La protezione dei dati e la cybersecurity: tutti ne parlano e ne affermano l’importanza, ma quanti mettono in campo azioni concrete? Troppo spesso, infatti, i budget stanziati dalle organizzazioni sono a stento sufficienti a soddisfare requisiti legali e normativi, ma largamente deficitari rispetto alla gravità delle cyber minacce.
Smart cities e smart buildings sono una realtà in continua e rapida espansione. Un successo crescente e che sarà sicuramente accelerato dagli ingenti fondi messi a disposizione dal PNRR. Una buona notizia per aziende e cittadini, ma un catalizzatore di attenzioni da parte dei criminali informatici. Ne parliamo con Umberto Pirovano, Manager System Engineering di Palo Alto Networks
Quali sono le principali sfide per la cybersecurity per le smart city e gli smart building?
Col termine “Smart City” si intende una trasformazione con importanti impatti sulle infrastrutture per rendere le città più intelligenti, efficienti e sostenibili per i loro residenti. Si impiegano soluzioni incentrate sui dati per risolvere le moderne sfide urbane, quali mobilità, energia, acqua, sotto la spinta della sostenibilità, la pressione dei costi delle materie prime e un nuovo modello di lavoro accelerato dalla pandemia. La necessità di connettività pervasiva attraverso l’innovazione rappresenta il sistema nervoso centrale necessario alla creazione di città ed edifici che siano realmente data driven: alcune delle tecnologie abilitanti quali 5G e l’Internet delle cose (IoT), Artificial Intelligence, cloud e edge computing stanno creando i modelli infrastrutturali necessari all’evoluzione smart. Le “vere” città intelligenti sono destinate a diventare realtà in un futuro non troppo lontano. La domanda oggi è: cosa rende una città “intelligente” e in che modo, ad esempio, il 5G e l’IoT sono pronti a svolgere un ruolo in questa trasformazione?
Non c’è dubbio che la promessa del 5G sia fondamentale per portare la nascente visione di “vere” città intelligenti dall’aspirazione all’attuazione. La sfida più grande, tuttavia, è la sicurezza. La città di San Francisco lo sa fin troppo bene. Nel settembre 2016, i criminali informatici sono riusciti a compromettere quasi un quarto delle reti utilizzate dalla San Francisco Municipal Transportation Agency e a infettarle con ransomware.
In generale, queste sfide alla cybersecurity vanno di pari passo con la visione delle città intelligenti:
Ampia superficie di attacco: a causa del loro volume in continua crescita e il deployment esteso e potenzialmente esposto, i dispositivi IoT in un ecosistema di città intelligenti possono essere complessi da proteggere, con molti più punti di penetrazione per gli attacchi. Armati di botnet, i dispositivi IoT diventano canali per infiltrarsi nell’infrastruttura critica di una città con malware.
Sfide per la sicurezza dei dati: i dati generati dai dispositivi IoT sono l’impulso principale per il modello operativo di una città intelligente. Gli hacker possono utilizzare dispositivi e sensori compromessi per ottenere l’accesso non autorizzato a dati pubblici sensibili e riservati e sottoporli a manomissioni e intercettazioni durante il transito, causando gravi problemi di riservatezza, integrità e disponibilità dei dati.
Sicurezza delle applicazioni: l’utilizzo massimo di edge e cloud computing porta a una delocalizzazione delle applicazioni che diventano vitali nei processi smart in real time o nelle elaborazioni di trending. Come per i dispositivi IoT, anche per le applicazioni, i processi di identificazione e patching di vulnerabilità possono essere complessi e lenti, aprendo di fatto porte di accesso agli attaccanti.
Sfide relative al tempo di attività della rete e delle applicazioni: i dispositivi IoT armati si prestano come bersagli per il lancio di massicce inondazioni di segnali e attacchi volumetrici di tipo DDoS, alla rete wireless e alle applicazioni cloud che costituiscono il framework ICT di una città intelligente. Questi attacchi compromettono la capacità della rete di recapitare messaggi reali alle applicazioni nel cloud. Gli attacchi DDoS possono anche essere utilizzati per avere un impatto negativo sulle applicazioni che elaborano e analizzano i dati delle città intelligenti paralizzandoli o rendendoli del tutto insensibili.
Quali tecnologie sarebbe meglio applicare per proteggere questi ambienti?
