Cyber Security Risk Assessment: l’analisi di alto livello

Tempo di Lettura: 6 minuti - Livello di Difficoltà: avanzato

L’analisi del rischio cyber di alto livello (High Level Risk Assessment) è l’attività di partenza di un Cyber Security Risk Assessment, in conformità con il Cyber Security Lifecycle definito dalla norma IEC 62443.

In cosa consiste un High Level Risk Assessment

All’interno dell’attività di Cyber Security Risk Assessment per i sistemi di controllo industriale, l’analisi del rischio di alto livello è eseguita per determinare le potenziali conseguenze nel caso in cui un impianto (o sistema) risulti compromesso da un attacco informatico. L’analisi del rischio di alto livello aiuta a identificare le aree più critiche per un impianto, sulle quali condurre azioni mirate per la mitigazione dei rischi derivanti da attacchi cyber.

L’High Level Risk Assessment è approfondito successivamente da un’analisi di dettaglio (Low Level Risk Assessment), che prende in considerazione le vulnerabilità specifiche dei sistemi oggetto di analisi.

 

La determinazione del rischio di alto livello si basa sulla seguente formula:

Rischio =〖Minaccia〗Potenziale   x 〖Probabilità] (Evento Accada〗  x 〖Conseguenze〗Evento

 

È importante pesare le conseguenze al fine di quantificare il rischio. Con l’analisi di alto livello consideriamo l’evento come probabile senza scendere nel dettaglio delle contromisure già in essere o da adottare o delle vulnerabilità presenti. In altre parole, per ogni asset, dobbiamo rispondere alla domanda: nel caso in cui questo asset subisca un attacco cyber, e tale attacco vada a buon fine, qual è la peggiore conseguenza che posso avere in relazione al mio business?

L’High Level Risk Assessment è un’analisi destinata al top management, per questo le conseguenze risultano da considerarsi in termini economici; la finalità di questa analisi è quantificare sommariamente quali rischi sono connessi alla cyber security e quale peso assumono in termini di conseguenze.

 

Approfondimento consigliato:

 

Norme tecniche di riferimento

La tabella sottostante riporta le norme tecniche per l’analisi del rischio di alto livello:

 

Parte Titolo
ISA 62443-1-1:2015 Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models
IEC 62443-2-1:2010 Industrial communication networks – Network and system security – Part 2-1: Establishing an industrial automation and control system security program
IEC 62443-3-3:2013 Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels

 

La norma suggerisce le linee guida per comprendere requisiti e modelli per l’impostazione di un’analisi del rischio in conformità con il Cyber Security Lifecycle, partendo da una valutazione macroscopica dell’impatto di un attacco informatico ad un sistema di controllo industriale. Nella pratica, l’analisi di alto livello prende forma con la valutazione del Business Rationale.

 

Cos’è il Business Rationale

All’interno di ogni organizzazione, il percorso per sviluppare un efficace programma di sicurezza informatica per un sistema di controllo industriale inizia con la presa di coscienza da parte del top management dei rischi tecnici, commerciali e d’immagine che derivano dall’essere danneggiati da un attacco cyber. Il Business Rationale è una descrizione di alto livello delle possibili conseguenze di un attacco cyber per gli asset più sensibili per l’azienda. Partendo dalla valutazione di tali conseguenze, andremo a pianificare le azioni successive per la costruzione di un sistema di gestione della sicurezza informatica in conformità con lo standard IEC 62443.

 

Le conseguenze ritenute sensibili per un’azienda sono in genere:

  • Business Continuity, l’attacco sull’infrastruttura comporta l’arresto dell’impianto o dell’infrastruttura ad esso collegato per un determinato tempo e/o per una parte più o meno estesa dell’impianto. La conseguenza dell’arresto dell’impianto è esaminabile su più livelli, a livello di sistema oppure a livello di eventuali altri sistemi facenti parte dello stesso plant e/o che vi interagiscono. Ciò che deve essere valutato è il costo del fermo impianto in termini di mancata produzione.
  • Safety, minacce che possono comportare l’alterazione o l’inibizione di funzioni di sicurezza presenti su macchine, impianti o ambienti e la cui automazione di sicurezza è implementata per mezzo di safety PLC e dove lo scambio di segnali avviene attraverso connessioni di rete. Questo tipo di minacce potrebbe condurre ad infortuni o incidenti. Anche in questo caso la valutazione è svolta su più livelli, in termini di impatto sul personale interno al sito o all’impianto oppure sul personale esterno.
  • Ambiente, quando apparati destinati alla produzione e controllo di emissioni pericolose sono attaccati e manipolati, il rischio di emissioni ambientali pericolose deve essere valutato analogamente all’aspetto safety di cui al punto precedente.

Con il Business Rationale definiamo le conseguenze critiche e le soglie di cui tenere conto nella valutazione dei rischi ed il peso che ogni conseguenza rappresenta per l’azienda. Nella tabella sottostante, un esempio di Business Rationale:

 

Business Rationale example

Scarica l’infografica

Vuoi aiutare la nostra pagina a crescere?

Seguici su Linkedin oppure Iscriviti alla nostra newsletter

 

Come finalizzare l’analisi del rischio cyber

Come detto, il primo passo da compiere per mettere a punto un piano per la sicurezza informatica dei sistemi di automazione installati (o da installare) in una specifica infrastruttura, è la quantificazione macroscopica del rischio derivante da un attacco cyber.

Il nostro servizio di Cyber Security Risk Assessment di alto livello è articolato su 4 fasi in conformità con lo standard IEC 62443:

  • Sopralluogo/conference call per la raccolta delle informazioni propedeutiche all’analisi, con cui indaghiamo le caratteristiche dell’architettura di rete
  • Definizione del Business Rationale, fase che prevede la discussione delle possibili conseguenze di un attacco e la quantificazione dei danni
  • High Level Risk Analysis (preliminare), al fine di allineare e presentare i risultati ottenuti dal Business Rationale
  • High Level Risk Analysis (finale), con la quale completiamo l’analisi del rischio di alto livello fornendo le informazioni necessarie al personale interno per la gestione dei processi di cyber security, in termini di metodologia e probabilità di accadimento di un incidente cyber del tipo random (ramsonware o DDoS), oppure dovuto al fattore umano (social engineerging), ecc.

 

Maggiori informazioni:

 

Hai bisogno di assistenza immediata per un Cyber Security Risk Assessment?

 

Contattaci

 

Torna all'elenco degli articoli

Send this to a friend