Stabilire una disciplina OT/IoT

Questo articolo descrive la disciplina OT/IoT Security. Si concentra sulla definizione o la modernizzazione della sicurezza per dispositivi IoT (Internet of Things) specializzati e tecnologia operativa (OT), mantenendo al tempo stesso la continuità operativa e la sicurezza.

Le discipline di sicurezza sono raggruppamenti di lavoro correlati alla sicurezza che aiutano le organizzazioni a offrire costantemente risultati di sicurezza nell'intero patrimonio tecnologico. All'interno del modello di adozione della sicurezza, le discipline consentono di fornire un ponte tra scenari aziendali e implementazione tecnica, garantendo che gli investimenti per la sicurezza si traduca in risultati misurabili reali come parte del modello di adozione della sicurezza.

Perché la sicurezza OT/IoT?

I sistemi di sicurezza OT/IoT riguardano sistemi con vincoli univoci di sicurezza, disponibilità e affidabilità.

I sistemi OT e IoT appaiono sempre più nei percorsi di attacco moderni come punti di ingresso, percorsi di spostamento laterale e obiettivi ad alto impatto. La sfida principale è che la maggior parte degli ambienti OT è costituita da sistemi legacy ("brownfield") fragili, non supportati o difficili da modificare. I vincoli comuni includono:

• Software che non può essere aggiornato facilmente.
• Sistemi operativi o hardware non più supportati.
• Fornitori che terminano il supporto del prodotto o non sono più in attività.
• Requisiti normativi o di sicurezza che apportano modifiche costose o poco pratiche.

Senza una moderna disciplina di sicurezza OT/IoT, le organizzazioni devono affrontare:

• Maggiore rischio di interruzioni della produzione e incidenti di sicurezza.
• Attacchi mirati, tra cui ransomware, nei sistemi di controllo industriale.
• Violazioni normative (ad esempio, NERC CIP, IEC 62443).
• Danni fisici e potenziali danni alla sicurezza umana.
• Tempi di inattività operativi e danni operativi e di reputazione a lungo termine.

Poiché questi sistemi supportano spesso servizi critici, la sicurezza OT/IoT è essenziale per la resilienza operativa e la sicurezza pubblica.

Obiettivi e risultati

La missione è proteggere i sistemi OT e i dispositivi IoT che controllano i processi fisici o raccolgono dati operativi critici. I risultati della missione includono:

• Maggiore visibilità su tutti gli asset OT/IoT.
• Isolamento degli ambienti OT/IoT dagli ambienti IT e da Internet.
• Mantenere resilienti e conformi le operazioni.
• Proteggi l'accesso remoto e quello dei fornitori senza interrompere le operazioni.
• Rilevamento precoce delle minacce specifiche dell’OT.
• Riduzione della probabilità e dell'impatto di interruzioni, incidenti di sicurezza e danni fisici.
• Conformità ai requisiti normativi e del settore.

Il diagramma seguente del Microsoft Cybersecurity Reference Architecture (MCRA) illustra l'intervallo di dispositivi OT e IoT che devono essere protetti.

Come applicare questa disciplina

Per applicare efficacemente la disciplina OT/IoT, concentrarsi sulla definizione di un approccio coordinato alla protezione dei dispositivi connessi e degli ambienti operativi mantenendo al tempo stesso la sicurezza e la disponibilità:

1. Definire una strategia di sicurezza OT/IoT allineata al rischio operativo
   Stabilire un approccio chiaro per identificare, classificare in ordine di priorità e mitigare i rischi per i processi operativi critici, i sistemi industriali e i dispositivi connessi in base al potenziale impatto sulla sicurezza e sull'azienda.
2. Ottenere visibilità completa sugli asset OT e IoT
   Mantenere un inventario accurato dei dispositivi, delle reti e dei flussi di comunicazione per comprendere cosa esiste nell'ambiente e identificare sistemi non gestiti o vulnerabili.
3. Segmentare e proteggere gli ambienti OT/IoT
   Implementare la segmentazione di rete e i controlli di accesso per isolare i sistemi critici, limitare lo spostamento laterale e ridurre l'esposizione alle minacce attraverso i limiti IT e OT.
4. Standardizzare il monitoraggio e il rilevamento delle minacce per OT/IoT
   Applicare funzionalità di monitoraggio e rilevamento coerenti tra dispositivi connessi e sistemi industriali per identificare anomalie, condizioni non sicure e potenziali compromissioni.
5. Allineare la sicurezza OT/IoT ai requisiti operativi e alle priorità di sicurezza
   Assicurarsi che i controlli di sicurezza supportino i requisiti di continuità operativa e sicurezza, assegnando priorità alle protezioni per i processi critici e riducendo al minimo le interruzioni delle operazioni industriali.
6. Migliorare continuamente i dati analitici e i feedba operativi
   Usare le informazioni degli eventi imprevisti, dei dati di telemetria dei dispositivi e delle metriche operative per rafforzare la visibilità, migliorare il rilevamento e perfezionare i controlli di sicurezza nel tempo.

Gestire il cambiamento

La modernizzazione di OT e IoT Security è incentrata sul miglioramento della capacità organizzativa di individuare, monitorare e proteggere dispositivi OT/IoT specializzati che spesso non sono inclusi nelle attività, nei controlli o nell'ambito della sicurezza IT. A differenza degli ambienti IT, la maggior parte dei sistemi OT/IoT è di lunga durata, critica per la sicurezza e difficile da modificare.

I principi chiave di modifica includono:

• Visibilità: usare il monitoraggio passivo per individuare e comprendere gli asset e le comunicazioni OT/IoT.
• Isolamento: segmentare e isolare gli ambienti OT per ridurre l'esposizione prima di applicare altri controlli.
• Sicurezza operativa: assicurarsi che i controlli di sicurezza non interrompano le operazioni in tempo reale o i sistemi di sicurezza.
• Approvvigionamento: incorporare i requisiti di sicurezza nelle decisioni di acquisto.
• Allineamento: rendere la sicurezza sostenibile allineando persone, processi e tecnologia. Ad esempio, formare gli addetti alle operazioni, aggiornare le procedure e applicare in modo coerente i controlli.

Strategia di modernizzazione

La strategia di sicurezza OT/IoT combina la riduzione dei rischi a breve termine con miglioramenti strutturali a lungo termine per ridurre la probabilità e l'impatto degli incidenti di cybersecurity che potrebbero causare danni umani, danni fisici o interruzioni aziendali.

A differenza della sicurezza IT, la sicurezza OT/IoT ha pochi controlli di sicurezza praticabili. La strategia di sicurezza deve riconoscere i vincoli, concentrarsi sull'esecuzione coerente ed efficace disponibile su controlli pratici e sostenibili senza compromettere la sicurezza o la disponibilità.

Priorità strategiche

I vincoli di sicurezza OT/IoT univoci richiedono di concentrarsi su un numero ridotto di priorità strategiche a breve termine e a lungo termine:

• Breve termine - Monitoraggio: usare il monitoraggio passivo dei dati di rete per inventariare i dispositivi e identificare le attività anomale che possono rappresentare un attacco. Si noti che l'analisi attiva delle vulnerabilità software può causare un arresto anomalo di alcuni sistemi remoti, a volte richiedendo una visita di un sito a una posizione remota distante o disabitato per riavviare fisicamente il sistema.
• Breve termine - Isolare i dispositivi OT e IoT dall'accesso diretto a Internet e da altri dispositivi connessi a Internet, inclusi dispositivi e reti IT standard.
• Short Term - Altri controlli (come applicabile) - Progettare e implementare altri controlli disponibili per proteggere i sistemi che possono includere l'isolamento fisico di sistemi altamente sensibili, l'applicazione delle procedure consigliate IT, ad esempio gli aggiornamenti software (se disponibili) e altro ancora.
• Lungo termine - Acquisto o sostituzione - I criteri di approvvigionamento richiedono la possibilità di proteggere i dispositivi per tutta la durata operativa

La combinazione specifica di controlli varia in base ai tipi di dispositivo, ai vincoli operativi e ai cicli di approvvigionamento.