Abbiamo descritto un ambiente complesso, distribuito e altamente disomogeneo a livello architetturale e tecnologico: la prima domanda da porsi è se un approccio tradizionale, volto a risolvere sfide specifiche di sicurezza, possa portare a un risultato differente da quello di aumentare il livello di complessità, con la conseguenza di far percepire una postura di sicurezza complessiva superiore a quella che in realtà si sta ottenendo.
Abbiamo identificato alcuni elementi su cui occorre concentrare gli sforzi per la protezione:
Dispositivi sensori/attuatori IoT
Il trasporto dei dati che avverrà su tecnologie differenti, a volte non intercettabile con tecnologie classiche di segmentazione e controllo
I “data at rest”, ove vengono raccolti per le elaborazioni tipicamente di trending
Le applicazioni, delocalizzate, a volte in formato embedded, altre cloud based, con un processo di sviluppo/test e rilascio automatizzati che a sua volta richiede livelli di sicurezza specifici.
Fondamentali anche la verifica della compliance agli standard, la misura e le verifiche dei livelli di rischio e l’intero ciclo della gestione degli incidenti, particolarmente complessa in casi in cui gli attacchi siano trasversali a differenti infrastrutture, magari sotto diverse gestioni.
Possiamo incollare delle etichette di prodotti a ciascuno di questi aspetti, ad esempio: firewall intelligenti per la segmentazione del traffico con capacità di prevenzione di attacchi mai visti tramite tecniche di deep learning in linea e analisi comportamentale; protezione di workload in cloud e degli ambienti container per le applicazioni moderne, con capacità di micro segmentazione, protezione dell’intera catena CI/CD e DevOps e Infrastructure as Code tramite una Cloud Native Security Platform; automazione delle operazioni nei SOC, (XDR, XSOAR) dando agli analisti strumenti in grado di facilitare i lavori a valore, quali il threat hunting, una misura continua dell’attack surface per evitare esposizione cieca di risorse.
L’approccio ideale, quindi, è quello di adottare una progettazione security first con lo scopo di raggiungere lo Zero Trust, ovvero la rimozione di tutti i trust impliciti: la strategia Zero Trust non dovrebbe mai concentrarsi su una tecnologia ristretta. Dovrebbe invece considerare l’intero ecosistema di controlli (rete, endpoint, cloud, applicazioni, IoT, identità e altro) su cui anche smart city e smart building fanno affidamento per la protezione.
IoT e 5G, insieme all’edge computing sono destinati a creare volumi di dati mai visti prima. Siamo pronti a proteggerli, e che insidie si nascondono per la privacy e la sicurezza?
Il tema della privacy sta diventando sempre più centrale nel modo in cui le aziende gestiscono i dati. Un ultimo recente esempio riguarda la diatriba tra Meta e l’Unione Europea proprio sulla difficile gestione dei dati e, in particolare, sulla sentenza della Corte di Giustizia Europea con la quale è stato reso non valido il Privacy Shield, cioè l’accordo tra Bruxelles e Washington per il trasferimento dei dati tra Stati Uniti ed Europa. Questo tema è sicuramente centrale nel mondo delle smart city, ma non bloccherà l’evoluzione delle città spinta anche da una necessità di sostenibilità. Con l’aumento esponenziale dei dati raccolti, che saranno fondamentali per fornire servizi efficienti, sarà necessario trovare l’equilibrio tra sicurezza, privacy ed esperienza utente ottimale.
È facile immaginare un lungo periodo di coesistenza fra sistemi legacy e smart building secure by design. Come armonizzare questi ambienti, senza che l’anello debole della catena metta a rischio l’intero ecosistema?
Questo è un tema particolarmente complesso, in quanto a volte vi sono interazioni necessarie tra gli ambienti legacy, i servizi smart e quelli trasformati in smart, col conseguente rischio di non procedere con un approccio security by design o shift-left della cybersecurity. Diventa fondamentale un’accurata analisi dei rischi e l’integrazione dei processi di gestione della cybersecurity con il resto dei processi di garanzia della continuità operativa degli stabili. Essendo Il tema della cybersecurity ultra-specialistico sarà probabilmente necessario appoggiare questi servizi su entità terze in grado di garantire una professionalità verticale in tema di gestione, analisi e ricerca.
