Cyber Security Risk Assessment: l’analisi di alto livello

Tempo di Lettura: 6 minuti - Livello di Difficoltà: avanzato

L’analisi del rischio cyber di alto livello (High Level Risk Assessment) è l’attività di partenza di un Cyber Security Risk Assessment, in conformità con il Cyber Security Lifecycle definito dalla norma internazionale di riferimento IEC 62443 per la Cyber Security dei sistemi di controllo industriale.

In cosa consiste un High Level Risk Assessment

All’interno dell’attività di Cyber Security Risk Assessment per i sistemi di controllo industriale, l’analisi del rischio di alto livello è eseguita per determinare le potenziali conseguenze nel caso in cui un impianto (o sistema) risulti compromesso da un attacco informatico. L’analisi del rischio di alto livello aiuta a identificare le aree più critiche per un impianto, sulle quali condurre azioni mirate per la mitigazione dei rischi derivanti da attacchi cyber. Nell’attività di High Level Risk Assessment, l’attacco cyber è solitamente analizzato simulando il successo di una potenziale violazione, concentrandosi sulla gravità dell’attacco stesso. Per come è concepita, l’analisi del rischio cyber di alto livello deve intendersi come lo strumento a disposizione del management aziendale per la stima del rischio relativo alla cyber security in ambito OT, una volta che si sono definite le conseguenze critiche per il business, secondo ciò che la norma definisce Business Rationale.

L’High Level Risk Assessment è approfondito successivamente da un’analisi di dettaglio (Low Level Risk Assessment), che prende in considerazione le vulnerabilità specifiche dei sistemi oggetto di analisi, e nello specifico, delle parti più sensibili dell’infrastruttura, facendo riferimento alle potenziali conseguenze identificate attraverso l’analisi di alto livello.

 

La determinazione del rischio di alto livello si basa sulla seguente formula:

Rischio =〖Minaccia〗Potenziale   x 〖Probabilità] (Evento Accada〗  x 〖Conseguenze〗Evento

 

La probabilità che l’evento accada deve essere determinata tenendo di conto dell’asset oggetto di analisi, e nello specifico, dell’attrattività che tale asset rappresenta per l’attaccante, ossia quale asset risulti maggiormente proficuo in termine economici qualora attaccato.

In questa fase è quindi importante pesare le conseguenze al fine di quantificare il rischio. Con l’analisi di alto livello consideriamo l’evento come probabile senza scendere nel dettaglio delle contromisure già in essere o da adottare o delle vulnerabilità presenti. In altre parole, per ogni asset, dobbiamo rispondere alla domanda: nel caso in cui questo asset subisca un attacco cyber, e tale attacco vada a buon fine, quale è la peggiore conseguenza che posso avere in relazione al mio business?

L’High Level Risk Assessment è un’analisi destinata al top management, per questo le conseguenze risultano da considerarsi in termini puramente economici; la finalità di questa analisi non è quella di stabilire nel dettaglio quali danni e quali conseguenze derivano da un attacco cyber al sistema industriale, né che tipo di contromisure devono essere attuate, ma semplicemente permette di quantificare sommariamente quali rischi sono connessi alla cyber security e, sempre sommariamente, quale peso assumono in termini di conseguenze. In questo senso, il parametro che meglio rende l’idea del danno è proprio quello economico.

Nei paragrafi successivi vedremo con un esempio come impostare un’analisi del rischio di alto livello, partendo dalla valutazione del Business Rationale.

 

Norme tecniche di riferimento per l’analisi del rischio cyber di alto livello

La seguente tabella riporta le norme tecniche di riferimento all’interno dello standard IEC 62443 applicabili in sede di High Level Risk Assessment:

 

Parte Titolo
ISA 62443-1-1:2015 Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models
IEC 62443-2-1:2010 Industrial communication networks – Network and system security – Part 2-1: Establishing an industrial automation and control system security program
IEC 62443-3-3:2013 Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels

 

La norma suggerisce le linee guida per comprendere requisiti e modelli per l’impostazione di un’analisi del rischio in conformità con il Cyber Security Lifecycle, partendo da una valutazione macroscopica dell’impatto di un attacco informatico ad un sistema di controllo industriale. Nella pratica, l’analisi di alto livello prende forma con la valutazione del Business Rationale.

