)
Hai sentito parlare del caso del drone malevolo equipaggiato con un kit di intrusione wireless che è atterrato sul tetto della sede di un'importante società finanziaria americana per condurre un attacco informatico? L’obiettivo era intercettare segreti aziendali e dati confidenziali accedendo fraudolentemente al network aziendale. Questo è solo un esempio di un trend di attacchi che implicano l'uso coordinato e simultaneo di mezzi fisici e informatici per colpire gli asset materiali e immateriali di un'azienda.
Queste nuove forme di minaccia cosiddette cyber-fisiche vengono tecnicamente definite "ibride" e presto costituiranno la grande maggioranza delle minacce che un'azienda dovrà fronteggiare. Infatti, è noto che l'adozione e la progressiva integrazione dei sistemi e dei dispositivi dell’‘Internet delle cose (IoT) e dell’‘Internet delle cose industriali’ (IIoT) abbiano portato a creare reti di sistemi cyber-fisici (CPS), sempre più integrati, interconnessi e interdipendenti nelle strutture fisiche e nelle infrastrutture delle nostre città. Ciò espande la superficie del rischio e rende più labile il confine tra il dominio digitale e quello tangibile, ossia tra la sicurezza fisica e cyber.
Purtroppo, a fronte di vulnerabilità e minacce sempre più ‘ibride’ è ancora poco diffusa una security ‘olistica’ da parte delle aziende. Detta in altre parole, le aziende spesso non definiscono né implementano approcci integrati cyber-fisici in grado di fronteggiare minacce sempre più complesse e vulnerabilità articolate. Passare da approcci ‘segregati’, dove la cybersecurity e la sicurezza fisica sono funzioni separate e non comunicanti, ad approcci virtuosi ‘convergenti’ richiede sicuramente uno sforzo organizzativo e metodologico.
Per altro necessario, anche alla luce delle nuove direttive europee, tra cui DORA e CER, che promuovono appunto modelli convergenti di una security olistica. Purtroppo, retaggi culturali, obsolescenza nei modelli organizzativi e lacune metodologiche sono ostacoli difficili da superare. In particolare, la mancanza di approcci integrati di analisi del rischio di tipo cyber-fisico viene spesso individuata dai CSO e CISO d’azienda quale la principale responsabile della persistenza di funzioni e approcci ‘segregate’ di security.
Spike Reply supporta le aziende nei processi di gestione integrata dei rischi cyber-fisici.
Spike Reply, da sempre vocata alle tematiche di sicurezza, con particolare attenzione alla definizione di approcci integrati di security, ha recentemente dato vita a una nuova metodologia olistica di analisi del rischio cyber-fisico.Questa definisce e implementa modelli cyber-fisici per il calcolo delle probabilità, l’analisi degli scenari di impatto e soprattutto la valutazione della vulnerabilità di strutture e infrastrutture rispetto ad eventi critici. La nuova metodologia è stata recentemente messa a disposizione di una progettualità molto sfidante.
A2A, major player italiana nel settore dell’energia, ha richiesto un security assessment integrato per il suo nuovo quartiere generale, un edificio avveniristico caratterizzato da un livello molto significativo di interconnessione di tutti i sistemi di controllo, un vero ‘smart building’ nel centro di Milano. Seguendo un approccio integrato di ‘security by design’, è stato possibile definire all’interno dello stesso processo tutti i presidi di sicurezza fisica e logica necessari a minimizzare i rischi di security anche nei confronti di attacchi sempre più diffusi di tipo ibrido.