Cyber Security Energia Focus 16/2017
Cyber security e servizi di pubblica utilitĂ : il settore idrico Enzo Maria Tieghi
L’autore Enzo Maria Tieghi è amministratore delegato di ServiTecno etieghi@servitecno.it
Energia Media Energia Media è un’agenzia di comunicazione e relazioni che opera, principalmente, nei settori energy, utility e smart city. Sviluppa strategie comunicative, facilita le relazioni, elabora contenuti e informazione. Sostiene le aziende migliorandone il posizionamento e creando occasioni di business. Affianca associazioni e istituzioni in programmi di comunicazione pensati per aumentare la reputazione nei confronti dei propri stakeholder. Energia Media nasce nel 2013, a Milano, dall'esperienza maturata da un gruppo di persone in oltre vent’anni di lavoro nel campo dell’informazione, delle relazioni e della consulenza strategica nei settori energy e utility. Tutte le immagini e le fotografie presenti in questo Focus sono state regolarmente acquistate su banche dati. Nel caso in cui l’autore ritenga che siano state violate le regole di copyright, è pregato di segnalarlo al seguente indirizzo: comunicazione@energiamedia.it
©Energia Media - maggio 2017
i
Cyber security e servizi di pubblica utilità: il settore idrico Enzo Maria Tieghi
Il presente contributo ha la sua origine nell’intervento che Enzo Maria Tieghi ha pronunciato durante il workshop “Smart Metering e distribuzione 4.0” tenutosi a Bologna, il 15 marzo 2017, e realizzato in collaborazione con ANIE CSI Smart Metering Group, presso la sede di Unindustria.
2
Cyber security e servizi di pubblica utilità: il settore idrico I numeri non lasciano spazio a dubbi. Si prevede che nel 2020, a livello globale, i dispositivi connessi saranno tra i 20 e i 50 miliardi, mentre in Italia le stime del Politecnico di Milano parlano di 10,3 milioni di oggetti connessi a fine 2015 grazie alla rete cellulare con una crescita che sfiora il 30%, ai quali si aggiungono i 36 milioni di smart object che stanno alla base dei contatori elettrici, i 500.000 contatori gas tramite radiofrequenza e oltre 600.000 lampioni che sfruttano la connessione PLC o la radiofrequenza. In questo senso l'ascesa dell’Industrial Internet, dell’IIoT (Industrial Internet Of Things) e dell’Internet Machines sta facendo emergere non solo enormi e non ancora prevedibili opportunità di sviluppo – la ormai nota Quarta rivoluzione industriale – ma anche criticità. Tra questi il principale è la sicurezza informatica, dei sistemi di protezione e della solidità dei sistemi di rete. Spesso si generalizza, facendo rientrare l’intera questione sotto l’omnicomprensiva e arcinota sigla IT, ovvero Information Technology. Tuttavia quando l’attenzione viene posta sull’ambito industriale il concetto chiave più corretto non IT ma OT, cioè Operational Technology, che rappresenta l’insieme di tutti i “sistemi intelligenti” che gestiscono informazioni dell’impianto. La protezione dal rischio, dunque, non solo diventa materia trasversale a tutti i settori, ma si pone come elemento irrinunciabile e strategico per la vita di un’organizzazione, specie se chiamata a operare in un campo delicato e vitale come l’energia, le reti o i servizi di pubblica utilità: energia elettrica, gas, settore idrico. Focalizzandoci su quest’ultimo e, in particolare sul mondo degli acquedotti, emergono due temi di estrema rilevanza quali: •
il PSA ovvero Piano di Sicurezza delle Acque (in inglese WSP, Water Safety Plan)
•
la gestione delle perdite idriche, ovvero il Water Leakage Management.
