Le autorità di regolamentazione stanno aumentando la pressione sulle organizzazioni industriali per implementare solide misure di sicurezza informatica. Nuovi obblighi, come il regolamento sulla gestione del rischio informatico della Securities and Exchange Commission (SEC) degli Stati Uniti e la Direttiva NIS2 dell'Europa, rendono urgente la necessità di proteggere meglio le operazioni OT. Le normative si aggiungono alle crescenti sfide che le aziende industriali devono affrontare a causa di fattori come gli accessi da remoto, le vulnerabilità delle supply chain e la convergenza IT/OT.
Per superare questi ostacoli, Rockwell Automation raccomanda alle organizzazioni industriali i seguenti sei passi per ridurre i rischi di cybersecurity, modernizzare le operazioni e stare al passo con il cambiamento.
1. Eseguire una valutazione dei rischi
Per capire dove sono i rischi maggiori, iniziate identificando gli asset critici. Esistono strumenti automatici per il rilevamento delle minacce industriali che servono a capire esattamente cosa è connesso alle vostre reti, nonché la postura del rischio di sicurezza di ogni asset o dispositivo.
Considerate poi i penetration test OT. Tali test possono rivelare falle nell’architettura di rete, negli asset e nelle politiche o nei processi, spesso utilizzate per violare i sistemi.
Consultate le seguenti risorse per ottenere informazioni preziose sulla valutazione dei rischi:
- NIST SP 800-30 – fornisce indicazioni su come condurre le valutazioni dei rischi
- ISO/IEC 27005 – fornisce le linee guida per la gestione dei rischi per la sicurezza informatica
- Valutazione della preparazione alla cybersecurity industriale di Rockwell Automation — permette di ottenere una rapida valutazione della preparazione della vostra azienda in ambito di sicurezza informatica e delle potenziali lacune presenti
2. Stabilire la priorità degli interventi di miglioramento
Adottate un approccio basato sui rischi per stabilire la priorità degli interventi di miglioramento della sicurezza, concentrandovi prima sui problemi più critici. La valutazione dei rischi descritta nel primo passo può fornire informazioni utili sulle problematiche. Per avere un contesto più ampio, ponetevi domande come:
- Quanto è importante questo asset o questo processo per le attività di produzione, i tempi di operatività, l’integrità dei dati o altri fattori critici per l’’azienda ?
- Come vengono protetti gli asset critici? Le protezioni attuali permettono di ridurre i rischi? Vi sono protezioni mancanti che ridurrebbero notevolmente il rischio di una violazione di sicurezza informatica?
- Quale sarebbe il costo potenziale in caso di attacco, inclusi tempi di fermo, problemi di conformità, sanzioni, danni alla reputazione e altri fattori importanti per l’azienda?
È necessario comprendere la tolleranza ai rischi della propria azienda prima di poter stabilire le priorità e apportare dei miglioramenti. In ultima analisi, il livello di rischio che la vostra azienda è disposta ad accettare è ciò che guiderà le vostre decisioni. Per prendere la decisione migliore, è bene applicare una metodologia di quantificazione dei rischi e dei potenziali costi.
3. Creare un piano di risposta agli incidenti informatici
Le tempistiche imposte dalla NIS2 e dalla SEC per la segnalazione degli incidenti sono state recentemente ridotte. Ad esempio, la Direttiva NIS2 richiede la segnalazione dei dettagli noti dell’incidente entro 24 ore e l’invio di un report completo entro 72 ore. Analogamente, il nuovo regolamento SEC impone la divulgazione di un incidente entro quattro giorni lavorativi dal momento in cui si determina che l'incidente è significativo.
Potete aiutare il vostro team a rispondere e segnalare gli incidenti in modo più efficace stabilendo processi e procedure con un piano documentato. Un piano di risposta agli incidenti dovrebbe includere i seguenti aspetti:
- Assegnazione del personale chiave al team di risposta agli incidenti
- Assegnazione di ruoli e responsabilità per ogni membro del team
- Acquisizione dei dati sugli incidenti, utilizzando gli strumenti disponibili per l'analisi degli incidenti
- Comprendere le fasi e le tempistiche necessarie per la segnalazione, la valutazione e la risposta agli incidenti.
