In questo articolo, spieghiamo metodo ed esempio per preparare un template di OT Cybersecurity Assessment definito dalla norma IEC 62443.
In cosa consiste l’OT Cybersecurity Assessment
All’interno dell’attività di OT Cybersecurity Assessment per i sistemi di controllo industriale, l’analisi del rischio di alto livello è la prima fase per determinare le potenziali conseguenze nel caso in cui un impianto (o sistema) risulti compromesso da un attacco informatico. L’analisi del rischio di alto livello aiuta a identificare le aree più critiche per un impianto, sulle quali condurre azioni mirate per la mitigazione dei rischi derivanti da attacchi cyber.
L’High Level Risk Assessment è approfondito successivamente da un’analisi di dettaglio (Low Level Risk Assessment), che prende in considerazione le vulnerabilità specifiche dei sistemi oggetto di analisi.
La determinazione del rischio di alto livello si basa sulla seguente formula:
Rischio =〖Minaccia〗Potenziale x 〖Probabilità] (Evento Accada〗 x 〖Conseguenze〗Evento
È importante pesare le conseguenze al fine di quantificare il rischio. Con l’analisi di alto livello consideriamo l’evento come probabile senza scendere nel dettaglio delle contromisure già in essere o da adottare o delle vulnerabilità presenti. In altre parole, per ogni asset, dobbiamo rispondere alla domanda: nel caso in cui questo asset subisca un attacco cyber, e tale attacco vada a buon fine, qual è la peggiore conseguenza che posso avere in relazione al mio business?
L’High Level Risk Assessment è un’analisi destinata al top management, per questo le conseguenze risultano da considerarsi in termini economici; la finalità di questa analisi è quantificare sommariamente quali rischi sono connessi alla cyber security e quale peso assumono in termini di conseguenze.
Approfondimento consigliato:
Norme tecniche di riferimento
La tabella sottostante riporta le norme tecniche per l’analisi del rischio di alto livello:
| Parte | Titolo |
| ISA 62443-1-1:2015 | Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models |
| IEC 62443-2-1:2010 | Industrial communication networks – Network and system security – Part 2-1: Establishing an industrial automation and control system security program |
| IEC 62443-3-3:2013 | Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels |
Hai bisogno di supporto per analizzare la Cyber Security della vostra infrastruttura OT?
Scopri il servizio più adatto alle vostre esigenze
Vuoi aiutare la nostra pagina a crescere? Seguici su Linkedin
La norma suggerisce le linee guida per comprendere requisiti e modelli per l’impostazione di un’analisi del rischio in conformità con il Cyber Security Lifecycle, partendo da una valutazione macroscopica dell’impatto di un attacco informatico ad un sistema di controllo industriale. Nella pratica, l’analisi di alto livello prende forma con la valutazione del Business Rationale.
Esempio di Business Rationale
All’interno di ogni organizzazione, il percorso per sviluppare un efficace programma di sicurezza informatica per un sistema di controllo industriale inizia con la presa di coscienza da parte del top management dei rischi tecnici, commerciali e d’immagine che derivano dall’essere danneggiati da un attacco cyber. Il Business Rationale è una descrizione di alto livello delle possibili conseguenze di un attacco cyber per gli asset più sensibili per l’azienda. Partendo dalla valutazione di tali conseguenze, andremo a pianificare le azioni successive per la costruzione di un sistema di gestione della sicurezza informatica in conformità con lo standard IEC 62443.
Le conseguenze ritenute sensibili per un’azienda sono in genere:
- Business Continuity, l’attacco sull’infrastruttura comporta l’arresto dell’impianto o dell’infrastruttura ad esso collegato per un determinato tempo e/o per una parte più o meno estesa dell’impianto. La conseguenza dell’arresto dell’impianto è esaminabile su più livelli, a livello di sistema oppure a livello di eventuali altri sistemi facenti parte dello stesso plant e/o che vi interagiscono. Ciò che deve essere valutato è il costo del fermo impianto in termini di mancata produzione.
- Safety, minacce che possono comportare l’alterazione o l’inibizione di funzioni di sicurezza presenti su macchine, impianti o ambienti e la cui automazione di sicurezza è implementata per mezzo di safety PLC e dove lo scambio di segnali avviene attraverso connessioni di rete. Questo tipo di minacce potrebbe condurre ad infortuni o incidenti. Anche in questo caso la valutazione è svolta su più livelli, in termini di impatto sul personale interno al sito o all’impianto oppure sul personale esterno.
- Ambiente, quando apparati destinati alla produzione e controllo di emissioni pericolose sono attaccati e manipolati, il rischio di emissioni ambientali pericolose deve essere valutato analogamente all’aspetto safety di cui al punto precedente.
Con il Business Rationale definiamo le conseguenze critiche e le soglie di cui tenere conto nella valutazione dei rischi ed il peso che ogni conseguenza rappresenta per l’azienda. Nella tabella sottostante, un esempio di Business Rationale:
Vuoi aiutare la nostra pagina a crescere? Seguici su Linkedin
Fasi dell’analisi del rischio cyber
Il primo passo da compiere per mettere a punto un piano per la sicurezza informatica dei sistemi di automazione installati (o da installare) in una specifica infrastruttura, è la quantificazione macroscopica del rischio derivante da un attacco cyber:
- Definizione del Business Rationale, fase che prevede la discussione delle possibili conseguenze di un attacco e la quantificazione dei danni.
- High Level Risk Assessment, analisi di alto livello che riporta le informazioni necessarie al personale interno per la gestione dei processi di cyber security, in termini di metodologia e probabilità di accadimento di un incidente cyber del tipo random (ramsonware o DDoS), oppure dovuto al fattore umano (social engineerging), ecc.
- Low Level Risk Assessment, analisi di dettaglio che prosegue l’indagine iniziata nella fase di alto livello per identificare le vulnerabilità specifiche e le contromisure idonee per la protezione degli asset più sensibili.
Maggiori informazioni:
Domande? Commenti?
Vuoi aiutare la nostra pagina a crescere? Seguici su Linkedin
Torna all'elenco degli articoli
