Incorporando i requisiti di sicurezza informatica in specifiche ingegneristiche per le infrastrutture critiche

La necessità evolutiva della sicurezza informatica nell'infrastruttura critica

La civiltà moderna dipende dal funzionamento ininterrotto delle infrastrutture critiche: reti elettriche che alimentano ospedali e data center, impianti di trattamento dell'acqua che forniscono acqua potabile pulita, gasdotti che trasportano il carburante e sistemi di controllo del trasporto che mantengono il traffico aereo in sicurezza.

Questa convergenza della tecnologia operativa (OT) e della tecnologia dell'informazione (IT) ha aperto la porta a un rischio informatico senza precedenti. Dove una volta che un aggressore ha bisogno di accesso fisico per sabotare una sottostazione di potenza o una valvola dell'acqua, oggi un'unica e-mail di phishing o una vulnerabilità non patched in un controller di rete può fornire l'accesso remoto ai sistemi di controllo critico.

I requisiti di sicurezza informatica incorporati nelle specifiche ingegneristiche, prima che una singola linea di codice sia scritta o che un singolo interruttore sia cablato, è il modo più efficace per garantire che la sicurezza non sia retrofitta come un ripensamento, ma sia integrata nel tessuto stesso del sistema.

Il paesaggio sottile che mira l'infrastruttura critica

La comprensione della natura e della sofisticazione delle minacce moderne è il primo passo nella realizzazione di specifiche ingegneristiche efficaci.Le seguenti categorie di attacchi sono particolarmente rilevanti per gli ambienti di infrastruttura critica.

Minacce persistenti di Nation-State e Advanced

Gli attacchi informatici 2015 e 2016 sulla rete elettrica dell'Ucraina rimangono degli esempi più importanti: gli attaccanti hanno usato le credenziali di spear-phishing e compromettenti per ottenere l'accesso ai sistemi SCADA, con conseguente diffuso dispendio di energia. L'attacco della Pipeline del 2021, che ha interrotto i rifornimenti di carburante attraverso i punti di compromesso IT-S. Eastern Seaboard, ha dimostrato che anche i punti di accesso a Internet limitati hanno dimostrato che

Ransomware e Estorsione

I gruppi ransomware come REvil, DarkSide e LockBit hanno sempre più mirato organizzazioni industriali, sapendo che i tempi di fermo in infrastrutture critiche sono inaccettabili e che gli operatori sono più propensi a pagare i riscatto rapidamente. L'attacco del 2020 su un ospedale tedesco, che ha costretto la diversione dei pazienti di emergenza e ha contribuito alla morte di un paziente, sottolinea la posta in gioco di attacchi informatici ai sistemi critici.

Interno minacce e errore umano

Non tutte le minacce provengono dall'esterno. dipendenti, appaltatori o dipendenti che cadono vittime di ingegneria sociale possono introdurre malware, modifiche di configurazione o disabilitare i sistemi di sicurezza.

Compromesso della catena di fornitura

L'infrastruttura critica si basa su hardware, software e firmware di terze parti. Il compromesso di SolarWinds Orion e le vulnerabilità di Microsoft Exchange hanno dimostrato come un singolo fornitore compromesso possa cascata in centinaia di vittime a valle.

Regolazione e standard Paesaggio

Le specifiche ingegneristiche devono allinearsi con standard riconosciuti per garantire la defensibilità, la conformità alle normative e l'interoperabilità.

Serie IEC 62443

La serie IEC 62443[[ (ex ISA-99) è il più completo framework di sicurezza informatica per sistemi di automazione e controllo industriale (IACS).

IEC 62443-1-1:[ Terminologia, concetti e modelli
IEC 62443-2-1:[ Requisiti di sistema di gestione della sicurezza per i proprietari di asset
IEC 62443-3-3:[ Requisiti di sicurezza e livelli di sicurezza del sistema (SL) per sistemi di controllo
IEC 62443-4-1:[ Requisiti di vita di sviluppo del prodotto sicuro
IEC 62443-4-2:[ Requisiti di sicurezza tecnica per i componenti IACS

Quando si scrive le specifiche di ingegneria, si riferisce a specifiche esigenze IEC 62443-3-3-3, come il controllo di identificazione e autenticazione (IAC), il controllo dell'uso (UC), l'integrità del sistema (SI), la riservatezza dei dati (DC), e il flusso di dati limitato (RDF) - assicura un approccio strutturato e verificabile alla sicurezza.