Questo diagramma mostra le priorità chiave.

A breve termine- Isolare gli ambienti OT/IoT

L'isolamento efficace richiede più di una semplice segmentazione di rete con regole del firewall per bloccare il traffico. Per ottenere un isolamento efficace dalle minacce che non interrompono le operazioni, è necessario un approccio completo e ponderato implementato in modo coerente nel tempo.

L'approccio deve includere:

• Modellazione di processi aziendali, tecnologie e minacce: individuare e documentare i sistemi OT/IoT. Come vengono usati nei flussi di lavoro aziendali, come viene configurata la tecnologia e come gli attori delle minacce possono ottenere l'accesso.

• Tenendo conto di persone, processi e tecnologie - adotta un approccio olistico. Per esempio:

  • Per la tecnologia, bloccare le comunicazioni non autorizzate, rilevare le minacce e stabilire controlli di sicurezza rigorosi per tutti i dispositivi bridging/transit.
  • Per i processi, stabilire, monitorare e aggiornare i criteri dell'organizzazione, le procedure aziendali e tecniche e la governance per sostenere le garanzie nel tempo.
  • Per le persone, formare tutti gli stakeholder su cosa, perché e come eseguire le procedure.

• Applica a tutti i livelli : non limitare l'analisi, la progettazione e l'implementazione a un solo controllo, ad esempio la rete. Prendere in considerazione l'intero sistema, incluse le identità e l'accesso, la connettività di rete, l'accesso fisico, i sistemi operativi e le app.

• Dispositivi temporanei sicuri : l'accesso dei dispositivi agli ambienti OT/IoT isolati deve essere protetto in modo sicuro per garantire la sicurezza degli ambienti fragili. Applicare controlli rigorosi di persone, processi e tecnologie a:

  • Tutti i dispositivi connessi in modo permanente all'ambiente, ad esempio le workstation di monitoraggio.
  • Dispositivi in entrata o in uscita, come i computer portatili per la manutenzione dei fornitori. Assicurarsi di seguire i principi dei dispositivi con privilegi.

Questo diagramma mostra i punti chiave per isolare asset di valore elevato.

A lungo termine - acquisto o sostituzione

Assicurarsi che la sicurezza e la produttività di OT/IoT aumentino nel tempo includendo i requisiti nei criteri di approvvigionamento. Senza questo passaggio, i costi e i rischi delle operazioni OT/IoT cresceranno nel tempo.

Il diagramma confronta il risultato con e senza l'inclusione dei requisiti di sicurezza.

• In A, l'organizzazione effettua un acquisto di grandi dimensioni senza requisiti di sicurezza. L'esempio mostra un contratto di supporto che termina in anticipo e un fornitore chiude. Ciò potrebbe comportare spese di supporto non preventivo e rischi elevati.

• In B l'organizzazione include i requisiti di sicurezza durante l'approvvigionamento. La negoziazione considera fattori chiave che includono:

  • Il fornitore fornisce aggiornamenti di durata o fornisce sistemi operativi più moderni per le apparecchiature per chiudere un affare.
  • Il fornitore fornisce supporto a vita. O almeno sono disposti a estendere il supporto regolare o fornire uno sconto per chiudere un accordo.
  • Il fornitore deve seguire procedure di sviluppo del software solide per ridurre in anticipo i difetti di progettazione e i rischi.
  • Il fornitore è soggetto a controlli che stimano la capacità del fornitore di fornire continuità e rimanere in azienda.
  • I piani sono applicati nel caso in cui il fornitore esce dall'azienda.

