TRASFERIMENTO TECNOLOGICO

Trasferimento tecnologico. L’attività del MADE

Mario Polino, Security Researcher al Politecnico di Milano, si occupa soprattutto di sicurezza dei sistemi digitali e ha collaborato alle parte dedicata alla cybersecurity del Made, Competence Center milanese. Ecco i servizi che questa struttura può mettere al servizio delle pmi

Uno dei punti chiave della transizione digitale è che possiamo utilizzare macchine, in particolare computer, per svolgere task e azioni complesse in maniera assai poco costosa. Questi stessi computer, però, possono diventare punti deboli che si prestano all’attacco di hacker. Del tema, comune a tutte le aziende, non solo del manifatturiero, si occupa anche il Made, uno degli otto Competence Center istituiti dal ministero dello Sviluppo Economico per dare un supporto alle aziende nella transizione 4.0. È costituito da quattro università, 45 partner industriali e un ente pubblico. Lo scopo è mostrare alle aziende le tecnologie che rendono possibile la transizione verso l’Industria 4.0, di cui non sempre è chiaro il significato. Soprattutto illustrandone i benefici per le piccole e medie imprese italiane.

TRE LINEE D’AZIONE Questa funzione si sviluppa lungo tre direttrici. La prima è l’orientamento, realizzato soprattutto attraverso seminari, per introdurre le tecnologie 4.0 e spiegarle, ma anche con visite e workshop aziendali (la struttura si trova a Milano in via Durando 10). Sono state anche predisposte installazioni che mostrano concretamente le tecnologie in questione e ne illustrano le potenzialità, a seconda dei vari business. Un’altra direttrice è la formazione, per chi desidera non soltanto capire che cosa siano le tecnologie 4.0 ma anche come utilizzarle in maniera corretta nel proprio ambito aziendale. Ultimo pilastro su cui si regge l’attività di Made è lo sviluppo di progetti con le aziende, in varie modalità e fasi diversi. Possono per esempio incentrarsi sulla definizione di una strategia 4.0 per un’impresa, valutare possibili progetti concreti, validare attività già in atto e in fase di sviluppo.

LA FABBRICA DIGITALE Per supportare queste attività è stata realizzata una Fabbrica Digitale, estesa su 2.500 metri quadri, in cui molte tecnologie 4.0 sono installate, all’interno di venti isole dimostrative, grazie a un investimento di quasi 10 milioni in hardware e software. Questi “dimostratori” forniscono un dettaglio sul funzionamento delle varie tecnologie. La cybersecurity è uno degli argomenti sviluppati, nell’ambito di un concetto che intende mostrare alle aziende come l’intero processo produttivo possa essere modernizzato. Le isole digitali, o aree tematiche in cui è articolata la Fabbrica Digitale consentono di visionare nel dettaglio varie tecnologie secondo un percorso che è poi quello seguito dal prodotto nel processo manifatturiero: quindi design e progettazione, produzione, qualità, manutenzione, logistica, per arrivare al prodotto intelligente. IL TEMA DELLA CYBERSECURITY Trasversalmente a tutto questo, alcune tecnologie si rivelano utili in tutte le fasi del processo produttivo e dell’organizzazione aziendale, e la cybersecurity è proprio una di queste, insieme per esempio all’impiego del cloud e all’analisi dei dati mediante l’intelligenza artificiale. L’utilizzo di tecnologie moderne, tutte quante utilissime, ci espone però a nuove minacce. Ecco perché all’interno di Made cerchiamo di fare anche formazione e valutazione sui rischi aggiuntivi indotti dalle nuove tecnologie, non per evitare il ricorso a queste ultime ma anche per capire nel dettaglio quali siano questi rischi e gestirli al meglio. Il tema della cybersecurity in un’azienda è quindi soprattuto legato alla gestione corretta del rischio.

LA GESTIONE CORRETTA DEL RISCHIO La gestione corretta di questo rischio impatta in modo diverso, dal punto di vista economico, sull’attività dell’azienda. Si può per esempio ignorare completamente il

rischio, ed essere fortunati, senza subire alcun danno, oppure imbattersi in un ransomware che può cifrare tutti i dati aziendali e provocare il blocco completo dell’attività. In ogni caso, affrontare il problema quando si presenta è estremamente difficile e costoso. La strada migliore, pertanto, è la prevenzione. Se si dispone di un backup dei dati, nel caso di un attacco ransomware, possono occorrere ore, o anche un giorno, per ripristinare i sistemi e farli ripartire correttamente. Non avere il backup vuol dire però dover pagare il riscatto richiesto, nella speranza che i dati vengano rilasciati, oppure dover ricostruire tutto il patrimonio di informazioni aziendali.

IL RISCHIO CYBER INDUSTRIALE Al Made si è cercato di capire quali siano le minacce specifiche per le operazioni industriali, oltre a quelle generali di IT. Abbiamo identificato tre tipologie, legati a conseguenze che non sono uguali in termini di danni. La vulnerabilità di un’azienda dipende da diversi fattori: da quello che si produce, dagli asset utilizzati e dal tipo di “nemico” con cui ci si deve confrontare. Per un’azienda che produce oggetti di consumo destinati al mercato, il rischio maggiore sono gli attacchi non mirati. Ma se fa parte della supply chain di settori sensibili, come la difesa per esempio, ma anche comparti importanti come l’aerospace o l’automotive, allora è possibile essere soggetti ad attacchi più complessi.

PROTEGGERE ANCHE LE MACCHINE PIÙ DATATE Al Made è stata ricostruita una rete aziendale che viene sottoposta ad attacchi simulati con cui testare le soluzioni di difesa. Il tipo di vulnerabilità più frequente per le pmi è di tipo non mirato, perpetrato cioè da cyber criminali che agiscono in maniera indiscriminata, per lo più utilizzando malware o ransomware. I rischi sono il furto o il blocco di dati ma anche l’infezione di macchine non aggiornate, con possibile blocco della produzione. Macchine per la produzione molto costose, infatti, hanno una vita operativa pluridecennale per consentirne l’ammortamento. Connetterle alla rete, soprattutto se sono state prodotte diversi anni fa, può quindi costituire un problema, per il quale esistono soluzioni diverse a seconda del contesto. Può per esempio bastare una banale segmentazione della rete oppure può rendersi necessario predisporre un monitoraggio e anche introdurre nell’organizzazione persone deputate espressamente a questo tipo di controllo. Per ogni azienda, quindi, va trovata la soluzione migliore. DEFINIRE IL MODELLO DI MINACCIA Per quanto riguarda invece gli attacchi mirati, che si basano su un’analisi dell’attività dell’azienda e della sua struttura, non bastano difese generiche. Le conseguenze di questi attacchi possono essere estremamente più severe e, per certi versi subdoli. Anche sabotaggi, provocati intervenendo sui parametri di produzione delle macchine in maniera da introdurre difettosità nei prodotti, in un modo assai difficile da individuare. Possono esserci anche violazioni di safety o che possono portare alla perdita della proprietà intellettuale. In definitiva, un sistema sicuro non esiste. Può essere sicuro rispetto a un tipo di minacce. Quindi è necessario sempre definire un modello di minaccia, in base al quale predisporre opportune contromisure. Per esempio, tendenzialmente è sufficiente differenziare le reti in modo virtuale. Ma se lo switch è di per sé vulnerabile questo potrebbe non bastare. u