Pubblicazioni speciali

NIST SP 800-53 Rev. 5 fornisce un catalogo completo di sicurezza e controlli sulla privacy per i sistemi informativi federali, ma i suoi controlli sono ampiamente adottati per le infrastrutture critiche al di là del governo federale.

Altri standard chiave

ISO/IEC 27001:[] Sistemi di gestione della sicurezza dell'informazione; applicabili al confine IT/OT
CIP di CNERC (America del Nord):[ Requisiti di sicurezza informatica per sistemi elettrici di massa
Direttiva UE NIS2:[ Richiede agli Stati membri di garantire requisiti di sicurezza informatica specifici per settore per le entità critiche, tra cui energia, trasporto e acqua
ANSI/ISA-62443-2-1:[] Stabilisce un sistema di gestione della sicurezza informatica per IACS

Requisiti di sicurezza informatica core per le specifiche di ingegneria

Di seguito sono riportate le categorie fondamentali che dovrebbero essere affrontate in qualsiasi specifica ingegneristica per progetti di infrastruttura critica, che dovrebbero essere scritte in linguaggio chiaro e verificabile in modo da poter essere testate e convalidate durante l'accettazione del sistema.

Valutazione del rischio e modellazione della minaccia

Prima di specificare il controllo, il team di progetto deve condurre una valutazione del rischio strutturata.

Identificazione di tutti i beni, inclusi controller, sensori, attuatori, HMI, postazioni di lavoro di ingegneria e gateway di comunicazione
Modellazione a minacce utilizzando una metodologia come STRIDE o PASTA, su misura per ambienti OT
Determinazione dei livelli di sicurezza (SL) per IEC 62443-3-3 per ciascuna zona e condotto
Documentazione dell’accettazione dei rischi residui da parte di soggetti autorizzati

Architettura di sicurezza di rete

Le specifiche devono definire la topologia della rete, comprese le zone e i condotti per IEC 62443-3-2.

Segmentazione:[] Segrezione rigorosa tra le reti OT, IT e DMZ utilizzando firewall o gateway unidirezionali
Air Gaps e Data Diodes:[ Per i sistemi di alta sicurezza, consideri gateway unidirezionali che impediscono fisicamente i dati di scorrere dalla rete OT alle reti esterne
Scatole di salto e host di bastione:[] Sconfitti percorsi per l'accesso remoto e la manutenzione, che richiedono l'autenticazione multi-fattore e la registrazione delle sessioni
Ridundanza:[ Percorsi di rete tolleranti che non compromettono la sicurezza durante il failover

Controllo di accesso e autenticazione

Le specifiche di ingegneria devono rispettare il principio di minimo privilegio.

Controllo accessi basato sul ruolo (RBAC) per tutti gli utenti, compresi gli operatori, gli ingegneri e il personale di manutenzione
Autenticazione multifattore (MFA) per tutti gli accessi remoti e tutti gli account privilegiati
Criteri di password rigidi: lunghezza, complessità, rotazione e divieto di credenziali di default
Gestione delle sessioni: timeout, limiti di sessione concomitanti e terminazione automatica
Controlli fisici di accesso per il controllo di armadi, sale server e dispositivi di campo

Integrità del sistema e configurazione sicura

Mantenere l'integrità dei sistemi OT è fondamentale.

Indurimento dei sistemi operativi e del firmware utilizzando benchmark riconosciuti (ad esempio, CIS Benchmarks)
Rimozione di servizi, porte e protocolli non necessari
Utilizzo di firmware e aggiornamenti software firmati crittograficamente
Strumenti di monitoraggio dell'integrità che rilevano modifiche non autorizzate ai file di configurazione, alle binarie o ai tasti del registro di sistema
Applicazione whitelisting (permettere di elencare) per prevenire l'esecuzione di software non approvato

Monitoraggio della sicurezza, registrazione e risposta incidente

La visibilità negli ambienti OT è spesso scarsa rispetto alle reti IT. Le specifiche devono affrontare:

Registrazione centralizzata da controller, HMI, firewall e server di autenticazione
Sincronizzazione del tempo (ad esempio, NTP) su tutti i dispositivi per garantire tempi di incidente correlati
Capacità di rilevamento delle intrusioni: basati su rete (NIDS) e basati su host (HIDS) su misura per protocolli OT come Modbus, DNP3, e IEC 61850
Soglie di allineamento che non creano affaticamento del segnale, ma assicurano una risposta tempestiva alle vere anomalie
Libri di risposta incident specifici per ogni tipo di asset, con strategie di contenimento predefinite

Protezione dei dati e crittografia

Mentre alcuni protocolli OT sono in-the-clear, i nuovi sistemi supportano sempre più la crittografia.

