Cyber insurance nell'industria: requisiti tecnici e come prepararsi all'assessment

Il mercato assicurativo dopo i grandi incidenti industriali

Il mercato della cyber insurance è cambiato profondamente dopo una serie di incidenti ad alto impatto nel settore manifatturiero e delle infrastrutture. NotPetya nel 2017 ha causato danni per miliardi, con impatti devastanti su grandi aziende industriali. Colonial Pipeline nel 2021 ha mostrato cosa succede quando un attacco ransomware tocca infrastrutture critiche. WannaCry ha bloccato fabbriche in tutto il mondo.

Le compagnie assicurative hanno risposto in due modi: alzando i premi e diventando molto più selettive sui rischi che accettano di coprire. Un'organizzazione industriale che non dimostra un livello minimo di maturità nella sicurezza informatica trova sempre più difficile ottenere copertura, o la ottiene a costi molto più elevati.

La conseguenza è che la cyber insurance è diventata un driver indiretto di miglioramento della postura di sicurezza: non per scelta, ma perché ottenere copertura ragionevole richiede dimostrare controlli tecnici adeguati.

Cosa chiedono le compagnie: il questionario tipo

Il processo di sottoscrizione di una polizza cyber inizia tipicamente con un questionario dettagliato. Per gli ambienti industriali, le domande si sono evolute per includere specifiche sezioni OT.

Le aree principali coperte dai questionari:

Accesso remoto: la domanda è quasi sempre la stessa, "Tutti gli accessi remoti ai sistemi OT/SCADA richiedono MFA?" Una risposta negativa è un segnale di allarme immediato per il sottoscrittore.

Segmentazione di rete: "I sistemi OT sono separati dalla rete IT?", e spesso con follow-up tecnici su come è implementata la separazione e se esistono sistemi dual-homed.

Gestione delle patch: "Qual è il processo per applicare aggiornamenti di sicurezza ai sistemi OT?": la risposta "non patchable per motivi operativi" richiede spiegazione dei controlli compensativi.

Backup e recovery: "Con quale frequenza vengono eseguiti backup dei sistemi di controllo? Sono testati? Sono conservati offline?": gli attaccanti ransomware prendono di mira i backup, e gli assicuratori lo sanno.

Risposta agli incidenti: "Esiste un piano di incident response? Include scenari OT specifici? Viene testato con esercitazioni regolari?"

Inventario degli asset: "Avete un inventario completo dei dispositivi OT connessi alla rete?": la risposta "non completamente" introduce incertezza nella valutazione del rischio.

I controlli tecnici che fanno la differenza sul premio

Non tutti i controlli hanno lo stesso peso nella determinazione del premio. Dall'esperienza con i questionari di sottoscrizione più diffusi, emergono alcuni controlli che hanno impatto diretto:

MFA sull'accesso remoto: è probabilmente il controllo con il maggiore impatto singolo. Un'organizzazione senza MFA sugli accessi remoti ai sistemi OT è considerata ad alto rischio quasi automaticamente.

Segmentazione IT/OT: la separazione documentata tra rete IT e rete OT dimostra che una compromissione dell'IT non si propaga automaticamente all'OT e viceversa. Riduce significativamente il rischio di un incidente ad alto impatto.

EDR su workstation SCADA/HMI: l'estensione degli strumenti di endpoint detection ai sistemi di supervisione (dove tecnicamente possibile) è vista positivamente come capacità di rilevamento.

Backup offline e testati: avere backup dei sistemi critici (configurazioni PLC, logica di controllo, database storici) conservati offline e testati regolarmente riduce drasticamente l'impatto di un attacco ransomware.

Piano IR documentato e testato: non basta avere un piano; deve essere documentato, specifico per gli scenari OT, e testato con esercitazioni tabletop almeno annuali.

Il paradosso OT: legacy che alza il rischio, budget che non seguono

Il problema strutturale per molte organizzazioni industriali è il paradosso OT: i sistemi più vecchi, quelli con più vulnerabilità irrisolvibili, sono spesso quelli più critici per la produzione e quindi più difficili da sostituire.

Un PLC degli anni 2000 che non supporta MFA, gira su firmware non aggiornabile e non ha log di sicurezza è un punto di rischio oggettivo. L'assicuratore lo vede, lo valuta, e lo riflette nel premio o nell'esclusione dalla copertura.

La risposta non è sempre la sostituzione immediata, che può richiedere anni e milioni. È dimostrare i controlli compensativi: isolamento fisico o logico del sistema legacy, monitoraggio del traffico di rete verso/dal sistema, procedure di accesso fisico controllato, compensazione con i controlli dei sistemi adiacenti.

Prepararsi all'assessment: passi concreti

Un'organizzazione che vuole migliorare la propria posizione assicurativa ha un percorso abbastanza definito:

1. Self-assessment preliminare: completare il questionario standard prima dell'assessment assicurativo per identificare i gap più evidenti. Molte compagnie rendono disponibili i questionari in anticipo.

2. Quick win identificabili: MFA sugli accessi remoti, documentazione dei backup e test di restore, stesura di un piano IR base: sono interventi realizzabili in settimane, non anni, e impattano immediatamente sulla valutazione del rischio.

3. Documentazione dei sistemi legacy: non nascondere i sistemi non patchabili; documentare perché non possono essere aggiornati e quali controlli compensativi sono in atto.

4. Evidenze, non solo dichiarazioni: gli assicuratori più sofisticati chiedono evidenze tecniche (screenshot di configurazione, policy documentate, report di assessment), non solo risposte sì/no al questionario.

L'obiettivo non è ingannare l'assicuratore: è presentare una postura di sicurezza realistica con un piano credibile di miglioramento. Un'organizzazione trasparente sulle proprie vulnerabilità e con un piano di remediation documentato è in una posizione migliore di una che dichiara controlli che non esistono davvero.

L'angolo MON5

Molte delle domande del questionario assicurativo trovano risposta negli output di MON5: l'inventario continuo della fase ANALYZE documenta gli asset OT con versioni e vulnerabilità note, mentre il monitoraggio della fase PROTECT dimostra che la rete industriale è sorvegliata. Un'evidenza che pesa sia sul premio sia sulla validità del rimborso in caso di sinistro.

Anche i controlli compensativi sui sistemi legacy, richiesti dagli assicuratori, diventano dimostrabili: il traffico verso e dal dispositivo non patchabile è tracciato e analizzato. Prima del prossimo rinnovo della polizza, vale la pena verificare la situazione con un assessment OT.