Resilienza operativa e cybersecurity: due facce della stessa medaglia nelle infrastrutture critiche

Resilienza operativa: oltre la disponibilità del servizio

La resilienza operativa è la capacità di un'organizzazione di continuare a erogare le proprie funzioni critiche di fronte a perturbazioni: non solo di sopravvivere all'evento, ma di adattarsi, rispondere e ripristinarsi in modo controllato.

Per molto tempo, nelle organizzazioni industriali, "resilienza operativa" ha significato principalmente ridondanza fisica: sistemi di backup, gruppi di continuità, procedure di failover, scorte di componenti critici. La perturbazione a cui si pensava era il guasto meccanico, il blackout elettrico, la calamità naturale.

La cyber minaccia ha aggiunto una nuova categoria di perturbazione radicalmente diversa dalle precedenti. Un guasto meccanico è localizzato, prevedibile nei pattern, ripristinabile con procedure note. Un attacco cyber può essere distribuito, progettato per massimizzare l'impatto, e può colpire simultaneamente sistemi ridondanti se questi condividono la stessa infrastruttura digitale.

Un'organizzazione con eccellente resilienza fisica ma senza resilienza cyber è resiliente per metà.

ISO 22301 e IEC 62443: come si integrano

ISO 22301 è lo standard internazionale per i sistemi di gestione della continuità operativa (BCMS). Definisce come un'organizzazione identifica le proprie funzioni critiche, analizza i rischi che le minacciano, e costruisce piani per mantenerle o ripristinarle in caso di interruzione.

IEC 62443 è lo standard per la cybersecurity degli ambienti OT. Definisce architetture, requisiti tecnici e processi per proteggere i sistemi di controllo industriale.

Questi due standard sembrano operare in domini separati (uno sulla continuità di business, l'altro sulla sicurezza tecnica) ma hanno più punti di contatto di quanto spesso si riconosca:

Identificazione degli asset critici: entrambi richiedono di identificare quali sistemi sono critici per le funzioni essenziali dell'organizzazione. Un Business Impact Analysis (BIA) di ISO 22301 dovrebbe includere i sistemi OT; un risk assessment IEC 62443 dovrebbe tenere conto dell'importanza operativa dei sistemi.

Analisi degli scenari: ISO 22301 richiede di identificare gli scenari di interruzione più probabili e impattanti. Un attacco cyber agli ambienti OT deve essere uno scenario esplicito nell'analisi BIA, non un'eventualità gestita solo dal team IT.

RTO e RPO per sistemi OT: i Recovery Time Objective e Recovery Point Objective (quanto tempo ci si può permettere di stare fermi e quanti dati ci si può permettere di perdere) devono essere definiti anche per i sistemi di controllo industriale. Questo ha implicazioni dirette sui requisiti di backup della configurazione OT e sui piani di ripristino.

Testing integrato: le esercitazioni di continuità operativa dovrebbero includere scenari cyber. Un'esercitazione di disaster recovery che simula un guasto fisico ma non considera la possibilità che il sistema di backup sia anch'esso compromesso non testa la resilienza reale.

Il ciclo di vita della resilienza: prevenzione, rilevamento, risposta, ripristino

La resilienza operativa di fronte alle minacce cyber segue un ciclo di vita in quattro fasi, ognuna con requisiti specifici per gli ambienti OT:

Prevenzione: ridurre la probabilità che un incidente si verifichi. Nell'OT, questo significa i controlli tecnici di IEC 62443: segmentazione di rete, gestione degli accessi, patch management, sicurezza degli accessi remoti. Ma la prevenzione perfetta non esiste; è una riduzione del rischio, non l'eliminazione.

Rilevamento: identificare un incidente nel minor tempo possibile. Il Time To Detect è critico: ogni ora di presenza non rilevata di un attaccante nella rete OT è un'ora in cui può esplorare, raccogliere informazioni, posizionarsi per l'azione. Il monitoraggio continuo della rete OT è il requisito tecnico fondamentale di questa fase.

