L’Internet of Things (IoT) sta aiutando le aziende a migliorare la produttività e la redditività liberando la potenza dei dati dai limiti dei loro sistemi di distribuzione elettrica. I dispositivi IoT e le applicazioni innovative migliorano l’efficienza energetica, la sicurezza elettrica, l’affidabilità, i processi e la disponibilità di alimentazione.
Con l’aumento della connettività e della convergenza IT/OT, tuttavia, aumenta il rischio della sicurezza informatica. Lo standard IEC 62443 offre un sistema coerente e semplificato per definire il livello di gestione della sicurezza informatica necessario a garantire una solida infrastruttura di distribuzione elettrica.
Recentemente, la società globale di ricerca e consulenza Gartner Inc ha stimato 14,2 miliardi di oggetti IoT (Internet of Things) connessi in tutto il mondo, con 25 miliardi previsti entro il 2025. L’IoT è oggi diventata una necessità per mantenere un vantaggio competitivo, e circa il 94% delle aziende registra un ritorno dell’investimento nell’IoT. Oltre che nell’automazione degli edifici e nei processi, l’IoT è entrata anche nelle infrastrutture elettriche degli edifici: contatori, sensori e interruttori automatici intelligenti, nonché altri tipi di dispositivi di protezione e controllo, continuano a crescere in termini di intelligenza e connettività. E i dati che forniscono sono elaborati da applicazioni analitiche sempre più potenti.
Sia che si acceda al cloud oppure che si rimanga on-site nell’Edge della distribuzione dell’energia, i team di facility management e finanziari possono utilizzare le applicazioni abilitate dall’IoT per acquisire dati dai loro sistemi di distribuzione elettrica, ottenere informazioni complete sulle prestazioni operative e sulla sicurezza e affidabilità dell’alimentazione energetica. Ciò contribuisce a migliorare la sicurezza, la produttività e la redditività della struttura.
Maggiore sicurezza
Il 22% degli incendi è di origine elettrica. I sensori IoT wireless consentono il monitoraggio continuo del calore e grazie ai software di controllo è possibile il rilevamento tempestivo e il preallarme delle condizioni che potrebbero causare incendi.
Miglioramento delle prestazioni energetiche e di alimentazione
La possibilità di condurre estese acquisizioni di dati con le funzionalità analitiche implementate nei dispositivi, nei software e nel cloud, permette ai team di facility management e ai fornitori di servizi di riconoscere le inefficienze energetiche e di conseguenza mettere in atto azioni per abbattere la spesa energetica, fornendo al tempo stesso avvisi tempestivi sulle anomalie di alimentazione che possono mettere a rischio le apparecchiature e la continuità di funzionamento.
Miglioramento del rendimento degli asset
Una rete di dispositivi IoT consente di ottenere visibilità in tempo reale sullo stato delle risorse critiche come interruttori automatici, gruppi elettrogeni e trasformatori. In tal modo, è possibile passare dalle strategie di manutenzione reattiva a quelle di manutenzione predittiva, identificando i rischi, prolungando la durata delle apparecchiature e risparmiando denaro.
Mantenimento della conformità e raggiungimento della sostenibilità
La tecnologia IoT permette in maniera efficace di misurare, analizzare e segnalare le prestazioni energetiche. Ciò semplifica la conformità alle normative sulle emissioni, aiutando i team di struttura a raggiungere prestazioni energetiche superiori grazie a best practice come gli standard ISO 50001 e contribuiscono ad acquisire credito rispetto ai sistemi di classificazione degli edifici ecologici, come LEED, BREEAM.
Rischi per la cybersecurity
A fronte di un chiaro vantaggio nell’aumento di conoscenza prestazionale nelle apparecchiature di distribuzione dell’energia elettrica, le tecnologie operative (OT) che ne consentono l’implementazione, stanno diventando sempre più esposte al rischio di attacchi informatici. Analogamente ai sistemi IT, le organizzazioni devono urgentemente investire nell’implementazione delle best practice di sicurezza informatica per i sistemi elettrici intelligenti e connessi.
Lo standard IEC 62443 può fungere da quadro di riferimento per la sicurezza informatica OT, contribuendo a semplificare la definizione dei requisiti.
