Cyber Resilience Act (CRA) e Cybersecurity OT: le novità dal webinar Siemens

Lo scorso 21 maggio Siemens ha organizzato un webinar destinato ai Solution Partner focalizzato sulla Cybersecurity in ambito OT; questa è la prima newsletter che Faentia Group dedica ai suoi Clienti riportando i passaggi principali del webinar.

Il webinar ha affrontato i temi riportati nel Cyber Resilience Act (conosciuto con l’acronimo CRA), indicato come la nuova regolamentazione europea focalizzata sui prodotti con elementi digitali, tema collocato in un quadro più ampio di crescita degli attacchi cyber anche in ambito OT e di progressiva introduzione di regolamenti rivolti sia alle infrastrutture critiche sia ai prodotti immessi sul mercato europeo.

I temi principali che il CRA introduce sono obblighi di cybersecurity lungo il ciclo di vita del prodotto, quali: valutazione del rischio, progettazione delle funzioni di sicurezza, gestione delle vulnerabilità, documentazione tecnica, informazioni per l’utente, dichiarazione di conformità e periodo di supporto.

Durante il webinar è stato sottolineato che macchine industriali, sistemi complessi e soluzioni modulari possono essere considerati “prodotti con elementi digitali” quando includono connessioni logiche o fisiche, dirette o indirette, verso altri prodotti o reti; in questi casi è necessario valutare l’intero prodotto o sistema, non solo i singoli componenti.

Un punto centrale riguarda la piramide delle responsabilità: il fornitore del prodotto (hardware e/o software) è responsabile del proprio componente; il costruttore macchina o system integrator è responsabile della macchina o del sistema complessivo; l’asset owner deve valutare l’esposizione delle vulnerabilità nel proprio impianto; importatori e soggetti che portano prodotti sul mercato europeo devono assicurarsi che i prodotti rispettino i requisiti applicabili.

L’approccio alla Cybersecurity OT spiegato da Siemens durante il webinar, è basato su un concetto di difesa articolato in tre pilastri: plant security, network security e system integrity.

Importante comprendere che non esiste una protezione assoluta al 100%, ma l’adozione di misure specifiche riduce in modo significativo le superfici e i vettori di attacco.

Il percorso tipico suggerito parte dall’analisi della situazione iniziale (Assessment): capire quali asset sono presenti, quali sono critici, quali vulnerabilità possono avere e quali elementi vanno protetti prioritariamente. 

Solo dopo questa fase ha senso implementare misure specifiche come segmentazione di rete, access control o altre contromisure.

La Cybersecurity è un processo continuo: assessment, implementazione di misure, monitoraggio, rilevazione di malware o anomalie, business continuity e disaster recovery. 

Poiché le minacce evolvono, anche le misure di protezione devono essere aggiornate nel tempo.

Durante il webinar Siemens ha portato all’attenzione anche le tecnologie che sta implementando per prevenire e monitorare gli attacchi alle reti OT. 

Portiamo all’attenzione la linea software denominata SINEC Security Software Suite, articolata in più prodotti: SINEC Security Inspector per asset detection attiva; SINEC Security Guard per mappatura degli asset e vulnerabilità; SINEC Security Monitor per monitoraggio continuo e rilevazione di anomalie, dispositivi inattesi o eventi di rete.

Per approfondire la conoscenza di SINEC accedere alla seguente pagina web:

https://www.siemens.com/en-us/products/sinec/

Altro componente non citato nel webinar ma che ci sentiamo di menzionare ai nostri Clienti è lo Scalance S Industrial Security Appliance per la protezione delle reti industriali e i sistemi di automazione.

Per conoscere meglio questi componenti suggeriamo di leggere i contenuti riportati al seguente indirizzo web:

https://www.siemens.com/it-it/products/scalance/s-industrial-security-appliance/