsulting, il settore farmaceutico ha aumentato il budget investito in iniziative digitali del 168% tra 2020 e 2021.
Innovazioni e nuove tecnologie hanno condotto alla creazione di ambienti ibridi e multicloud e a una più marcata convergenza e interdipendenza tra IT e OT. Inoltre, l’adozione di IoT industriali (IIoT) apre nuovi problemi di sicurezza perché costringe anche i dispositivi e i sistemi di tecnologia operativa (OT) legacy in produzione a convergere con le reti IT, lasciandoli esposti a un più ampio spettro di minacce derivante proprio dalla convergenza IT/OT.
Un piano efficace di OT/IIoT security deve prevedere una verifica approfondita e completa delle topologie di reti da proteggere, in modo da evidenziarne eventuali vulnerabilità strutturali, accertarsi della quantità e tipologia di connessioni da e verso l’esterno, comprendere l’estensione della superficie esposta a incidenti e attacchi.
Per garantire la protezione dell’intera filiera è necessario un approccio che includa tutti gli aspetti di gestione delle attività, da quelle amministrative al controllo degli impianti di produzione, per definire una strategia di sicurezza IT/OT che consenta di individuare e proteggere tutti i componenti critici. In particolare, le aziende dei settori legati alla salute generano e possiedono dati dal valore di miliardi di euro, che includono proprietà intellettuale, informazioni legate alla ricerca e allo sviluppo di tecnologie farmaceutiche, oltre a dati su pazienti e studi clinici. La crescente adozione di soluzioni offerte da fornitori di terze parti, di dispositivi IoT e le attività in ambito medicale, legate anche allo sviluppo di vaccini, ha reso il settore sanitario un obiettivo ancor più allettante per i cybercriminali, aumentando il livello di rischio.
Nel Life Science, si dice spesso che “il dato equivale al prodotto”: le aziende non possono consegnare a ospedali e farmacie un lotto di medicinale se tutti i dati raccolti in fase di produzione non sono stati controllati e associati. Questo intensifica la necessità di proteggere non solo i sistemi di produzione e confezionamento, ma anche infrastruttura, storage e database dove sono raccolte e archiviate le informazioni. Oltre alla protezione di server ed endpoint, è di vitale importanza garantire integrità e disponibilità di macchine, linee di produzione, reti e connessioni. Un attacco informatico – che in passato sarebbe stato considerato come un problema a livello IT – è in grado di avere serie e gravi ripercussioni sulla continuità produttiva, come testimoniano numerosi fatti di cronaca.
Confermando ancora una volta il vecchio adagio “prevenire è meglio che curare”, solo una strategia preventiva di protezione basata sull’analisi e sulla correlazione dei dati provenienti da più ambiti, in particolare OT e IT, consente di raggiungere la visibilità sufficiente per affrontare le minacce prima che diventino critiche, in qualche caso prima ancora che si manifestino.
Enzo Maria Tieghi comitato scientifico Clusit