Crittografia dei dati in transito utilizzando TLS 1.2+ o IPsec dove supportato da apparecchiature
Crittografia dei dati sensibili a riposo, inclusi i backup di configurazione e i file di registro
Protezione delle chiavi crittografiche utilizzando moduli di sicurezza hardware (HSM) o moduli di piattaforma di fiducia (TPMs)
Politiche di classificazione dei dati con i requisiti di gestione appropriati per i dati operativi

Supply Chain e sicurezza del venditore

I componenti di terze parti introducono il rischio. Le specifiche ingegneristiche dovrebbero includere i requisiti relativi al fornitore:

Presentazione di una fattura software di materiali (SBOM) per tutti i componenti software
Prove di pratiche di sviluppo sicure (ad esempio, certificazione IEC 62443-4-1)
Programma di divulgazione di vulnerabilità con tempi di risposta definiti
Requisiti per la disponibilità e gli impegni di supporto a lungo termine
Clausola di diritto all'audit per componenti critici

Metodologia per l'emissione di sicurezza informatica in specifiche tecniche di ingegneria

L'integrazione dei requisiti di sicurezza nelle specifiche ingegneristiche è un processo ripetibile che dovrebbe essere istituzionalizzato all'interno dell'organizzazione.

Fase 1: Pianificazione e Governance pre-progetto

Stabilire un comitato di guida per la sicurezza informatica multifunzionale con rappresentanti di ingegneria, IT, operazioni, gestione dei rischi e legale
Definire un modello di requisiti di sicurezza informatica allineato agli standard prescelti (ad esempio, IEC 62443)
Allocare il budget per i test di sicurezza, la certificazione e il monitoraggio in corso
Includere i criteri di accettazione della sicurezza nei documenti di progetto

Fase 2: Requisiti Elicitazione e documentazione

Condurre i workshop di modellazione e valutazione dei rischi di minacce che coinvolgono ingegneri, ingegneri di processo e esperti di sicurezza di OT
Traduci i rischi identificati in requisiti di sicurezza espliciti e verificabili
Utilizzare uno strumento di gestione dei requisiti (ad esempio DOORS, JAMA o anche un foglio di calcolo strutturato) per mantenere la tracciabilità dalla minaccia al requisito di testare
Scrivere i requisiti in un formato testable: "Il sistema richiede l'autenticazione multi-fattore per qualsiasi accesso remoto al sistema di controllo." (Clifica SMART: specifici, misurabili, realizzabili, pertinenti, a tempo pieno)

Fase 3: Progettazione e Architettura

Condurre una recensione di progettazione che valuta specificamente come l'architettura proposta soddisfa i requisiti di sicurezza
Valutatori esterni per sistemi complessi (ad esempio, valutatori di sicurezza ISA/IEC 62443)
Decisioni di architettura dei documenti in un documento di architettura della sicurezza che fa parte del pacchetto di specifiche ingegneristiche generali

Fase 4: Selezione degli appalti e dei fornitori

Includi i requisiti di sicurezza in tutte le richieste di proposte (RFP) e contratti di fornitori
Valuta la posizione di sicurezza del fornitore utilizzando un questionario standardizzato (ad esempio, il questionario di valutazione della sicurezza del venditore)
Richiedete prove di conformità agli standard quali IEC 62443-4-1 o ISO 27001

Fase 5: Attuazione, test e convalida

Condurre test di sicurezza in parallelo con test funzionali: scansione di vulnerabilità, test di penetrazione, audit di configurazione
Eseguire test di regressione dopo l'applicazione di patch di sicurezza
Convalida che ogni requisito di sicurezza viene soddisfatto utilizzando criteri di test oggettivi
Documentare eventuali deviazioni e ottenere l'accettazione formale del rischio per questioni non risolte

Fase 6: Operazioni e miglioramento continuo

Stabilire processi per la gestione delle vulnerabilità in corso, la gestione delle patch e il monitoraggio della sicurezza
Condurre rivalutazioni di sicurezza periodiche, soprattutto durante le finestre di manutenzione e dopo le modifiche principali
Lezioni di alimentazione imparate di nuovo nel modello di requisiti per i progetti futuri

Sfide e strategie di mitigazione

Anche con una metodologia robusta, i team di ingegneri affrontano ostacoli reali all'integrazione della sicurezza informatica.