 

Cos’è il Business Rationale

All’interno di ogni organizzazione, il percorso per sviluppare un efficace programma di sicurezza informatica per un sistema di controllo industriale inizia con la presa di coscienza da parte del top management dei rischi tecnici, commerciali e d’immagine che derivano dall’essere danneggiati da un attacco cyber. Il Business Rationale è una descrizione di alto livello delle possibili conseguenze di un attacco cyber per gli asset più sensibili per l’azienda. Partendo dalla valutazione di tali conseguenze, andremo a pianificare le azioni successive per la costruzione di un sistema di gestione della sicurezza informatica in conformità con lo standard IEC 62443.

 

In questo esempio di analisi del Business Rationale prendiamo in esame le conseguenze ritenute sensibili per un’azienda come segue:

  • Business Continuity, l’attacco sull’infrastruttura comporta l’arresto dell’impianto o dell’infrastruttura ad esso collegato per un determinato tempo e/o per una parte più o meno estesa dell’impianto. La conseguenza dell’arresto dell’impianto è esaminabile su più livelli, a livello di sistema oppure a livello di eventuali altri sistemi facenti parte dello stesso plant e/o che vi interagiscono. Ciò che deve essere valutato è il costo del fermo impianto in termini di mancata produzione.
  • Safety, minacce che possono comportare l’alterazione o l’inibizione di funzioni di sicurezza presenti su macchine, impianti o ambienti e la cui automazione di sicurezza è implementata per mezzo di safety PLC e dove lo scambio di segnali avviene attraverso connessioni di rete. Questo tipo di minacce potrebbe condurre ad infortuni o incidenti. Anche in questo caso la valutazione è svolta su più livelli, in termini di impatto sul personale interno al sito o all’impianto oppure sul personale esterno.
  • Ambiente, quando apparati destinati alla produzione e controllo di emissioni pericolose sono attaccati e manipolati, il rischio di emissioni ambientali pericolose deve essere valutato analogamente all’aspetto safety di cui al punto precedente.

Con il Business Rationale definiamo le conseguenze critiche e le soglie di cui tenere conto nella valutazione dei rischi ed il peso che ogni conseguenza rappresenta per l’azienda. Nella tabella sottostante, un esempio di Business Rationale:

Business Rationale example
Visualizza in full screen

 

La nostra proposta per l’analisi del rischio cyber

Come abbiamo visto, il primo passo da compiere per mettere a punto un piano per la sicurezza informatica dei sistemi di automazione installati (o da installare) in una specifica infrastruttura, è la quantificazione macroscopica del rischio derivante da un attacco cyber.

 

Per tale attività, definita dalla norma IEC 62443-2-1 come High Level Risk Assessment, il nostro pool di specialisti in-house certificati ISA99/IEC62443 propone un set completo di servizi volti a definire i requisiti di Cyber Security applicabili ad un sistema di controllo integrato.

 

Ciascuna fase del progetto è gestita in conformità con il Cyber Security Lifecycle in conformità con lo standard IEC 62443. La comprovata esperienza nell’automazione industriale, ci permette di supportare il cliente in tutte le fasi del processo di sviluppo del sistema di controllo, individuando vulnerabilità e soluzioni operative.

 

 Il nostro servizio di Cyber Security Risk Assessment di alto livello è articolato su 4 fasi:

  1. Sopralluogo/conference call per la raccolta delle informazioni propedeutiche all’analisi, con cui indaghiamo le caratteristiche dell’architettura di rete
  2. Definizione del Business Rationale, fase che prevede la discussione delle possibili conseguenze di un attacco e la quantificazione dei danni
  3. High Level Risk Analysis (preliminare), al fine di allineare e presentare i risultati ottenuti dal Business Rationale
  4. High Level Risk Analysis (finale), con la quale completiamo l’analisi del rischio di alto livello fornendo le informazioni necessarie al personale interno per la gestione dei processi di cyber security, in termini di metodologia e probabilità di accadimento di un incidente cyber del tipo random (ramsonware o DDoS), oppure dovuto al fattore umano (social engineerging), ecc.

Tale lavoro è il punto di partenza fondamentale e propedeutico per le azioni successive, che hanno lo scopo finale di stabilire le misure di mitigazione necessarie per la sicurezza informatica industriale.

 

Hai trovato utili queste informazioni? Per saperne di più sui nostri servizi di Cyber Security Risk Assessment o per richiedere una quotazione

 

Contattaci

oppure

Torna all'elenco degli articoli
back top

Send this to a friend