La crescente digitalizzazione dell'industria e dei macchinari utilizzati nella produzione è la prova del continuo sviluppo dei processi industriali tradizionali. I vantaggi di dispositivi connessi alla rete sono innegabili: interazione tra le sedi di multinazionali, sistemi produttivi intelligenti dotati di autodiagnosi e manutenzione autonoma, tempi di risposta più brevi in presenza di modifiche delle condizioni di produzione, perfetta integrazione di clienti e fornitori nella catena del valore... In pratica, per l'Industria 4.0 è stato creato un Internet delle Cose di natura squisitamente commerciale. Ma la sicurezza vi ha trovato posto?
Non c'è vendor di sicurezza che non confermi che ogni dispositivo che dispone di un indirizzo IP è una potenziale vulnerabilità per la rete interna e per gli utenti di Internet. Lato industriale, le conseguenze di una compromissione dei sistemi produttivi sono molto più ampie rispetto a quelle di mere violazioni dei PC. Ne dovrebbe conseguire un incremento delle esigenze legate alla sicurezza IT in ambienti che non potrebbero essere più sensibili di quanto già sono. Se nell'Europa settentrionale la maggioranza della classe politica e dei decisori vede la sicurezza informatica come la più grande sfida per l'implementazione su larga scala dell'Industria 4.0, qual è la situazione italiana?
Impariamo dagli errori
Certamente non possiamo dire che in Italia l'Industria 4.0 abbia preso piede, si trova ancora in stato embrionale (con casi di successo comunque stupefacenti!) ed è spesso sinonimo di prodotti legati all'universo dell'Internet delle Cose: attrezzature da cucina intelligenti, dispositivi di misurazione che portiamo al polso e quindi ovunque con noi, autoveicoli connessi in Rete (uno dei settori manifatturieri in cui l'industria italiana, legata a doppio filo a Paesi del Nordeuropa, si sta evolvendo a maggior velocità) e molto altro. Tutti apparecchi che fanno già parte della vita quotidiana di molti di noi. Non ci sono premesse migliori per dar vita a nuovi processi produttivi che integrino la sicurezza sin dall'inizio, imparando dagli errori altrui!
Eppure la nostra esperienza ha evidenziato che, nonostante si vogliano definire "intelligenti” ad ogni costo, solo una minima parte degli impianti di produzione e dei prodotti "smart” che ne scaturiscono sono stati oggetto di integrazione di meccanismi di aggiornamento sicuri, protezione con password, sistemi di autenticazione tra i dispositivi, optando per i protocolli di trasmissione sicuri e valutando tutti gli aspetti della sicurezza sin dalla progettazione. Questo perché la sicurezza non è ancora percepita come un reale problema nel contesto d'uso di tali oggetti e, per vari motivi, in realtà, viene messa in secondo piano. Non possiamo che sperare che abbia luogo un rilevante cambiamento di consapevolezza nei confronti della sicurezza nell'Industria 4.0 a breve termine, prima che si verifichino danni eclatanti, perché se da un lato è vero che l'assenza di piattaforme standardizzate per i dispositivi smart dell'IoT rallenti – minimamente - hacker e sviluppatori di malware (su quale sistema operativo dovrebbero concentrarsi?), proprio per l'assenza di standard, non vi è alcun software di sicurezza specificamente sviluppato per i dispositivi intelligenti.
Sicurezza: chi ne è responsabile?
"La sicurezza non è una sorte di polvere miracolosa con cui cospargere il vostro prodotto una volta programmato", queste le parole del pioniere di Internet, il Dottor Paul Vixie, in occasione degli Internet Security Days 2015. Un monito rimasto praticamente inascoltato. Troppo spesso, gli sviluppatori sono costretti a rilasciare prodotti quando non sono pronti, perché la data di uscita è stata pianificata irrevocabilmente dal reparto commerciale e il mercato è in attesa del prodotto. Lo sviluppo della versione finale del firmware ha spesso luogo quando il prodotto è già in uso presso i consumatori. Così stiamo a guardare produttori che si occupano alacremente di funzionalità e intuitività d'uso, disinteressandosi della protezione garantita agli utenti a qualunque livello, dalla digitalizzazione degli impianti al prodotto finito.
E' indubbio che il concetto di sicurezza integrata sin dalle prime fasi dello sviluppo, noto anche come "Security by Design”, sarebbe preferibile. E proprio da qui scaturisce la domanda più incresciosa, la cui risposta si lascia attendere, come l'implementazione di misure di sicurezza adeguate, alla luce degli ormai noti e ricorrenti attacchi sistematici a protocolli, servizi e piattaforme. Di chi è, in ultima analisi, la responsabilità della sicurezza operativa?
Un'opportunità con conseguenze
L'Industria 4.0 è destinata a diventare una delle principali fonti di reddito per un gran numero di settori istituzionali, commerciali e di ricerca. Proprio per questo, la collaborazione tra esperti qualificati si rivela essenziale. Tale collaborazione non deve fermarsi allo stato di "idea”, piuttosto, l'intenzione deve dar luogo ad uno sviluppo agile e orientato al futuro progresso di tutti i soggetti coinvolti. Idealmente dovrebbero essere attuate direttive e procedure di sicurezza, non solo perchè "comandate” dall'alto, ma come parte di una cultura della sicurezza all'interno dell'azienda, in grado di ridurre il rischio a tutti i livelli.
Oggi abbiamo un'opportunità irripetibile: integrare le caratteristiche fondamentali della sicurezza nelle infrastrutture per la creazione di nuove tecnologie, quando sono ancora in fase di sviluppo. E abbiamo bisogno di cogliere questa opportunità. A nostro avviso è questa l'intelligenza del concetto "smart”. Oltre a reti intelligenti, fabbriche intelligenti, città intelligenti, automobili intelligenti, intelligente qualunque cosa, abbiamo bisogno anche di sicurezza intelligente.
Perdere questa chance, avrà conseguenze, di cui non vogliamo neanche immaginarci la portata.