Sicurezza informatica nel settore ferroviario: sfide specifiche e approccio normativo

Reti ferroviarie: dall'isolamento alla connettività

Per gran parte della loro storia, le reti ferroviarie hanno operato su sistemi proprietari e isolati. Il segnalamento su protocolli dedicati, le comunicazioni voce su reti separate, i sistemi di biglietteria senza connessione alla rete centrale. Quell'isolamento era sicurezza per inerzia.

La modernizzazione ha cambiato tutto. L'introduzione di sistemi di controllo computerizzati, la digitalizzazione della biglietteria, le reti WiFi a bordo treno, i sistemi di informazione passeggeri in tempo reale, i centri di controllo remoto: ogni miglioramento nell'efficienza operativa ha introdotto nuove superfici di attacco. Oggi un grande operatore ferroviario gestisce reti IT/OT con una complessità paragonabile a quella di un'azienda industriale di grandi dimensioni, con in più la variabile della mobilità dei convogli.

I sistemi a rischio: segnalamento, SCADA, biglietteria, comunicazioni

La comprensione dei rischi ferroviari richiede di distinguere tra sistemi con impatti operativi diversi.

Sistemi di segnalamento e controllo del movimento: sono i sistemi più critici in assoluto. Il ERTMS/ETCS (European Train Control System), i sistemi interlocking, i comandi degli scambi: un attacco a questi sistemi non è una perdita di dati, è un rischio per la sicurezza fisica. La ridondanza e i fail-safe meccanici esistono proprio per questo, ma l'integrazione con software di gestione introduce vulnerabilità che i sistemi puramente meccanici non avevano.

Sistemi SCADA di gestione dell'energia: la trazione elettrica dipende da sottostazioni e sistemi di distribuzione dell'energia controllati da SCADA. Un attacco che altera i parametri di alimentazione o disabilita selettivamente le sottostazioni può fermare intere linee.

Sistemi operativi centralizzati: i centri di controllo del traffico ferroviario gestiscono l'intera rete da postazioni centralizzate. Una compromissione qui ha effetto moltiplicatore su tutto il sistema.

Infrastrutture passeggeri: biglietterie automatiche, sistemi di informazione ai passeggeri, accessi controllati: meno critici dal punto di vista della sicurezza fisica, ma sensibili per la continuità del servizio e per la gestione di dati personali.

Comunicazioni di bordo: i treni moderni hanno reti WiFi, sistemi di infotainment e connessioni per la manutenzione predittiva. Queste reti, se non adeguatamente segregate, possono diventare un punto di ingresso verso sistemi più critici.

Il quadro normativo: NIS2 e standard settoriali

La Direttiva NIS2 include i trasporti ferroviari tra i settori essenziali, il che significa obblighi stringenti di gestione del rischio cyber, notifica degli incidenti e misure di sicurezza per tutti gli operatori significativi del settore.

In parallelo, l'Agenzia dell'Unione Europea per le ferrovie (ERA) ha sviluppato linee guida specifiche per la cybersecurity ferroviaria, e ENISA ha pubblicato raccomandazioni dedicate al settore. A livello tecnico, lo standard IEC 62443 si applica ai sistemi di controllo industriale ferroviari.

La particolarità del settore ferroviario è la compresenza di sistemi con cicli di vita molto lunghi (l'infrastruttura fisica rimane in servizio per decenni) e requisiti di safety già molto sviluppati, che devono ora integrare la dimensione cyber senza compromettere le certificazioni esistenti.

Vettori di attacco specifici del ferroviario

Alcuni vettori di attacco sono particolarmente rilevanti per il contesto ferroviario:

Accesso fisico ai sistemi a bordo: i treni sono ambienti semi-pubblici. Le connessioni di manutenzione, i cabinet tecnici, i sistemi WiFi: tutte superfici accessibili a chi si trova a bordo con intenzioni malevole.

Sistemi di terze parti: la manutenzione ferroviaria coinvolge una lunga catena di fornitori specializzati. Ogni accesso vendor è un potenziale vettore, e la gestione di questi accessi nell'OT ferroviario è spesso meno rigorosa di quanto richiederebbe il rischio.

Interfacce legacy con sistemi moderni: i sistemi di segnalamento storici, integrati con overlay software moderni per la supervisione, creano interfacce che non sono state progettate con la sicurezza in mente.

Denial of service operativo: non tutti gli attacchi al ferroviario mirano a compromettere i dati. Bloccare i sistemi di biglietteria durante un evento di grande affluenza, o degradare le prestazioni dei sistemi di informazione al pubblico, sono forme di attacco con impatto reale sulla reputazione dell'operatore.

Costruire resilienza: approccio per zone e conduit

L'approccio IEC 62443 per zone e conduit si adatta naturalmente all'architettura ferroviaria: le zone corrispondono a funzioni operative distinte (segnalamento, energia, passaggeri, manutenzione), e i conduit definiscono i canali di comunicazione autorizzati tra esse.

I passi pratici per un operatore ferroviario:

1. Inventario completo dei sistemi OT, con particolare attenzione ai dispositivi legacy e alle connessioni di manutenzione non documentate.
2. Assessment del rischio per funzione: non tutti i sistemi hanno lo stesso profilo di rischio, e la prioritizzazione degli investimenti deve riflettere questo.
3. Segmentazione progressiva: iniziare dalla separazione dei sistemi di segnalamento dal resto della rete OT, estendere poi alle altre zone.
4. Gestione degli accessi di terze parti: implementare accesso just-in-time per tutti i vendor, con session recording e revoca automatica.
5. Piano di incident response specifico: che tenga conto dei vincoli operativi del settore, inclusa la necessità di mantenere il servizio durante la risposta all'incidente.

La sicurezza ferroviaria è un dominio in rapida evoluzione. L'integrazione tra safety tradizionale e cybersecurity moderna è il lavoro dei prossimi anni per tutto il settore.

L'angolo MON5

Una rete ferroviaria distribuita su centinaia di chilometri, tra segnalamento, sottostazioni di trazione e centri di controllo, non si protegge con strumenti pensati per un singolo stabilimento. MON5 nasce per contesti di questo tipo: sensori NDR passivi e fuori banda nei punti di aggregazione del traffico, architettura multi-sito che consolida la telemetria di stazioni e sottostazioni in una vista unica, senza interferire con sistemi dai requisiti di disponibilità assoluti.

La piattaforma supporta inoltre la zonizzazione IEC 62443 descritta nell'articolo, mappando i conduit effettivi tra segnalamento, energia e reti passeggeri, e produce evidenze utili per gli obblighi NIS2 degli operatori del settore. Per capire da dove partire sulla propria rete, il primo passo è un assessment OT.