L'elemento umano fa sempre la differenza, anche quando si parla di cybersecurity. Non a caso, in combinazione con le tecnologie, in questo ambito si insiste molto sul valore della competenze.
In questa direzione, già oggi, gli scenari più evoluti mirano a ecosistemi virtuosi che trascendono la singola impresa, per allargarsi all'orizzonte dell'intera filiera.
La strada per un approccio tanto avanzato è illustrata da Umberto Cattaneo, EURA Regional Cyber Security Business Consultant Lead di Schneider Electric.
In ambito industriale quali sono oggi i principali rischi in termini di cybersicurezza?
Le aziende oggi devono affrontare rischi più elevati che in passato; negli ultimi mesi abbiamo visto che i cyber criminali hanno preso di mira in modo più vasto e strutturato le aziende dei paesi europei. Ciò si inserisce anche nel quadro internazionale che stiamo vivendo, ma è una tendenza costante, che ha fatto vittime illustri.
Questa maggiore visibilità sugli attacchi sta aumentando anche la consapevolezza dell’entità e del livello di esposizione al rischio informatico: questo è positivo, ma ancora troppe imprese non hanno ben chiaro, ad esempio, quanto sia rilevante difendere i processi e sistemi OT. Si tende a pensare che gli effetti di un attacco siano “le perdite di dati”, magari con relative richieste di riscatto: in realtà nel settore industriale un attacco incide sulla produzione, sulla sicurezza, su molti altri livelli oltre a quello informativo, e provocare danni fisici ed economici rilevanti con effetti che si possono protrarre per anni
È in questa intersezione tra IT e OT che si colloca anche una terza sfida per le industrie, legata alla mancanza di personale con le competenze specifiche e integrate necessarie per stilare un piano di mitigazione dei rischi e applicarlo in ambito industriale.
Per aiutare ad affrontare tutto questo, potrebbe essere utile che a livello istituzionale si indirizzino maggiormente le risorse disponibili, come incentivi e opportunità legate al digitale, verso la cybersecurity: fare in modo che questo tema diventi un target degli investimenti per la modernizzazione delle aziende.
Quali strategie dovrebbe implementare un’azienda manifatturiera per proteggere efficacemente i propri sistemi e processi industriali?
La prima cosa da fare è assicurarsi di conoscere esattamente, nel dettaglio, quali siano gli elementi del proprio business che sono connessi: sensori, macchinari, controllori, sistemi che si aprono verso l’esterno ecc., così da potere individuare in modo preciso i rischi e le vulnerabilità, per sviluppare un piano di protezione, e di “remediation” strutturato e su tutti i livelli, per affrontare eventuali attacchi a diversi livelli di sofisticazione. È un processo che richiede del tempo e può essere implementato in modo “scalare”, iniziando dagli elementi più critici, ma senza trascurare nulla.
In parallelo va creata in azienda un’attività che migliori la consapevolezza sui rischi e sui comportamenti corretti da adottare, rivolta a tutti i dipendenti e a tendere a tutta la catena di fornitura e del valore di cui l’azienda è parte, perché ancora oggi il fattore umano è l’anello debole, in grado di vanificare anche le protezioni di cybersecurity più evolute.
Un'azione semplice ma efficace può essere, ad esempio, fare periodicamente dei test che verifichino le reazioni dei dipendenti a email del tipo che normalmente portano attacchi di phishing o aprono le porte a malware e ransomware, così da abituare ad avere sempre il giusto livello di attenzione e i giusti comportamenti.
Quali sono le caratteristiche salienti della vostra offerta di prodotto e servizi per la cybersecurity dei sistemi industriali?
Saliente nell’offerta Schneider è l’integrazione della cybersecurity “end-to-end” nei nostri prodotti su tutti e tre i livelli dei componenti connessi, dei sistemi di controllo, delle app analytics e servizi integrati nella nostra piattaforma EcoStruxure. Ci avvaliamo di partnership con i leader di settore per sviluppare offerte sempre più complete; lavoriamo per aumentare man mano l’offerta di prodotti certificati secondo i “Security Level” dello standard IEC 62443 specifico sulla cybersecurity e su questo standard basiamo anche lo sviluppo di progetti, di sistemi, e tutto il nostro approccio.
Parallelamente stiamo lavorando su noi stessi. Sappiamo che oggi gli attacchi informatici possono passare anche attraverso la supply chain e, in quanto fornitori di tecnologie stiamo lavorando per incrementare ancora di più il nostro livello di maturità in termini di competenze cybersecurity delle nostre persone, della messa in pratica delle policy in azienda e anche a livello di impianti e misure di sicurezza negli stabilimenti. Si tratta di unire la compliance, la sicurezza, la fiducia reciproca in modo da creare una filiera industriale sempre più protetta, con un approccio che fa già parte delle richieste dei nostri clienti più evoluti.