4
Focus n. 16/ 2017 - Cyber Security Energia
Per quanto riguarda il primo punto, il PSA, l'Organizzazione Mondiale della Sanità ha introdotto da oltre un decennio il modello dei Water Safety Plans quale mezzo più efficace per garantire sistematicamente la sicurezza di un sistema idropotabile, la qualità delle acque fornite e la protezione della salute di consumatori, utenti, cittadini. In Italia sono ancora pochi gli acquedotti che si sono dotati di un PSA, ed il Ministero della salute, tramite Istituto Superiore di Sanità, ha messo a disposizione documenti ed esperti che si occupano attivamente di questo tema. Per quanto riguarda la gestione delle perdite idriche, la Direzione Ambiente della Commissione Europea ha pubblicato nel 2015 il documento “Buone pratiche per la gestione delle perdite idriche ”: un riferimento tecnico e normativo aggiornato per la gestione delle perdite per tutti i gestori ed i regolatori europei. In Italia più del 37% dell’acqua destinata agli utenti viene “persa” nel suo percorso lungo la rete. L'acquedotto di Milano (con perdite sotto il 17%) risulta tra i più efficienti, ma il dato va relazionato alla dimensione ed ai volumi di acqua erogata. L’impatto purtroppo è ben superiore ad altri acquedotti di minori dimensioni dove perdite in percentuale esponenzialmente superiori mostrano quantitativi assoluti ben più esigui: si spreca risorsa idrica, con potenziali e vari effetti negativi, anche relazionabili alla sicurezza delle persone. La normativa Europea in via di trasformazione, obbliga gli Stati Membri a monitorare in maniera più accurata sia la proficuità delle reti che la qualità dell’acqua erogata. I menzionati documenti (Water Safety Plan e Water Leakage Management) contengono anche le Good Practice per l’acquedotto del futuro (e magari del presente). Entrambi i documenti riguardano la conformità a regolamentazioni che mirano ad un miglioramento del “prodotto/servizio” da loro offerto ed hanno impatti diretti su tre aspetti, vitali per chi gestisce un acquedotto: •
la qualità dell’acqua
•
l’efficienza degli impianti per garantire continuità di servizio
•
la riduzione dei costi di erogazione.
Investire sulla protezione, dunque per scongiurare o limitare danni peggiori. Nel dicembre del 2016, la Lansing Board of Water & Light una utility (acquedotto ed energia elettrica) del Michigan, ha pagato 25.000$ di riscatto per riappropriarsi dei propri sistemi dopo che hacker da oltreoceano hanno bloccato i computer. Gli esperti di sicurezza ingaggiato dopo l’attacco hanno scoperto che la violazione con ransomware ha avuto inizio con un attacco di "spear-
5
6
Focus n. 16/ 2017 - Cyber Security Energia
phishing": un dipendente ha aperto un allegato di una e-mail e i malware accidentalmente sono stati scaricati sul computer collegato alla rete aziendale. Un caso preoccupante per la delicatezza del servizio erogato alla comunità. La maggior parte delle Utility degli Stati Uniti sostenevano che, anche se i criminali informatici fossero entrati all'interno delle loro reti aziendali esposte a Internet, come è accaduto a Lansing, sarebbe stato impossibile prendere il controllo della rete elettrica in quanto il lato “office” e il lato “operation” sono tenute separate, o come si dice, "air gapped”. Ma gli ultimi eventi, dentro e fuori gli Stati Uniti, mostrano che questo senso di sicurezza è probabilmente infondato. Il panorama industriale sta cambiando rapidamente e in maniera profonda: le sfide riguardano gli aspetti economici, il sovraccarico di informazioni, la formazione del personale o l’irrompere di nuove tecnologie, la proliferazione di sistemi e dispositivi intelligenti, l’uso esteso di dati di processo, i dati in funzione del tempo e le serie temporali. Gli effetti visibili riguardano il consolidamento dei sistemi, l’aumento dell'influenza IT, le competenze in settori verticali, Cloud e mobilità operativa, una maggiore rapidità di adozione delle tecnologie, l’utilizzo dei social media. E