Cybersicurezza OT
Sicurezza informatica delle infrastrutture
La direttiva NIS2 ha spostato l’asticella: segmentazione, gestione delle identità e notifica degli incidenti diventano requisiti di progetto.
Per anni le reti che governano sensori, pannelli e impianti di galleria sono state protette dall'oscurità: protocolli poco noti, apparati raggiungibili solo da dentro, nessuna esposizione diretta. Quell'epoca è finita. La telemetria cellulare, la manutenzione remota e l'integrazione con i sistemi gestionali hanno collegato il mondo operativo al resto della rete, e la superficie esposta è cresciuta di conseguenza.
La direttiva europea nota come NIS2 e la sua norma nazionale di recepimento hanno formalizzato ciò che i responsabili tecnici già sapevano: la sicurezza di queste reti è un requisito di progetto, con obblighi di governo, misure minime e termini di notifica. Vale la pena vedere che cosa significa in cantiere.
Che cosa cambia davvero
Tre cose. La prima è l'ampliamento del perimetro: i trasporti sono fra i settori considerati, e la responsabilità risale fino agli organi di amministrazione dell'ente, che devono approvare e sorvegliare le misure. La seconda è l'estensione alla catena di fornitura: il gestore risponde anche della sicurezza dei fornitori che accedono ai suoi sistemi, il che significa clausole contrattuali e verifiche, non fiducia. La terza è la notifica degli incidenti significativi secondo una sequenza a tappe, con un primo avviso in tempi molto brevi e relazioni successive più dettagliate.
Nessuna di queste richieste è tecnicamente esotica. Tutte richiedono però che qualcuno le abbia previste in fase di progetto, perché retrofittarle su un impianto in esercizio è molto più oneroso.
Segmentazione: il primo strato che paga
La misura singola con il miglior rapporto fra efficacia e costo resta la separazione fra la rete di campo e la rete d'ufficio. Non è un firewall generico posto a valle di tutto: è una segmentazione per zone e condotti, con flussi consentiti dichiarati esplicitamente e tutto il resto negato per impostazione predefinita.
- Zona di campo — concentratori, unità di bordo strada, apparati di galleria — priva di accesso diretto a Internet.
- Zona di supervisione, che comunica con il campo solo attraverso i protocolli previsti e verso destinazioni note.
- Zona d'ufficio e accesso remoto dei manutentori, separata da un punto di ingresso controllato e registrato.
- Nessun apparato di campo raggiungibile con indirizzo pubblico. Le SIM di telemetria su APN privato, mai su APN pubblico.
Quest'ultimo punto è quello che troviamo più spesso disatteso: nodi con SIM dati su rete pubblica, raggiungibili con la sola conoscenza dell'indirizzo, con credenziali di fabbrica mai cambiate. È il modo più economico di mettere in esercizio un impianto, e il più caro nel lungo periodo.
La sicurezza di una rete di campo si misura dal numero di apparati che nessuno riesce più a raggiungere quando smette di essere necessario.
Identità, accessi e credenziali di servizio
Gli accessi amministrativi devono essere nominali. Le utenze condivise fra tecnici sono comode e rendono impossibile ricostruire chi ha fatto che cosa, che è precisamente ciò che serve durante e dopo un incidente. L'autenticazione a più fattori sugli accessi privilegiati e su tutti gli accessi remoti non è più negoziabile.
Le utenze di servizio — quelle usate dagli applicativi per parlarsi — vanno trattate con la stessa serietà: privilegi minimi, credenziali distinte per ciascun accoppiamento, rotazione periodica e nessuna credenziale scritta nei file di configurazione in chiaro. L'inventario delle utenze di servizio è uno dei documenti che quasi nessuno mantiene e che serve al primo audit.
La catena di fornitura è parte del perimetro
L'accesso remoto del manutentore è, statisticamente, una delle vie di ingresso più sfruttate. Va concesso su richiesta e per finestre limitate, non in permanenza; va registrato integralmente; e va revocato con procedura scritta alla scadenza del contratto. Un accesso dimenticato di un fornitore che non lavora più per l'ente è una porta aperta senza sorveglianza.
Aggiornamenti e distinta software
Ogni componente ha una distinta dei componenti software, mantenuta e confrontata con i bollettini di vulnerabilità. Sapere quali librerie girano su un concentratore installato cinque anni fa è la condizione minima per poter rispondere alla domanda «siamo esposti?» quando esce una vulnerabilità grave.
Gli aggiornamenti firmware devono essere firmati e verificati dal dispositivo prima dell'applicazione, con possibilità di ritorno alla versione precedente in caso di guasto. Le finestre di intervento si concordano con l'esercizio, perché su un impianto di galleria o su un sistema di comando dei pannelli l'aggiornamento è a tutti gli effetti una lavorazione che incide sulla sicurezza della circolazione.
Registrazione degli eventi e notifica
La registrazione centralizzata degli eventi, con orologi sincronizzati e conservazione per un periodo definito, è ciò che rende possibile ricostruire un incidente. Senza registri coerenti, la ricostruzione si basa sui ricordi delle persone, e le tempistiche richieste dagli obblighi di notifica non sono compatibili con quel metodo.
La procedura di notifica va scritta prima, provata e conosciuta dai turnisti: chi decide che un evento è significativo, chi redige, chi firma, entro quando. È la parte meno tecnica e più frequentemente trascurata dell'intero adempimento. Il momento peggiore per scoprire che nessuno sa chi deve firmare la notifica è il momento in cui bisogna inviarla.
Una nota finale sul realismo
Nessun impianto stradale può essere messo in sicurezza una volta per tutte. L'obiettivo ragionevole è ridurre la superficie esposta, sapere che cosa si ha in esercizio, poter aggiornare senza fermare il servizio e poter ricostruire l'accaduto. Sono quattro capacità organizzative, non quattro prodotti da acquistare, e si costruiscono nel tempo che intercorre fra un progetto e il successivo.