Conseguenze di un attacco informatico al sistema elettrico
Il 67% degli intervistati afferma che negli ultimi 12 mesi le loro aziende hanno subito almeno una compromissione della sicurezza con conseguente perdita di informazioni confidenziali o interruzione delle operazioni.Ponemon Institute/Unisys
In particolare, per gli impianti elettrici un attacco informatico può avere importanti conseguenze:
Se l’attacco comporta una violazione dei dati, il malintenzionato può ottenere l’accesso a profili di carico e potrebbe ottenere dei dati che potrebbero essere considerati dati competitivi (p.e. utilizzo del server).
Se l’attacco provoca un malfunzionamento delle apparecchiature, può rappresentare un rischio per la sicurezza dei dipendenti o della popolazione. Ad esempio, in un impianto petrolchimico l’interruzione dei processi può causare pericolose esplosioni.
L’interruzione di corrente causata da un attacco informatico può provocare perdite molto ingenti, come è successo in un attacco a una fonderia ove a causa di un attacco cyber si è indurito del metallo liquefatto. Un guasto ai sistemi di alimentazione di riserva causata dall’interruzione di energia elettrica in un ospedale può mettere a rischio la vita delle persone come recentemente accaduto.
*Costi di inattività tipici per i principali settori.
Riconciliare le priorità IT e OT
La consapevolezza di queste minacce ha reso gli incidenti informatici la principale causa di interruzione più temuta dalle aziende. È chiaro che ogni azienda deve rendere la sicurezza informatica una priorità assoluta attraverso la prevenzione: è ciò comprende la messa in sicurezza di tutti i sistemi IT e OT, inclusa l’infrastruttura elettrica intelligente e connessa.
Quando si parla di sicurezza informatica, le priorità dei team IT e OT spesso si sovrappongono ma non si allineano perfettamente. Con il crescente numero di dispositivi connessi all’IoT e alla convergenza dei sistemi IT e OT, è necessario che i team IT e OT collaborino nella gestione della sicurezza informatica per garantire la protezione di tutte le superfici di attacco e che entrambi i team siano in grado di fornire una risposta rapida e coordinata a eventuali vulnerabilità o attacchi alla sicurezza informatica.
Se applicati all’OT, molte politiche e processi IT possono causare interruzioni nel sistema OT.
Lo standard IEC 62443 può fornire ai team IT e OT un punto di riferimento comune. Lo standard aiuta un team OT a specificare il livello di sicurezza necessario per i sistemi OT (inclusa la distribuzione elettrica), mentre il team IT utilizza lo standard per comprendere le esigenze di sicurezza dei sistemi OT. La norma funge da punto di accordo condiviso: un “ponte” per la cooperazione tra i due team.
Valutazione dei rischi
Sviluppata congiuntamente dai comitati della International Standards Association (ISA) e della Commissione Elettrotecnica Internazionale (IEC), l’IEC 62443 è una serie di standard concepiti per “progettare robustezza e resilienza della sicurezza informatica nei sistemi di controllo dell’automazione industriale (IACS)… nel più vasto senso possibile, che includono tutti i tipi di impianti, strutture e sistemi… hardware e software come DCS, PLC, SCADA, sistemi elettronici di rilevamento e monitoraggio e di diagnostica di rete”.
La norma IEC 62443 è stata approvata da molti paesi ed è stata adottata da molte aziende, tra cui Schneider Electric. Lo standard aiuta nella valutazione dei rischi e nella “individuazione e applicazione di contromisure di sicurezza per ridurre tali rischi a livelli tollerabili”, analizza tutti gli scenari di incidente pertinenti e assegna i livelli di rischio in base a:
Minacce alle quali può essere esposto il sistema.
Probabilità di tali minacce si possano trasformare in incidenti.
Vulnerabilità intrinseche nel sistema.
Risorse interessate, ad esempio, sviluppare un inventario di tutte le risorse che necessitano di protezione, incluse quelle fisiche (p.e. sistemi di monitoraggio e controllo, componenti di rete, tutto ciò che implica la gestione dei processi e dell’azienda), logiche (ad es. proprietà intellettuale, pratiche proprietarie, ecc.) e umane (ad es. un allarme erroneo nell’impianto che provoca l’arresto del
personale, qualunque tipo di attacco che può provocare lesioni personali).
Conseguenze degli asset e dei processi aziendali compromessi.