in questo quadro, anche i sistemi di controllo e telecontrollo HMI/SCADA si modificano. È sufficiente pensare al ruolo giocato dalle control room. Fino a ieri erano importanti luoghi fisici di conoscenze operative, verso cui le informazioni confluivano da diverse fonti e all’interno dei quali il personale preposto si riuniva per analizzare i dati. Oggi – e sempre più nel futuro – grazie a dispositivi mobile, connettività e servizi in cloud saranno spazi immateriali, ai quali soggetti geograficamente distanti potranno accedere in ogni momento e da ogni luogo. Il cambio di paradigma è evidente: la disponibilità continua di dati – anche sensibili – e la possibilità di operare in qualsiasi momento e da qualsiasi luogo porta enormi vantaggi, ma anche ad altrettanto grandi rischi se non si prendono le adeguate precauzioni. E ciò è valido per i dispositivi mobile che si configurano come gli elementi attraverso i quali si accede alle informazioni e si opera sia per quegli strumenti come sensori, attuatori, protocolli di comunicazione progettati prima dell’era di Internet o in una fase precedente a questa, quando il rischio informatico era decisamente meno cogente. Pensare di affrontare la questione della security dei sistemi industriali con lo stesso approccio finora impiegato nelle soluzioni “business” sarebbe un errore. Se in ambito IT i principi base della cyber security definiscono un dato sicuro quando sono rispettati i criteri RID (Riservatezza, Integrità, Disponibilità), in ambiente OT l’ordine di questi tre fattori va letto
7
al contrario: le caratteristiche irrinunciabili sono infatti “Disponibilità” ed “Integrità”, mentre la Riservatezza è quasi un parametro accessorio. Un sistema infatti deve essere innanzitutto “Always On” e dunque, a seconda dell’utilizzo più o meno critico, la disponibilità del sistema deve prevedere anche la Fault Tolerance. Ciò significa avere sistemi ridondati a caldo (almeno 2 attivi in parallelo) e tempi di ripartenza ridotti al minimo. L’Integrità del dato, invece, si può ottenere solo adottando soluzioni software pensate e sviluppate per garantire affidabilità nella catena di gestione del dato (dal sensore allo schermo del computer), una completa tracciabilità degli accessi e una precisa registrazione (eventualmente anche con sistemi di doppia firma elettronica o similari) in caso di variazioni o correzione di dati o valori (anche con un log ed Audit Trail) Una logica conseguenza di questi principi è che in ambito industriale vanno utilizzate soluzioni espressamente pensate per questo scopo. Il mercato propone oggi dispositivi intelligenti con funzioni IPS/IDS, Firewall, Antimalware e soprattutto dotate di avanzate funzioni di filtraggio, application / protocol / datapackage, White-Listing ed Anomaly detection: le uniche tecniche che si sono dimostrate veramente efficaci nel contrastare problemi di security su reti e sistemi di controllo e telecontrollo in molti settori industriali. Si è infatti dimostrato inefficace il semplice utilizzo di Firewall pensati per le applicazioni web ed IT tradizionali, in quanto non è agevole definire regole per le connessioni ed il filtraggio dei dati che possano essere valide anche per il mondo dell’OT (Operation Technology): porte, protocolli e regole sono infatti diverse e tipiche dei dispositivi collegati alla rete di impianto e dei sistemi di controllo e telecontrollo. Come diverse sono le competenze richieste per capire e quindi proteggere in modo adeguato le applicazioni OT in reti di automazione, controllo e telecontrollo dai rischi informatici nell’industria e nelle Infrastrutture Critiche. L’approccio più corretto per giungere a un sistema di protezione efficace e funzionale è quello ormai definito “olistico”, ovvero capace di considerare la sicurezza informatica in un’ottica di interezza, globalità.
Energia Media
8
FOCUS 16/2017 - CYBER SECURITY ENERGIA
Energia Media Milano / Roma comunicazione@energiamedia.it www.energiamedia.it
10