Monitorare le reti industriali per proteggere impianti, produzione e persone prima che un attacco provochi danni
Un attacco informatico a una rete industriale non significa necessariamente perdere dei dati o trovarsi davanti a un computer bloccato. Quando la minaccia raggiunge PLC, motori, valvole, sensori e sistemi di controllo, le conseguenze possono diventare fisiche: un macchinario può comportarsi in modo anomalo, un impianto può fermarsi e, nei casi più critici, possono emergere rischi anche per chi vi lavora.
È da questo problema che nasce AIrFIELD Security, spin-off dell’Università di Genova fondato nel 2024 e specializzato nella cybersecurity delle reti industriali.
«Il nostro obiettivo è sapere cosa sta succedendo prima che il danno diventi troppo elevato», spiega Giovanni Gaggero, Ricercatore presso l’Università di Genova e CEO di AIrFIELD Security srl. Un principio sintetizzato anche nel messaggio scelto dall’azienda: “Security means safety”.
Gli attacchi diventano più sofisticati
La digitalizzazione degli impianti ha moltiplicato le opportunità di controllo, automazione e raccolta dati, ma ha reso allo stesso tempo le infrastrutture industriali sempre più interconnesse.
Il punto, secondo Gaggero, non è chiedersi se queste reti possano essere raggiunte da un attacco.
«Ormai abbiamo esempi di attacchi praticamente su qualsiasi tipo di infrastruttura: reti elettriche, acquedotti, sistemi ferroviari. Queste infrastrutture non sono isolate e gli attacchi informatici si possono fare. Dal momento in cui diventano digitali, è qualcosa di cui bisogna necessariamente preoccuparsi».
Nell’immagine: Giovanni Gaggero, Ricercatore presso l’Università di Genova e CEO di AIrFIELD Security srl.
A cambiare è inoltre la complessità delle minacce. L’impiego crescente dell’intelligenza artificiale può rendere più automatizzate anche alcune attività offensive e, di conseguenza, richiede strumenti di rilevamento capaci di analizzare con maggiore profondità ciò che accade nelle reti.
«Se cresce la complessità degli attacchi, deve crescere anche quella degli strumenti utilizzati per individuarli».
Vedere cosa succede dove lavorano le macchine
La tecnologia sviluppata da AIrFIELD Security nasce proprio per spingersi più vicino possibile al processo industriale.
La soluzione viene installata in prossimità degli apparati di controllo, come i PLC, e monitora il traffico della rete per individuare in tempo reale comportamenti riconducibili a un possibile attacco.
Un elemento distintivo è la possibilità di arrivare fino ai cosiddetti fieldbus, i protocolli di comunicazione utilizzati nelle reti industriali per comandare e mettere in comunicazione dispositivi come motori, valvole e sensori.
«Sono protocolli che normalmente non troviamo nelle applicazioni comuni di un personal computer», chiarisce Gaggero. «Arrivare a quel livello significa riuscire a rilevare attacchi che modificano direttamente il comportamento degli oggetti presenti nell’impianto».
Il problema, infatti, è che un attacco avanzato può superare più livelli di protezione prima di manifestarsi nel processo produttivo.
«In alcuni casi ci si accorge dell’attacco solo quando qualcosa viene realmente danneggiato. Per questo è importante poter osservare cosa sta facendo l’impianto sotto attacco».
Cybersecurity OT senza fermare la produzione
Per molte aziende industriali c’è però un’altra preoccupazione: come introdurre nuovi strumenti di cybersecurity senza interferire con impianti che devono continuare a produrre?
La soluzione di AIrFIELD Security è stata progettata con un approccio di monitoraggio passivo.
«L’idea è avere un oggetto che non interferisca con il normale funzionamento dell’impianto. Si aggiunge alla rete e ascolta quello che succede».
Dal punto di vista hardware l’intervento è limitato: il dispositivo viene inserito all’interno del quadro e collegato alla rete, mentre successivamente viene effettuata la configurazione software necessaria per adattare il monitoraggio all’impianto.
Un aspetto particolarmente importante quando si opera su stabilimenti e infrastrutture già in funzione, dove fermare la produzione per introdurre un nuovo sistema di sicurezza può rappresentare un costo considerevole.
Quando security e safety si incontrano
Monitorare così vicino al processo produttivo permette inoltre di osservare anomalie che non dipendono necessariamente da un attacco informatico.
«La soluzione nasce per la cybersecurity, ma quando si arriva molto vicino agli oggetti di controllo, security e safety iniziano a sovrapporsi», racconta Gaggero.
Un’anomalia potrebbe essere legata, per esempio, al comportamento di un PLC o al malfunzionamento di un componente. Lo stesso monitoraggio utilizzato per riconoscere una possibile minaccia può quindi fornire indicazioni utili anche rispetto al comportamento dell’impianto.
Non significa trasformare una soluzione di cybersecurity in uno strumento di manutenzione, ma aumentare la visibilità su ciò che realmente accade all’interno della rete industriale.
Ed è proprio questa visibilità a diventare particolarmente importante quando un’anomalia digitale può produrre conseguenze fisiche.
Dall’analisi del rischio al monitoraggio continuo
Come dovrebbe muoversi, quindi, un’impresa che vuole capire quanto è esposta?
Il primo passo è conoscere la propria infrastruttura e valutarne il rischio.
«Esistono diversi strumenti di analisi e norme internazionali, come la IEC 62443, che possono essere utilizzate come guida per effettuare una valutazione del rischio», sottolinea Gaggero.
La valutazione iniziale, però, non esaurisce il problema. Una rete industriale evolve, vengono introdotti nuovi dispositivi, aumentano le connessioni e cambiano anche le modalità con cui può essere attaccata.
Per questo gli standard di riferimento prevedono anche attività di security monitoring, cioè un controllo continuativo di ciò che accade all’interno della rete.
«Il nostro prodotto svolge proprio questa funzione: osservare quello che succede nelle reti come parte della gestione complessiva del rischio».
Sapere prima che qualcosa venga danneggiato
È qui che si concentra la proposta di AIrFIELD Security.
Non soltanto creare un ulteriore livello di protezione, ma portare il monitoraggio fino alla parte della rete in cui un comando digitale diventa un’azione fisica.
Un motore che cambia comportamento. Una valvola che riceve un comando non previsto. Un PLC che reagisce in maniera anomala.
Sono segnali che, se identificati tempestivamente, possono permettere all’azienda di intervenire prima che un incidente informatico diventi un problema produttivo o di sicurezza.
«Bisogna iniziare a considerare la cybersecurity come qualcosa che può modificare o danneggiare gli oggetti fisici e, potenzialmente, compromettere anche la sicurezza delle persone», conclude Gaggero.
È questo il significato più concreto di “Security means safety”: nella fabbrica connessa, proteggere la rete significa sempre più spesso proteggere anche ciò che quella rete controlla.
