Rischio cyber OT: cosa deve sapere davvero un CISO

Il rischio OT non si misura come quello IT

Chi guida la sicurezza di un'organizzazione industriale lo sperimenta presto: gli strumenti, le metriche e le abitudini maturate nel mondo IT non si trasferiscono in modo lineare alla tecnologia operativa. Negli ambienti OT e IoT il calcolo del rischio cambia di natura, perché cambiano la posta in gioco e le conseguenze di un incidente.

Nell'IT la formula classica del rischio si fonda sulla probabilità di un evento e sull'impatto su riservatezza, integrità e disponibilità dei dati. In un impianto industriale, invece, il primo pensiero non è la perdita di un dato ma la sicurezza delle persone, l'impatto ambientale e la continuità della produzione. Sono eventi a bassa frequenza ma altissima conseguenza, e una metrica pensata per il rischio IT semplicemente non li rappresenta.

Cinque punti che cambiano la prospettiva del CISO

• Conseguenza prima di frequenza. Un singolo evento può fermare una linea, danneggiare un macchinario o mettere a rischio l'incolumità degli operatori. La probabilità conta meno della gravità.
• Il rischio operativo non è solo cyber. Le anomalie di processo non legate a una minaccia informatica sono molto più comuni degli attacchi veri e propri. Separare i due piani è essenziale per non disperdere risorse.
• Tutto è interconnesso. In un impianto ogni asset influenza processi distribuiti: un PLC apparentemente marginale può essere il punto di snodo di una funzione critica.
• Il patching non basta. Le vulnerabilità sono solo uno dei fattori in gioco. Molti dispositivi OT non possono essere aggiornati senza fermare la produzione, e applicare una patch non elimina di per sé il rischio.
• Contano i trend, non i punteggi assoluti. Al management interessa vedere il rischio scendere nel tempo grazie ai controlli adottati, più che un numero secco e privo di contesto.

Gli errori che vediamo più spesso

Il primo, e il più diffuso, è non avere un inventario completo degli asset. Non si può gestire ciò che non si conosce: ogni dispositivo non mappato è un rischio che non compare in nessun cruscotto. Il secondo è applicare meccanicamente la formula di rischio IT a un contesto che obbedisce a regole diverse. Il terzo è ignorare l'interdipendenza tra gli asset, valutando ogni componente come isolato.

Come misurare il rischio in modo credibile

Un punteggio di rischio OT serve solo se riflette la realtà dell'impianto. Per questo va costruito su più dimensioni: le vulnerabilità note, gli alert generati, il comportamento delle comunicazioni di rete, le caratteristiche del dispositivo e, soprattutto, la criticità dell'asset all'interno del processo produttivo. Una vulnerabilità grave su un dispositivo segmentato e marginale pesa meno di una vulnerabilità media su un nodo centrale.

Da qui le priorità per chi gestisce il rischio:

1. Partire da una business impact analysis per identificare i processi davvero critici.
2. Calibrare il calcolo del rischio sulla metodologia e sulla tolleranza dell'organizzazione.
3. Monitorare l'andamento del rischio nel tempo, usandolo per giustificare gli investimenti.

L'angolo MON5

È qui che la piattaforma MON5 si inserisce nella pratica quotidiana del CISO. La visibilità completa degli asset OT elimina il punto cieco dell'inventario incompleto. La correlazione delle vulnerabilità con il contesto d'impianto trasforma un elenco indistinto di CVE in priorità ordinate per impatto reale sul processo. E il monitoraggio delle anomalie passivo, senza interferenze, permette di osservare comunicazioni e comportamenti anomali senza mai fermare la produzione, distinguendo le anomalie di processo dalle minacce informatiche.

Il messaggio per il management è semplice: il rischio cyber industriale non si elimina, si governa. E lo si governa solo quando lo si misura nei termini giusti, quelli dell'impianto e delle sue conseguenze.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.