4. Prepararsi con le simulazioni
Le simulazioni sono un altro passo essenziale per aumentare l'efficienza del vostro team di risposta agli incidenti. Il team deve esercitarsi nelle varie fasi del piano prima di essere chiamato ad agire in caso di un vero incidente di cybersecurity.
Svolgere simulazioni regolari (trimestrali/annuali) aumenterà anche la fiducia e la competenza del vostro team, ottenendo miglioramenti continui, oltre ad aumentare la velocità e l’efficacia delle azioni di risposta agli incidenti. Le aziende più grandi, o quelle nei settori delle infrastrutture critiche, dovrebbero prendere in considerazione simulazioni più frequenti, anche trimestrali.
Consultate le seguenti risorse per saperne di più sulle simulazioni:
- Simulazioni CISA (Cybersecurity & Infrastructure Security Agency) USA
- Guida alla gestione degli incidenti NSCS (National Cyber Security Centre) U.K.
- Rockwell Automation può aiutarvi a sviluppare e completare vari tipi di simulazioni di attacchi informatici
5. Migliorare la protezione con strumenti e strategie di difesa in profondità
Nessuno strumento di sicurezza, per quanto robusto, può proteggere il vostro ambiente OT da tutte le minacce. Potenziando la vostra postura di sicurezza informatica con una strategia defense-in-depth migliorerete la vostra resilienza OT e organizzativa contro gli attacchi informatici.
La difesa in profondità deve includere controlli a ogni livello, dalla rete e gli endpoint alle applicazioni fino alla gestione degli accessi.
Rockwell Automation consiglia le seguenti best practice:
- Segmentate le reti IT e OT con una zona industriale demilitarizzata (IDMZ)
- Considerate l’adozione di un sistema di monitoraggio delle minacce per rilevare gli incidenti, avvisare i team della sicurezza ed eseguire la raccolta dei dati per l’analisi delle cause e la reportistica
- Implementate un sistema di gestione degli endpoint per controllare efficacemente le vulnerabilità
- Usate strumenti come antivirus, firewall, crittografia dei dati e controllo degli accessi remoti in base alle esigenze e ai requisiti specifici della vostra organizzazione
- Autenticate costantemente dispositivi, connessioni e utenti implementando politiche Zero Trust per il controllo degli accessi
- Applicate il protocollo CIP (Common Industrial Protocol) Security per proteggere la comunicazione degli endpoint
- Eseguite il backup dei sistemi OT critici per un ripristino rapido in caso di incidenti
Per informazioni più dettagliate sulla difesa in profondità, consultate risorse come il NIST Cybersecurity Framework, il sito web CISA e i controlli di sicurezza critici CIS.
6. Ottenere il consenso degli stakeholder
Con l'aumento delle normative, aumenta anche la pressione sui consigli di amministrazione per una migliore gestione dei rischi di cybersecurity. Ottenere il consenso degli stakeholder chiave nell’azienda (dalla produzione all’alta direzione) aiuta a costruire fiducia per supportare meglio gli sforzi per finanziare e attuare iniziative di sicurezza fondamentali per proteggere le operazioni.
Questo è ciò che è successo a un produttore globale di beni di consumo confezionati. L'azienda ha raggiunto nuovi livelli di collaborazione e partnership che hanno coinvolto i dipendenti di diversi stabilimenti di produzione, dell'IT e tutta la dirigenza, sulla base di un processo che ha coinvolto ogni singolo gruppo con le informazioni giuste e i processi giusti al momento giusto.
Il consenso degli stakeholder ha portato enormi vantaggi in termini di riduzione dei rischi, che continuano ad incrementare ogni giorno.
Consigli utili
Investendo nei processi, negli strumenti e nelle strategie giusti, è possibile costruire delle solide basi per creare un sistema di cybsersecurity robusto e completo.
In questo processo non siete soli. Collaborare con un partner di fiducia come Rockwell Automation, leader nell’automazione e nella sicurezza informatica industriale, può aiutarvi a migliorare le vostre competenze interne per la pianificazione, l’implementazione e il miglioramento delle iniziative di cybsersecurity.
Contattateci qui per altre informazioni.
