Come si protegge un edificio intelligente dagli attacchi informatici?

Il punto di partenza è smettere di considerare i sistemi di controllo di un edificio come strumenti informatici. Si tratta di tecnologia operativa: apparecchiature il cui guasto ha conseguenze fisiche, non solo conseguenze sui dati. Proteggerli significa sapere esattamente cosa è connesso, dare a ciascun sistema un proprietario responsabile, controllare chi può raggiungerlo da remoto, mantenere il suo software supportato ed essere in grado di gestire l'edificio in sicurezza quando qualcosa è stato compromesso. Niente di tutto ciò si ottiene acquistando un prodotto o commissionando un test di penetrazione una tantum. Funziona meglio come programma guidato dal proprietario, con obblighi contrattuali su ogni fornitore.

Conseguenze fisiche

La guida del NIST alla sicurezza della tecnologia operativa (OT), SP 800-82 Revisione 3 (l'attuale versione finale; il NIST ha pubblicato una bozza della Revisione 4 per commenti pubblici), elenca i sistemi di automazione degli edifici e i sistemi di controllo degli accessi fisici insieme ai sistemi di controllo industriale come OT. Descrive un sistema di automazione degli edifici come il controllo di riscaldamento, ventilazione e condizionamento dell'aria, illuminazione, impianti elettrici, antincendio, controllo degli accessi e altri sistemi di utilità. Per un proprietario, l’implicazione è che un incidente informatico in questi sistemi può influenzare il comfort, la sicurezza, la protezione e la capacità di aprire le porte, non solo la riservatezza dei dati.

Il NIST rileva inoltre che OT è diventato meno isolato poiché ha adottato computer standard, reti IP e accesso remoto. Un singolo edificio può ora combinare controller installati dieci anni fa, dashboard cloud aggiunti l’anno scorso e diversi appaltatori, ciascuno con il proprio accesso. La sicurezza deve coprire l’intero mix.

Cinque decisioni che nessuno strumento può prendere

Alcune domande determinano se uno strumento di sicurezza verrà utilizzato correttamente e appartengono al proprietario:

• Chi è responsabile? Una persona deve essere responsabile del rischio informatico OT in tutto l’edificio, anche se la consegna è condivisa tra il team IT, il responsabile della struttura e gli appaltatori; senza di ciò, ogni lacuna diventa un problema di qualcun altro.
• Cosa esiste realmente? Ciò richiede un inventario di controller, server, gateway, apparecchiature di rete, versioni software, account utente e ogni connessione esterna, comprese le apparecchiature che l'appaltatore dei controlli considera "loro".
• Quali funzioni contano di più? Classifica i sistemi in base alle conseguenze della loro perdita o del loro uso improprio, con interfacce life-safety, controllo degli accessi e impianti critici sopra i display delle sale riunioni.
• Chi può entrare dall'esterno? Elenca ogni percorso di accesso remoto, chi lo utilizza e come viene approvato.
• Cosa succede quando qualcosa va storto? Decidi come funzionerà l'edificio se un sistema deve essere disconnesso e chi effettua quella chiamata.

Queste decisioni si adattano naturalmente alle sei funzioni del NIST Cybersecurity Framework 2.0: governare, identificare, proteggere, rilevare, rispondere e ripristinare. Il quadro descrive i risultati e non prescrive prodotti, il che lo rende una struttura utile per un consiglio di amministrazione o un gestore degli asset che monitora i progressi.

I controlli tecnici che contano di più

La segmentazione è la base. I sistemi dell'edificio dovrebbero essere separati dalle reti aziendali e ospiti e tra loro, in base al rischio e alla responsabilità della gestione, consentendo tra loro solo le comunicazioni necessarie per l'operazione. Il NIST consiglia di mappare prima i flussi di dati richiesti e poi di configurare firewall o gateway per consentire solo tali flussi. Come dividere un edificio in zone è un argomento di progettazione a sé stante.

L’accesso remoto è un punto debole comune. La guida del NIST è che l'accesso remoto a OT dovrebbe essere giustificato, limitato alle esigenze aziendali e concesso attraverso un processo di richiesta approvato, che dovrebbe essere presa in considerazione l'autenticazione a più fattori e che le sessioni dovrebbero essere monitorate e l'accesso rimosso quando non è più necessario. La CISA e l'FBI aggiungono una preferenza pratica per l'accesso su richiesta che l'operatore consente, attraverso percorsi che l'operatore può monitorare. le VPN sempre attive degli appaltatori sono tra le prime cose che esamineremmo.

