Si parla molto di protezione delle infrastrutture critiche informatizzate tuttavia, a livello operativo, sono le aziende che erogano servizi primari a dover implementare soluzioni efficaci e allineate alle strategie economiche aziendali. Un esempio concreto lo offre il progetto di ACEA SpA. Ne parliamo con Andrea Guarino, responsabile ICT per la Security, Privacy e Compliance.
Nel Gruppo esiste una forte focalizzazione sulla sicurezza informatica perché la società rientra istituzionalmente tra le infrastrutture critiche informatizzate nazionali. Proteggere sistemi e reti di questo tipo, implica la tutela di reti e sistemi , il supporto nei processi decisionali, il rispetto delle normative nazionali e internazionali che impongono la garanzia di “continuita’ del servizio”, in mancanza della quale si incorre in cospicue sanzioni; cruciale quindi, la prevenzione e la gestione immediata di un attacco informatico o di un eventuale tentativo di frode.
Per spiegare questo approccio Andrea Guarino racconta l’esperienza del PANOPTESEC, un progetto europeo FP7 finalizzato a creare un sistema automatizzato e adattivo per prevenire, rilevare e reagire alle minacce cyber evolute che possono presentarsi anche in modo apparentemente silente (ad es. le APT, Advanced Persistent Threat).
Il sistema compie una valutazione dello stato delle vulnerabilità note delle componenti presenti in rete per gestirne le priorità di mitigazione e, in caso di attacco, consente azioni reattive per contenere l’eventuale danno apportando contromisure efficaci.
Il gruppo interno di lavoro del progetto di circa 10 persone, utilizzando scenari di riferimento, ha studiato e selezionato le azioni di mitigazione applicabili perché molte minacce seppure “apparentemente” nuove, si basano su tecniche offensive già note, oppure su vulnerabilità già rese pubbliche.
Un cardine dell’applicazione del progetto PANOPTESEC sarà la presenza di particolari gateway di tipo NGFW (Next Generation FireWall), i Check Point 1200R, che sono progettati per resistere alle condizioni operative critiche tipiche dei servizi a rete (ad es. alti valori di temperatura e umidità, presenza di interferenze elettromagnetiche, etc.). Tali apparati consentono di proteggere le reti SCADA filtrando sia minacce specifiche, sia quelle tipiche del mondo IT.
Check Point coinvolta nel progetto e nel case study, si è resa disponibile per ottimizzazioni e risoluzioni dei problemi operativi per arrivare al livello ottimale di performance dei suoi apparati e anche per il futuro la roadmap di sviluppo integrerà alcuni requisiti specifici all’ambito SCADA emersi durante l’analisi.
La funzionalità di deep packet inspection nativa dei 1200R è stata integrata da un’altra azienda del partenariato, i Security Matters, per ottenere una anomaly detection sull’intero spettro dei protocolli SCADA. In caso di attacco, dopo l’applicazione delle contromisure reattive nel centro di controllo o sul campo, i sistemi SCADA potrebbero funzionare in modo limitato pur garantendo i livelli minimi di servizio; ciò consentirebbe inoltre di documentare eventuali casi di “forza maggiore” in relazione a specifiche criticità del servizio erogato. La capacità di analisi del traffico di rete SCADA consente inoltre di individuare inefficienze ed errori di configurazione, la cui risoluzione spesso comporta saving in termini economici.
L’analisi del rischio iniziale ha consentito una valutazione completa degli asset coinvolti e della loro importanza, evidenziandone lo stato di vulnerabilità, mettendo a disposizione dell’operatore anche molte informazioni sullo stato di funzionamento in condizioni normali di esercizio. Le funzionalità a disposizione dell’operatore sono fruibili da un’interfaccia visuale e riguardano la quantificazione della minaccia, l’analisi d’impatto, la gerarchia delle azioni selezionabili dall’operatore; quest’ultimo si avvale di un vasto numero di grafici e report resi disponibili grazie alla stratificazione del sistema che prevede la segmentazione e l’inserimento di sensori e punti di controllo.
L’analisi d’impatto di un incidente informatico sui servizi oggetto di studio (erogazione di energia, acqua, etc.) si basa su un modello predisposto (mission impact model) che nelle fasi finali del progetto (fra ottobre e novembre 2016) sarà perfezionato all’interno del sistema decisionale offerto dal PANOPTESEC: il sistema può agire autonomamente, ma Acea ha scelto che le azioni di mitigazione e applicazione di contromisure rimanessero prerogativa dell’operatore umano. Per valutare il successo del progetto sono state definite metriche e KPI (Key Performance Indicator), le cui evidenze saranno validate ad ottobre. Ogni altra azienda o sistema che volesse implementare la soluzione offerta dal progetto PANOPTESEC dovrebbe intervenire sugli indicatori adeguandoli alla propria realtà operativa e quindi dimensionare le dotazioni hardware e software di PANOPTESEC coerentemente con la propria infrastruttura.
