lunedì 20 Mar, 2023

Quando la cybersecurity si unisce all’automazione

Quali sono le figure più ricercate nel settore della cybersecurity? Cosa richiede il mercato oggi? Quali investimenti a lungo termine sono ormai necessari? 

Come manager nel settore del recruitment e dell’head hunting queste domande sono per me oggetto di costante ricerca. Con Anipla, a fine febbraio, abbiamo deciso di fornire informazioni e strumenti alle aziende, tramite un Tech talk dedicato proprio al punto di incontro tra automazione e cybersecurity.

Lo scorso dicembre, con manovra finanziaria approvata dal Parlamento, è stata istituita una fondazione denominata “Centro italiano per il design dei circuiti integrati a semiconduttore”. Come valutate questa notizia? 

Da alcuni anni registriamo un grande interesse da parte delle aziende verso questi temi. Perché la cybersecurity non è solo una questione di tecnologia, ma riguarda anche i processi e le persone, elementi che devono viaggiare alla stessa velocità con cui si evolve la smart manufacturing. Si pensi solo alla scelta di dotare gli impianti industriali di tecnologie di intelligenza artificiale: oggi è necessaria, non più facoltativa. Tuttavia, molte aziende, specie nel panorama italiano, sono ancora scettiche nei confronti della prevenzione dai rischi informatici. Subire attacchi ha delle conseguenze gravi, che vanno dai guasti agli impianti, ai blocchi di produzione, fino ai costi imprevisti per la riparazione dei sistemi e di controllo. 

Ma gli strumenti sono disponibili e sono a prova di hacker. A partire dall’IEC 62443, lo standard internazionale per la sicurezza dei sistemi di controllo industriale. Questo standard è l’unica vera soluzione di Cyber Security orientata al mondo dell’automazione di fabbrica, nata per proteggere l’Industria 4.0, rendendo sicura ed affidabile la condivisione dei dati dall’interno verso l’esterno e viceversa. È ormai assodato che l’adozione e l’uso di questo standard riduce i rischi. 

Protezione programmata

Serve però una visione organica, che è quella data dall’Industrial Cybersecurity, ovvero l’insieme dei mezzi applicabili all’automazione di fabbrica, volti a rendere immuni da attacchi i sistemi di controllo quali PLC, SCADA e HMI, fulcro dei processi produttivi moderni. Questi sistemi, se colpiti, possono portare a conseguenze disastrose. La mole di dati scambiati ogni giorno tra reparti IT e OT è enorme, il che rende le fabbriche dei bersagli allettanti. Dal 2016 sappiamo quanto è importante la sicurezza informatica, e in particolare negli ultimi tre anni conosciamo bene le minacce. Sappiamo quindi che occorre andare ulteriormente avanti anche con i sistemi di prevenzione.

Qui interviene la Security Automation, cioè l’esecuzione di azioni finalizzate alla sicurezza dei sistemi aziendali senza o con un limitato intervento umano. Con il generico termine “azioni” si intendono attività volte alla rilevazione delle minacce, all’analisi delle stesse e, nel caso, a una corretta reazione finalizzata alla salvaguardia dei sistemi, dei dati e del business aziendale.

Le piattaforme di security si occupano quindi di rilevare, analizzare, decidere e rimediare ai problemi. Gli specialisti, qualora sorretti da un’automazione efficace, possono quindi concentrarsi sulla pianificazione strategica, su lavori più complessi e che richiedono un livello più avanzato di giudizio, di esperienze e interpretazione. 

Silvia Movio

Il contesto globale

Indagini recenti evidenziano che una parte consistente dei 300 miliardi di dollari di investimenti che il mercato globale della Cybersecurity farà nei prossimi 5 anni verrà orientata verso misure di sicurezza automatizzate. L’obiettivo è di migliorare i tempi di rilevamento e risposta alle minacce su quattro differenti segmenti: Application Security, Endpoint Security, Data Security and Protection, Internet of Things Security.

In Italia il tema è ancora sottovalutato, il che rende i sistemi di controllo ancora il punto debole dell’industria 4.0. Sia dal punto di vista informatico, quindi del livello di contenuto tecnico, sia dal punto di vista delle risorse specializzate, di cui c’è una carenza cronica. 