Gli account e le credenziali necessitano della stessa disciplina: password predefinite rimosse, account nominativi per singoli individui, senza accesso tecnico condiviso e account disabilitati quando persone o appaltatori se ne vanno. Lo stato di supporto di ogni prodotto dovrebbe essere registrato. Il NIST rileva che gli aggiornamenti OT spesso non possono essere applicati con la stessa rapidità delle patch IT e necessitano di test e interruzioni pianificate, il che rende ancora più importante un processo di aggiornamento documentato. Laddove l'attrezzatura non possa più essere aggiornata, il proprietario deve scegliere controlli compensativi o una data di sostituzione.

Il monitoraggio aiuta solo se qualcuno lo guarda, quindi decidi quali eventi verranno effettivamente esaminati: nuovi dispositivi, modifiche alla configurazione, accessi non riusciti e sessioni remote. Il ripristino, infine, dipende dai backup della configurazione corrente e dai programmi di installazione del software tenuti offline, dal ripristino testato e dall'operazione manuale o locale praticata.

La sicurezza deve essere scritta nei contratti

Terze parti progettano, installano e mantengono gran parte della tecnologia di un edificio, pertanto molti controlli vengono effettuati solo se i contratti lo richiedono. Accordi di accesso remoto, gestione di modifiche e patch, personale nominato e un inventario di tutto ciò che ogni fornitore installa fanno parte di ogni contratto di servizio.

Per i nuovi prodotti, la guida Secure by Demand della CISA per proprietari e operatori OT, scritta con agenzie partner tra cui la DG CONNECT della Commissione europea e il National Cyber ​​Security Centre del Regno Unito, definisce le proprietà di sicurezza di cui chiedere ai produttori durante la selezione, tra cui impostazioni sicure per impostazione predefinita, autenticazione forte, registrazione, standard aperti e gestione trasparente delle vulnerabilità. Nell’UE, il Cyber ​​Resilience Act (Regolamento (UE) 2024/2847) applicherà i suoi principali obblighi dei produttori ai prodotti con elementi digitali a partire dall’11 dicembre 2027. I produttori dovranno gestire le vulnerabilità per un periodo di supporto definito, normalmente almeno cinque anni, e rendere chiara la data di fine, almeno il mese e l’anno, al momento dell’acquisto. Ciò aiuterà i proprietari a confrontare i prodotti, ma non proteggerà di per sé un edificio installato.

La serie ISA/IEC 62443 si basa sulla responsabilità condivisa tra proprietari di asset, fornitori di prodotti, integratori e fornitori di servizi. È ragionevole chiedere ai fornitori in che modo i loro prodotti e servizi si allineano con le parti rilevanti, ma una dichiarazione di allineamento dovrebbe essere accettata solo quando è supportata da prove specifiche del prodotto e del servizio.

Da dove cominciare in un edificio occupato

Per un edificio già in uso, solitamente lavoreremo in questo ordine:

1. Nominare il proprietario responsabile e concordare un breve elenco di sistemi di priorità.
2. Costruisci l'inventario e la mappa delle connessioni, incluso tutto l'accesso remoto.
3. Chiudi le esposizioni più ovvie: interfacce raggiungibili da Internet, credenziali predefinite, accesso remoto non gestito.
4. Concordare la segmentazione e i flussi consentiti, quindi implementarli nelle fasi pianificate con la presenza del contraente dei controlli.
5. Scrivere procedure di ripristino e di funzionamento locale e testarle.
6. Aggiornare i contratti di manutenzione e fornitura in modo che i miglioramenti sopravvivano al prossimo cambio di appaltatore.

Ogni passaggio richiede il coinvolgimento del team operativo, poiché una modifica alla sicurezza che ferma un refrigeratore, blocca un'uscita antincendio o blocca un ascensore non è un miglioramento. Il NIST è esplicito nel dire che qualsiasi misura di cybersecurity che comprometta la safety è inaccettabile.

Quattro domande per il tuo team questo mese

• Possiamo produrre un elenco aggiornato di ogni collegamento esterno ai nostri sistemi dell’edificio?
• Quali fornitori hanno oggi accesso remoto e come facciamo a sapere quando lo utilizzano?
• Quali controller o server eseguono software che non è più supportato?
• Se domani dovessimo scollegare il sistema di gestione degli edifici dalla rete, cosa smetterebbe di funzionare e chi gestirebbe l’impianto?