Dopo l’analisi dei rischi avviene la determinazione del livello di tolleranza dei rischi. A seconda del rischio che corre una determinata organizzazione, il team di gestione deve “definire con chiarezza e comprendere l’esposizione o la tolleranza dei rischi, in modo da poter analizzare meglio il suo livello di risposta ai rischi residui identificati”.
Sette pilastri della sicurezza informatica
Lo standard IEC 62443 aiuta a proteggere i sistemi IoT ed OT con sette requisiti fondamentali:
Controllo accessi: proteggere il componente verificando l’identità dell’utente che richiede l’accesso, prima di attivare la comunicazione con tale componente.
Controllo utilizzi: protezione contro azioni non autorizzate sui componenti, verificando che i privilegi necessari siano stati concessi prima di consentire all’utente di eseguire le azioni.
Integrità dei dati: garantire che i componenti funzionino come previsto durante gli stati operativi e non operativi, quali la produzione e lo stoccaggio dell’energia o uno showdown per manutenzione.
Riservatezza dei dati: protezione delle informazioni riservate o sensibili generate da componenti, a riposo o in transito.
Limitazione del flusso di dati: verificare la connessione del dispositivo a una rete segmentata in cui sono definite strategie di scollegamento, gateway unidirezionali, firewall e zone demilitarizzate per evitare inutili flussi di dati. La segmentazione della rete è una strategia in grado di arrestare un attacco informatico nel passaggio da un sistema connesso all’altro (p.e. dalla rete elettrica alla rete aziendale).
Risposta tempestiva all’evento: risposta alle violazioni della sicurezza mediante segnalazione all’autorità competente, segnalazione dei requisiti di prova della violazione e adozione di misure correttive tempestive in caso di incidenti riscontrati in situazioni critiche per la mission aziendale o per la sicurezza.
Disponibilità delle risorse: garantire la disponibilità dell’applicazione o del dispositivo contro il degrado dei servizi. Ai requisiti sovrapposti tra sicurezza IT e OT (evidenziati in verde nell’elenco precedente), i team OT assegnano un diverso ordine di priorità. Nel caso degli impianti di distribuzione elettrica, la massima priorità sarà quella di garantire la sicurezza e la disponibilità dell’alimentazione (come da immagine successiva).
Differenza nelle priorità di sicurezza tra team IT e OT.
Determinazione dei livelli di sicurezza appropriati
Per ognuno di questi sette requisiti, l’organizzazione deve definire il livello di sicurezza richiesto. I livelli di sicurezza definiscono le funzioni di sicurezza informatica integrate a livello dei dispositivi e in tutto il sistema OT (p.e. distribuzione elettrica). L’incremento della robustezza dei dispositivi e del sistema li rende più resistenti alle minacce cibernetiche.
I quattro livelli di sicurezza informatica definiti dalla norma IEC62443
Per ogni livello di sicurezza, le specifiche IEC 62443 definiscono un ampio elenco di requisiti necessari per ottenere la conformità a dispositivi e sistemi finali.
Garantire sistemi di distribuzione elettrica sicuri
Secondo la norma IEC 62443, i progettisti di sistemi, gli amministratori e i proprietari di strutture devono seguire una serie di importanti passaggi per assicurare che i sistemi di distribuzione elettrica siano i più sicuri possibile.
Consulenza: trovare uno specialista di distribuzione dell’energia elettrica con una profonda conoscenza dei requisiti di sicurezza informatica che assista nella valutazione dei rischi e nella definizione dei livelli di sicurezza richiesti, conformemente allo standard 62443.
Fornitore di soluzioni: scegliere un fornitore di tecnologie per sistemi elettrici che ha adottato lo standard IEC 62443 e ha creato un processo di sviluppo sicuro per:
Garantire procedure progettuali resilienti.
Fornire una risposta strutturata al cliente in caso di vulnerabilità rilevate.
Eseguire test completi e convalidare la sicurezza di tutti i componenti e sistemi.
Dimostrare la certificazione della sicurezza informatica di terze parti.
Fornire soluzioni personalizzate e flessibili in linea con i requisiti dell’azienda.
Fornitori di servizi: scegliere i partner con le capacità richieste:
Integratore di sistemi con profonda competenza IT e OT, in particolare per la sicurezza informatica nel contesto dei sistemi operativi critici.
Servizi di sicurezza informatica che possono fornire una risposta rapida per aiutare i clienti a valutare un attacco informatico e porvi rimedio.
Aggiungi un commento