Secondo l’Osservatorio Cybersecurity & Data Protection della School of Management del Politecnico di Milano, nei primi sei mesi del 2021 c’è stato un aumento degli attacchi del 15% rispetto all’anno precedente, mentre gli incidenti gravi, in contesti industriali, sono stati 1053. Un dato preoccupante che continua ad aumentare. 

Come reagire? Le organizzazioni devono innanzitutto accrescere la consapevolezza dei dipendenti rispetto alle minacce informatiche. L’Osservatorio ci dice anche che il 54% delle aziende giudica necessario rafforzare le iniziative di sensibilizzazione sul personale legate ai comportamenti più idonei da adottare per tutelare i dati dell’azienda. Lo stesso vale per le istituzioni: basti pensare al PNRR, che nella Missione 1 ha riservato 23 milioni di euro, per presidi e competenze di cybersecurity nella pubblica amministrazione, e nella Missione 4 ha previsto fondi per la ricerca e la creazione di partenariati su temi innovativi, tra cui la sicurezza informatica.

Anche l’introduzione dell’Agenzia per la Cybersicurezza nazionale va in questa direzione. Con una buona risposta del mondo produttivo: il 17% delle aziende italiane ha infatti già espresso in modo formale la volontà di collaborare con l’Agenzia, mentre oltre la metà è in attesa di ricevere linee guida specifiche con cui elaborare le proprie strategie. Se il contesto normativo è quindi attento, manca però una risposta solida delle imprese. Un uso pervasivo di tecniche di automazione interessa infatti soltanto il 9% delle aziende sul territorio italiano; un’adozione di livello medio arriva al 38%. Innovazione e cybersecurity dovrebbero viaggiare su binari paralleli, ma questo non sta avvenendo, con il risultato che l’industria manifatturiera si trova ad affrontare nuove sfide senza la giusta preparazione. Ci sono ancora troppe strutture che non hanno dipartimenti dedicati, né specialisti, né infrastrutture di sicurezza adeguate. Secondo le stime dell’Agenzia Nazionale per la Cybersicurezza, sono 100mila gli esperti che mancano in Italia. Quali sono quindi le figure che servono?

Le figure più richieste

La prima è quella dell’ICT Security Manager. La formazione richiesta è quella di una laurea in Ingegneria Informatica o Informatica. Le mansioni vanno dalla gestione della sicurezza dei sistemi informatici di un’azienda, alla definizione di un piano di difesa, al monitoraggio dell’infrastruttura e dei processi, insieme al coordinamento dei team preposti.

Un’altra figura fondamentale è quella del Data Protection Officer (DPO). In questo caso le competenze necessarie riguardano le scienze giuridiche e l’informatica. I DPO sono responsabili del monitoraggio della conformità dell’organizzazione per la quale lavorano, danno consigli e linee guida relativi agli obblighi di protezione dei dati e svolgono il ruolo di punto di contatto tra gli interessati e l’autorità di controllo competente.

Esiste poi il ruolo del Security Architect & Consultant. Occorre una formazione informatica e di ingegneria informatica, per progettare, sviluppare e implementare sistemi che impediscano l’infiltrazione di malware e di altre intrusioni da parte di hacker nella rete informatica.

Infine, è necessaria anche una figura di collegamento fra l’IT e l’OT, incarnata nell’OT Security Manager. Ingegneria Informatica, Meccanica ed Elettronica sono le competenze richieste, mentre le mansioni riguardano la sicurezza delle tecnologie operative utilizzate in molti settori industriali tra cui produzione, petrolio e gas, generazione e distribuzione di energia elettrica, aeronautica, settore marittimo, settore ferroviario e servizi pubblici. 

Investimenti a lungo termine

L’investimento culturale ed educativo nel settore è una responsabilità primaria di tutti i C-level aziendali, non solo di quelli dediti alla sicurezza informatica. La riduzione del divario di competenze e la creazione di una cultura dell’apprendimento sui temi di sicurezza saranno infatti fondamentali per tutti i ruoli aziendali. L’investimento in formazione specialistica, inoltre, è centrale anche in termini di Retention. È una scelta che rappresenta un reale supporto ai propri collaboratori, dimostra la volontà di continuare a investire sulla loro crescita professionale, anche per agevolare così la successiva interdisciplinarità e condivisione delle competenze inter

Scopri subito la nuova edizione di

Tecnologia & Innovazione