Risposta: contenere l'incidente limitando il danno. Come discusso nell'articolo sull'incident response OT, la risposta in ambienti industriali richiede un bilanciamento tra efficacia di contenimento e continuità operativa. I piani di risposta devono essere pre-definiti, non improvvisati.

Ripristino: riportare i sistemi alla normale operatività in modo controllato e verificato. Nel contesto OT, questo include: ripristino delle configurazioni dei PLC da backup verificati, test di funzionamento prima del riavvio in produzione, verifica che il vettore di attacco sia stato eliminato prima del ripristino.

Scenari peggiori: esercitazioni e piani di continuità per l'OT

Il valore di un piano di continuità si misura da quanto è stato testato prima di servire in una situazione reale. I piani non testati contengono assunzioni che si rivelano errate nel momento peggiore.

Per gli ambienti OT, le esercitazioni di continuità hanno caratteristiche specifiche:

Scenari realistici e specifici: "un attacco ransomware ha cifrato le workstation SCADA della centrale di produzione 2" è più utile di "un incidente cyber ha colpito l'OT". La specificità costringe a identificare le dipendenze reali e le procedure concrete.

Coinvolgimento delle operations: le esercitazioni di continuità OT non possono essere gestite solo dal team IT o di sicurezza. Il responsabile di produzione, il supervisore di turno, l'ingegnere di processo devono essere parte dell'esercitazione perché sono loro che prendono le decisioni operative durante un incidente reale.

Test del ripristino dalla configurazione di backup: quante organizzazioni hanno backup verificati delle configurazioni dei PLC? Quante hanno testato il processo di ripristino su un sistema di test? La risposta è raramente rassicurante. L'esercitazione di continuità è il momento per scoprirlo in un contesto controllato.

Scenari di degraded operations: in alcuni casi, il pieno ripristino richiede tempo. I piani di continuità devono includere procedure per operare in modo degradato nel frattempo: manuale invece di automatico, supervisione aumentata, riduzione dei ritmi di produzione.

La convergenza finale: security e operations come funzione unica

La tendenza più importante nell'evoluzione della gestione del rischio nelle infrastrutture critiche è la convergenza tra cybersecurity e resilienza operativa come funzione integrata, non come due programmi paralleli che si coordinano occasionalmente.

Questa convergenza si manifesta a livello organizzativo: team OT security che riportano a funzioni che includono la continuità operativa; KPI condivisi tra security e operations; budget che finanziano la resilienza in modo integrato invece di dividere artificialmente tra "sicurezza IT" e "continuità operativa".

Si manifesta anche a livello tecnologico: piattaforme di monitoraggio OT che integrano rilevamento di anomalie e alert di disponibilità; piani di risposta agli incidenti che incorporano sia la risposta tecnica cyber che le procedure operative di failover; esercitazioni che simulano scenari ibridi dove l'incidente cyber si manifesta come interruzione operativa.

La cyber minaccia ha reso obsoleta la separazione concettuale tra proteggere i sistemi e garantire la continuità del servizio. Nelle infrastrutture critiche, sono la stessa cosa.

L'angolo MON5

Nel ciclo prevenzione, rilevamento, risposta e ripristino descritto in questo articolo, il rilevamento è la fase dove molte organizzazioni industriali sono più scoperte: senza monitoraggio della rete OT, il Time To Detect si misura in mesi. MON5 copre questa fase con monitoraggio continuo e anomaly detection ML su protocolli OT nativi, in modo passivo e senza impatti sulla produzione.

A monte, la fase DISCOVER fornisce l'inventario degli asset e la topologia di rete che una Business Impact Analysis seria richiede: non si definiscono RTO per sistemi che non si conoscono. Per integrare resilienza e sicurezza partendo dai fatti, il primo passo è un assessment OT.