Ottieni valore

La valutazione anticipata dei requisiti consente di ottimizzare il valore delle apparecchiature e ridurre i rischi futuri. Quando si dispone di queste informazioni in anticipo, protegge contro:

• Motivazione del fornitore per soddisfare i requisiti di sicurezza dopo l'acquisto.
• La necessità di negoziare gli aggiornamenti e il supporto in un secondo momento, che potrebbe essere più difficile o costoso.

Ovviamente, i requisiti di sicurezza devono essere bilanciati con altre priorità aziendali e compromessi.

Replacement

Essere proattivi nella richiesta di aggiornamenti, aggiornamenti e sistemi e apparecchiature sostitutivi.

• Non presupporre che il costo della sostituzione di un sistema legacy sia sempre troppo costoso.
• Prendere in considerazione i vantaggi aziendali e di sicurezza o l'aggiornamento o la sostituzione.
• I guadagni di produttività derivanti da apparecchiature più recenti potrebbero compensare i costi di aggiornamento.
• Prendere in considerazione il costo nascosto dei sistemi legacy in termini di manutenzione, agilità aziendale e rischio di sicurezza e interruzione operativa.
• Eseguire un'analisi completa dei costi di durata per la manutenzione legacy rispetto all'aggiornamento.

Ruoli e collaboratori della disciplina

I ruoli di sicurezza OT e IoT proteggono i dispositivi e i sistemi OT/IoT. Garantiscono l'implementazione dei controlli di sicurezza durante la gestione delle operazioni e della sicurezza. Nelle organizzazioni più piccole, queste responsabilità possono essere combinate in ruoli di infrastruttura o secops. Le aziende di grandi dimensioni potrebbero avere specialisti OT/IoT dedicati.

I ruoli principali includono:

• Architetti della sicurezza – Progettano architetture sicure per gli ambienti OT, applicando i principi dello Zero Trust nel rispetto dei requisiti di isolamento air-gap e dei vincoli operativi.

• Ingegneria e operazioni OT - Proteggere i sistemi di controllo industriale (ICS), gli ambienti di controllo di supervisione e acquisizione dei dati (SCADA) e i controller della logica programmabili (PLC) usati per controllare e monitorare i processi fisici.

  Questi ruoli implementano e gestiscono il monitoraggio della sicurezza, la segmentazione di rete e il rilevamento delle minacce senza interrompere le operazioni aziendali.

• Professionisti IoT : integrare i dispositivi e i dati IoT in flussi di lavoro aziendali, servizi e applicazioni personalizzate.

I collaboratori interni principali includono:

• Operatori in prima linea (team delle operazioni aziendali e di ingegneria) – Mantengono i sistemi di produzione e garantiscono che i processi operativi si svolgano senza intoppi. Integrano la registrazione e i dati di telemetria nei sistemi di sicurezza e gestione degli eventi (SIEM) e della sicurezza.
• Front line worker (gestione fornitori): supervisionare l'accesso di terze parti ai sistemi OT.
• Infrastruttura, piattaforma, team di progettazione/operazioni di rete : coordinare la segmentazione della rete e la connettività tra ambienti IT/OT.
• SecOps : monitorare le minacce OT/IoT e rispondere agli eventi imprevisti.
• Team responsabile della conformità alla sicurezza, conformità e controllo: garantire la conformità alle normative specifiche del settore (NERC CIP, IEC 62443, NIST CSF).
• CISO, amministratori/responsabili della sicurezza : definire priorità strategiche, tolleranza di rischio e obiettivi di conformità per la sicurezza OT/IoT.

Nessun ruolo opera in isolamento. I professionisti della sicurezza devono comprendere i principi di cybersecurity e i requisiti operativi OT/IoT.

La sicurezza e la disponibilità hanno spesso la precedenza sui controlli di sicurezza tradizionali negli ambienti OT, che richiedono l'equilibrio della sicurezza con le esigenze operative.

