Gestione del rischio e delle minacce informatiche: ritorno ai principi fondamentali
Gli attacchi informatici sono all’ordine del giorno.
La scoperta di attività di pirateria informatica da parte di organizzazioni criminali indipendenti e gruppi sponsorizzati dallo stato sta causando crescenti livelli di preoccupazione nei consigli di amministrazione delle società, nei vertici governativi e negli organi legislativi. Dall'hack SolarWinds che ha colpito le principali aziende, all'attacco alla Colonial Pipeline che ha interrotto la fornitura di petrolio e gas a causa di un arresto operativo precauzionale e agli attacchi ransomware LockBit, solo per citarne alcuni.
Questi attacchi informatici non si basano necessariamente su nuove tecniche di attacco e stanno purtroppo diventando più gravi e frequenti. Sebbene nessuna organizzazione manifatturiera possa garantire che non ne subirà mai l'impatto, i leader possono adottare cinque misure fondamentali per ridurre il rischio e mantenere le operazioni efficienti.
Impegnarsi nella mappatura delle operazioni aziendali
Le aziende manufatturiere devono mappare i propri sistemi aziendali e produttivi in base a ciascuna funzione, flusso di reddito o missione. Ciò li aiuta ad avere la conoscenza e il controllo necessari di ciascun processo e a raggiungere gli obiettivi di continuità e resilienza dell’attività in relazione agli attacchi informatici, così come accade per gli scenari di gestione delle crisi aziendali. In genere, la mappatura delle operazioni aziendali richiede la sponsorizzazione dell’esecutivo per ottenere la partecipazione delle parti interessate delle diverse aree funzionali dell’organizzazione, tra cui operazioni di produzione, sicurezza informatica dell’impianto, sicurezza IT, sistemi di produzione e sistemi aziendali. Questo può essere un compito arduo, quindi è bene predisporsi a imparare molto e cercate una guida che aiuti nell'implementazione di un approccio strutturato.
Analizzare con cura le minacce
I produttori devono anche eseguire un'analisi completa delle minacce. Una best practice parte di questo processo è la revisione delle matrici MITRE ATT&CK, in particolare MITRE ICS ATT&CK Matrix di recente sviluppo, che deriva da una base di conoscenze globale delle tattiche e delle tecniche utilizzate dagli avversari negli attacchi reali.
Valutazioni della sicurezza informatica
È importante determinare e valutare i controlli e le operazioni di sicurezza informatica attualmente in atto mediante una valutazione o un audit della sicurezza informatica. Ciò dovrebbe includere la valutazione di tre pilastri principali:
- Persone – Si concentra sull'aggiornamento delle competenze per nuove tecnologie e processi
- Processi – Flussi di lavoro e procedure operative
- Tecnologia – I sistemi e i controlli in atto
La tecnologia funziona, ma sono le persone a guidare il successo. Lavorare con un leader nel campo delle tecnologie di automazione come Emerson, con esperienza nei sistemi e nelle operazioni di controllo industriale, rafforzerà la valutazione.
Sviluppare una strategia di difesa
Sulla base dei risultati dell'analisi delle minacce e della valutazione della sicurezza informatica, le aziende devono sviluppare una strategia di difesa approfondita per risolvere le debolezze e mitigare i rischi in tutte le operazioni che potrebbero essere oggetto di attacchi informatici diretti, attacchi informatici indiretti o perdita di capacità operative. Questa strategia deve prevedere una prioritizzazione basata sul rischio di eventuali lacune o minacce per accertarsi che i rischi principali siano affrontati per primi, garantendo il controllo della resilienza.
Valutando questi stessi tre pilastri (persone, processi e tecnologia), spesso notiamo che i clienti trovano vantaggioso ricorrere a risorse esterne, formare o aggiornare le competenze del proprio personale oppure modificare determinati processi, controlli tecnologici, sistemi o architetture per costruire una difesa solida. Il piano d'azione deve inoltre essere allineato ai piani di continuità delle attività e di disaster recovery dell'organizzazione: proprio come nel caso di un'interruzione operativa causata da sistemi difettosi o hardware guasto, i piani di risposta agli attacchi informatici richiedono processi definiti e attivi con obiettivi incentrati sul contenimento e sui tempi di ripristino.
Questa strategia difensiva deve includere la pianificazione degli scenari peggiori. Per uno stabilimento di produzione, ad esempio, avere un chiaro piano di riserva in caso di guasti ai sistemi informatici, oltre a copie cartacee di ordini, etichette e contatti, può essere fondamentale per portare avanti le operazioni manualmente in mancanza dei computer. Questo potrebbe non essere possibile in tutti i casi, ma una revisione frequente dei piani di backup e continuità consentirà alle aziende di rimanere operative anche in caso di attacco informatico.
Rivedere e aggiornare regolarmente per verificarne l'efficacia
Una volta implementata, la strategia di difesa approfondita deve essere testata e rivista in modo metodico, mirato e periodico per garantire che sia e resti efficace e che non comprometta le operazioni in corso né introduca altri rischi. I ruoli, le responsabilità e la formazione dei dipendenti devono essere aggiornati quando vengono implementate nuove pratiche e tecnologie.
Poiché il rischio continua a crescere, la sicurezza informatica deve diventare la principale preoccupazione per tutte le aziende. Si devono eseguire operazioni e adottare controlli di sicurezza informatica proattivi e difensivi appropriati per proteggere dati, processi e operazioni aziendali importanti. I leader aziendali svolgono un ruolo fondamentale in questo cambiamento e, in collaborazione con gli esperti di sicurezza informatica, possono adottare misure cruciali per mitigare i rischi.
