Scopri
Siderweb
Prova Gratuita 
I nostri video

Industria 4.0 e Cyber Security

Il rapporto di Kaspesky Lab sulla vulnerabilità dei sistemi di controllo industriale

lettura-notizia

> Gervasoni: industria 4.0 e Cyber Security 

BRESCIA - 1 settembre 2016

Quando la Redazione mi ha chiesto di commentare il rapporto di Kaspesky Lab sulla Vulnerabilità dei sistemi di controllo industriale sono stato piacevolmente sorpreso, ma in parte anche preoccupato. È vero che Siderweb in 15 anni (a proposito, auguri!) ha sempre saputo anticipare temi importanti, ma questo potrebbe essere un compito veramente arduo. Perché? È semplice: di sicurezza informatica nel manifatturiero non se ne parla proprio, o comunque se ne parla troppo poco. Il mio scoglio più grande non sarà perciò quello di illustrare i dettagli della ricerca che, per chi ne mastica un po’ si commenta da sola, ma portare chi è meno interessato a questi temi alla fine dell’articolo. Ricordando a tutti che sistemi complessi e strutture come quelle legate all'Industria 4.0 chiederanno una attenzione alla cyber sicurezza centuplicata.

Per tenere alta l’attenzione vi suggerisco di guardare il filmato sotto: è del 2011, e questo è un elemento su cui tornerò poi.

Divertente? Anche, ma prima di tutto è preoccupante la facilità di intrusione e i pericoli potenziali che ha comportato. Il sistema di controllo degli edifici non controlla solo le luci, ma anche ascensori, porte, sistemi d’allarme, riscaldamento ecc. La tecnologia che controlla un edificio è però la stessa che controlla una fabbrica e qui, oltre alle luci, sovraintende anche agli impianti industriali e di produzione.  Adesso forse è meno divertente e più preoccupante. Perché è importante sapere che il filmato è del 2011?  Primo perché questo è uno degli ultimi filmati disponibili in rete che parla di questo genere di intrusione, non perché non se ne facciano più, semplicemente perché da qualche anno l’hacker burlone non esiste più: tutte le attività di attacco a impianti e computer sono attuate da criminali a scopo economico e né questi si fanno pubblicità né le vittime raccontano al mondo le proprie vulnerabilità. Secondo perché all’epoca poche infrastrutture erano connesse alla rete (internet) e un attacco comportava un accesso fisico all’obiettivo. Oggi non è più così.

Il rapporto di Kaspersky Lab dice che sono pubblicamente note, alla data della stesura, 220.688 ICS (Industrial Control Systems) connessi alla rete e una buona percentuale di questi sono vulnerabili ad attacchi dall’esterno. Pensiamo poi che il trend che va sotto il nome di Industria 4.0 prevede che nel giro di qualche anno gli oggetti (macchine, computer, telefoni, impianti) collegati alla rete raggiungerà alcuni miliardi. Sono vicende note l’attacco del 2015 alla compagnia elettrica ucraina Prykarpattyaoblenergo che ha lasciato al buio mezza città ad Ivano-Frankivsk o alla Kemuri Water Company in cui gli attaccanti hanno avuto accesso ai PLC che miscelano i composti chimici che potabilizzano l’acqua o ancora, e qui veniamo al settore dell’acciaio, all’attacco subito a fine 2014 da un’acciaieria tedesca e descritto dalla BSI tedesca (Federal Office for Information Security) che ha comportato un incontrollato spegnimento del forno fusorio.

Ancora più preoccupante? A proposito, non cercate Kemuri Water Company, è un nome di fantasia dietro alla quale si nasconde una società reale di un caso reale descritto nel Data Breach Digest 2016 di Verizon, una delle principali società di telecomunicazioni del mondo. E neppure cercate il nome dell’acciaieria tedesca: la riservatezza (omertà?) in questi casi è impenetrabile. E anche questo è un danno, non sapere lascia bassi i livelli di attenzione e non crea consapevolezza

Mi sono allora chiesto come fare a rendere più concreto il messaggio, far capire che tutto ciò è reale? Senza usare alcuno strumento da hacker, senza compiere alcuna azione illegale, senza accedere al Dark Web, ho provato a vedere che cosa c’è in giro in Italia. In meno di un’ora, sondando una zona reale, diciamo un raggio di 10 Km intono alla sede di Siderweb, ho trovato un paio sistemi ICS accessibili dall’esterno. In confidenza, «ravanando» sempre in maniera pulita nel web, ho pure trovato una sede dei vigili urbani di una città del nord! Io non ho provato in alcuna maniera a forzare l’accesso ad alcun sistema e il fatto che fossero o meno protetti da password non è rilevante e non rappresenta una protezione adeguata: nella ricerca se ne parla. Per me che non sono un criminale il fatto che l’acceso non autorizzato ad un sistema altrui costituisca reato è un adeguato deterrente. Ma per un criminale? Ricordate, non esistono più da tempo i geek bontemponi che accedono ai sistemi altrui per divertirsi. Ci sono solo vere e proprie bande di cybercriminali che vivono di ricatti ed estorsioni e che sono un’evoluzione del criminale tradizionale.

Giancarlo Gervasoni  - Amministratore delegato Zerouno Informatica SpA



“Un cavaliere esperto non maltratta mai il suo cavallo”

Joseph Schumpeter

DOSSIER

Dossier

Futura Expo 2023

Acciaio ancora protagonista di sostenibilità

MERCATI

SPECIALI

Speciali

Speciale 2023

Analisi, considerazioni e focus sugli ultimi dodici mesi e aspettative sul 2024

Altri Speciali

Riciclo imballaggi

RICREA: «Superato approccio ideologico della normativa imballaggi Ue»
A cura di Federico Fusca

RICREA: «Superato approccio ideologico della normativa imballaggi Ue»

Una sola richiesta: «Uniformare i sistemi di calcolo delle quantità riciclate per raggiungere i target comuni»