Integrazione con altre discipline

La sicurezza OT e IoT deve integrarsi strettamente con altre discipline:

• Sicurezza dell'infrastruttura : la sicurezza OT/IoT è un subset specializzato incentrato sui sistemi industriali.
• SecOps : il team SecOps necessita di formazione, processi definiti e tecnologia per rilevare e rispondere agli attacchi OT/IoT, evitando punti ciechi.
• Gestione del comportamento di sicurezza : questi team devono includere dispositivi IoT/OT nelle attività di individuazione e definizione delle priorità/mitigazione del comportamento. Ciò consente di identificare il rischio OT/IoT, incluse le superfici di attacco e i potenziali percorsi di accesso.

Integrazione con i pilastri della tecnologia

L'esecuzione della strategia della disciplina di sicurezza OT e IoT richiede controlli di sicurezza su più pilastri tecnologici.

• Identità: i controlli di identità per gli ambienti OT/IoT devono tenere conto delle identità dei computer, degli account di servizio usati dai sistemi di automazione e degli operatori umani che richiedono l'accesso ai controlli industriali.
• Endpoint: gli endpoint OT, tra cui workstation industriali, stazioni di ingegneria e terminali operatore, richiedono misure di sicurezza specifiche per proteggere questi sistemi senza compromettere le operazioni in tempo reale.
• Infrastruttura: l'infrastruttura OT, inclusi i sistemi di controllo industriale, i server SCADA, i database storici dei dati industriali e i PLC, richiede visibilità e protezione pur mantenendo i requisiti operativi e, ove appropriato, le architetture air-gap.
• App: le applicazioni che si interfacciano con dispositivi OT/IoT devono essere protette per impedire il controllo non autorizzato dei sistemi fisici. Sono incluse le interfacce HMI (Human Machine Interfaces), le applicazioni SCADA e il software industriale.
• Dati: i dati operativi provenienti da sensori, sistemi di controllo e processi industriali devono essere protetti sia inattivi che in transito, mantenendo al tempo stesso l'integrità critica per le operazioni sicure.
• Reti: la segmentazione di rete tra ambienti IT e OT è fondamentale, insieme al monitoraggio dei protocolli industriali (Modbus, OPC, DNP3) e all'accesso remoto sicuro per fornitori e operatori.
• Intelligenza artificiale: L'intelligenza artificiale e l'apprendimento automatico possono migliorare la sicurezza OT tramite il rilevamento delle anomalie nei processi industriali, la manutenzione predittiva e l'identificazione automatizzata delle minacce rispettando i vincoli operativi.

Risorse Microsoft

Tecnologie

Microsoft offre soluzioni tecnologico che consentono e accelerano la modernizzazione della sicurezza OT e IoT.

Sono incluse sia la tecnologia di abilitazione principale che le tecnologie di abilitazione chiave.

Tecnologia	Dettagli
Microsoft Defender per endpoint	Enterprise IoT nel portale di Microsoft Defender offre supporto per la sicurezza IoT aziendale. Visualizzare le informazioni sulla licenza per Defender per Endpoint e Defender XDR.
Microsoft Entra	Fornisce la gestione delle identità per operatori OT, ingegneri e account di servizio che accedono ai sistemi industriali.
Microsoft Intune	Protegge le workstation OT e le stazioni di progettazione usate per gestire i sistemi industriali.
Microsoft Defender XDR	Fornisce funzionalità di rilevamento e risposta per workstation OT e sistemi IT connessi agli ambienti operativi (tramite Microsoft Defender for Cloud).
Microsoft Sentinel	Soluzione SIEM che correla gli avvisi di sicurezza OT con gli eventi di sicurezza IT per il rilevamento completo delle minacce.
Microsoft Azure	Fornisce un'infrastruttura cloud sicura per l'analisi dei dati OT, il monitoraggio remoto e la connettività sicura, tra cui hub IoT di Azure, Firewall di Azure e collegamento privato di Azure
Microsoft Azure Sphere	Fornisce una soluzione IoT completa che fornisce un'unità di microcontroller (MCU) protetta e connessa, un sistema operativo basato su Linux personalizzato e un servizio di sicurezza basato sul cloud.

Passaggi successivi

Informazioni sulla disciplina infrastruttura e rete.