Qual è la differenza tra sicurezza informatica IT e OT?

La cybersicurezza IT protegge i sistemi informativi come e-mail, piattaforme finanziarie e di prenotazione, dove le preoccupazioni principali sono solitamente la riservatezza e l’integrità dei dati. La sicurezza informatica OT protegge la tecnologia operativa: i controller, i sensori e il software di supervisione che gestiscono apparecchiature fisiche come il trattamento dell'aria, l'illuminazione, gli ascensori e l'accesso alle porte. In OT, la prima preoccupazione è che l’apparecchiatura continui a funzionare in modo sicuro e prevedibile.

Le due discipline condividono molte tecniche, ed è proprio ciò che rende pericoloso ignorare la differenza. La pratica IT dell'ufficio applicata agli impianti dell’edificio senza modifiche può causare proprio l'interruzione che avrebbe dovuto prevenire. La risposta sensata è concordare per iscritto chi fa cosa oltre il confine, prima che un incidente imponga la questione.

Come differiscono i due ambienti

La guida del NIST alla sicurezza OT, SP 800-82, illustra in che modo l'OT differisce dall'IT convenzionale. La tabella riassume i punti che più spesso contano negli edifici.

Il NIST aggiunge due punti che dovrebbero orientare ogni decisione. Le misure di cybersecurity non devono compromettere la safety Inoltre, alcuni software di sicurezza di terze parti non possono essere installati sui sistemi OT senza il consenso del fornitore, poiché ciò potrebbe influire sul supporto.

Quattro punti in cui la differenza pesa

Scansione e test

La scansione attiva della rete è una routine nel settore IT. Il NIST avverte che l’uso indiscriminato delle pratiche di sicurezza IT nell’OT può interrompere la disponibilità e i tempi, in particolare sui dispositivi con risorse limitate. Questo non è un argomento contro la valutazione di OT. Significa concordare il metodo, i tempi e la portata con l'ingegnere dei controlli, testare prima un campione e programmare il lavoro per un momento in cui l'impianto può tollerare un problema.

Patch

L'impostazione predefinita dell'IT prevede l'applicazione rapida delle patch. Nella creazione di OT, un aggiornamento può modificare il comportamento di un controller o richiedere una nuova messa in servizio, e il NIST rileva che i proprietari di OT spesso devono pianificare le interruzioni con giorni o settimane di anticipo. L'obiettivo è ancora quello di mantenere i sistemi supportati; cambia solo il percorso. Ogni aggiornamento viene valutato, testato ove possibile e pianificato, e le misure di compensazione vengono registrate quando un aggiornamento deve attendere.

Account

I sistemi di identità IT di solito possono applicare un'autenticazione forte ovunque. Molti controllori degli edifici non possono farlo. Una progettazione realistica concentra l’autenticazione forte nei punti di ingresso, come gateway di accesso remoto e workstation di ingegneria, e utilizza la segmentazione della rete per limitare ciò che un utente malintenzionato potrebbe raggiungere da un dispositivo debole.

Risposta all'incidente

Un piano di risposta IT potrebbe isolare immediatamente un laptop infetto. L'isolamento di un controller dell'edificio può arrestare l'impianto in funzione. I piani di risposta OT necessitano pertanto di input operativi su quali sistemi possono essere disconnessi in modo sicuro, come si svolge il funzionamento locale o manuale e chi ha l’autorità di decidere.

Cosa non cambia

Niente di tutto ciò esonera OT dalle buone pratiche. Le differenze riguardano le priorità e i metodi. Entrambi gli ambienti necessitano di un inventario delle risorse, accesso controllato, software supportato, monitoraggio, backup e ripristino testato e il NIST Cybersecurity Framework 2.0 si applica a entrambi. Le sue funzioni di governo, identificazione, protezione, rilevamento, risposta e ripristino forniscono al consiglio di amministrazione, al team IT e al team delle strutture un linguaggio comune.

La serie ISA/IEC 62443, sviluppata specificatamente per i sistemi di automazione e controllo industriale, include esplicitamente nel suo campo di applicazione l'automazione degli edifici. Tratta la sicurezza come una responsabilità condivisa tra proprietari di beni, fornitori di prodotti, integratori e fornitori di servizi, il che lo rende un riferimento utile quando si decide quale parte possiede quale parte del lavoro.

Tracciare il confine tra le squadre

Il proprietario di un edificio potrebbe avere un team IT che si occupa di sicurezza e un team o un appaltatore delle strutture che capisce l'impianto. Nessuno dei due può mettere in sicurezza l’OT dell’edificio. Una breve matrice di responsabilità risolve le domande che altrimenti cadrebbero tra di loro:

Il NIST consiglia un team interfunzionale che includa personale IT, un ingegnere di controllo, un operatore di sistema, uno specialista della sicurezza, gestione e sicurezza fisica, con la consultazione del fornitore o dell'integratore del sistema di controllo. In un edificio, molti di questi ruoli possono spettare alle stesse poche persone e il team può incontrarsi solo mensilmente. Ciò che conta è che esista e abbia autorità.

Cavi condivisi, conseguenze condivise

I nuovi edifici spesso gestiscono i propri sistemi edilizi sulla stessa infrastruttura di rete fisica dell'IT, separata logicamente. Ciò può essere sensato ed economico. Significa anche che un errore di configurazione commesso per motivi informatici può influenzare l'impianto. Se l'infrastruttura converge, il processo di cambiamento dovrebbe convergere con essa, in modo che una regola del firewall o un aggiornamento dello switch che tocca una zona dell'edificio venga esaminato da qualcuno che ne comprenda le conseguenze.