Sfida 1: Bilanciamento della sicurezza con disponibilità operativa

I sistemi OT hanno spesso rigorosi requisiti di uptime (ad esempio, disponibilità 99,999% per i controlli della rete elettrica). I cicli di patching aggressivo o i requisiti di autenticazione possono interferire con il funzionamento continuo [Mitigazione:]] Utilizzare un approccio basato sul rischio per determinare quali sistemi richiedono i più elevati livelli di sicurezza e implementare controlli compensanti come segmentazione di rete o lacune di aria per i sistemi che non possono essere patchati di gestione delle operazioni di manutenzione.

Sfida 2: attrezzature legacy e vendita Lock-In

Molti siti di infrastrutture critiche operano attrezzature che hanno 15-20 anni, eseguendo firmware obsoleti senza patch di sicurezza del fornitore. ]Mitigation:[] Specifiche dovrebbero includere requisiti per la gestione del ciclo di vita delle attrezzature, comprese le date del tramonto e i percorsi di aggiornamento.

Sfida 3: Abilità Gap e Comunicazione interdisciplinare

I team di Cybersecurity e i team di ingegneria OT spesso parlano lingue diverse. Mitigazione:[] Investire in programmi di formazione che insegnano i fondamentali della sicurezza informatica agli ingegneri OT e ai fondamentali OT ai professionisti della sicurezza.

Sfida 4: Constraints di bilancio

La sicurezza informatica è spesso considerata un costo aggiuntivo piuttosto che un investimento. Mitigazione:[] Creare un caso di business che quantifica il costo di una potenziale violazione (multe regolamentari, downtime, danno di reputazione, responsabilità legale).

Vantaggi di un Approccio Proattivo di Sicurezza Informatica in Specifiche di Ingegneria

Le organizzazioni che integrano sistematicamente la sicurezza informatica nelle specifiche ingegneristiche realizzano una gamma di benefici misurabili oltre la semplice riduzione del rischio.

Conformità normativa e giuridica

Gli organismi di regolamentazione nei settori dell'energia, dell'acqua e dei trasporti stanno sempre più mandando i requisiti di sicurezza informatica. Ad esempio, gli standard di protezione delle infrastrutture critiche della North American Electric Reliability Corporation (NERC CIP) richiedono controlli specifici di sicurezza per i sistemi di alimentazione in massa.

Riduzione dei costi a lungo termine

L'aggiunta di segmentazione di rete, controlli di accesso e monitoraggio dopo il fatto spesso richiede arresti, rielaborazione e più ordini di cambiamento. A ben definito specifica con requisiti di sicurezza cotti in appalti e fasi di progettazione può ridurre il costo totale di proprietà del 30-50% sulla vita del sistema.

Continuità operativa e sicurezza

Molti sistemi strumentali di sicurezza (SIS) si affidano alla stessa rete di controllo che potrebbe essere compromessa da un attacco informatico, garantendo che i controlli di sicurezza non interferiscano con i sistemi di sicurezza (e viceversa), specifiche ingegneristiche che affrontano sia la sicurezza che la sicurezza aiutano a proteggere la vita umana, nonché i tempi di avanzamento operativi.

Vantaggio competitivo e fiducia degli stakeholder

Le organizzazioni che possono dimostrare un approccio maturo alla sicurezza informatica nei loro progetti di infrastruttura critica sono più propensi a vincere contratti, assicurarsi a tassi favorevoli e mantenere la fiducia pubblica. In settori come l'energia e il trasporto, dove gli attacchi possono erodere la fiducia pubblica per anni, una forte postura di sicurezza è un differenziatore.

Guardando in testa: il futuro delle specifiche di sicurezza informatica per le infrastrutture critiche

Le specifiche di ingegneria scritte oggi devono anticipare le tendenze e le minacce emergenti, i seguenti sviluppi sono suscettibili di influenzare i requisiti delle specifiche nei prossimi anni.

Architettura di Zero Trust per OT

Mentre zero trust è ben consolidata in IT, la sua applicazione a OT è ancora in fase di sviluppo. Le specifiche future possono richiedere che tutti i dispositivi autenticheranno ogni volta che comunicano, anche all'interno della stessa zona OT. Ciò richiederà nuovi protocolli e attrezzature, ma ridurrà significativamente il raggio di esplosione di qualsiasi singolo dispositivo compromesso.

Intelligenza artificiale e apprendimento automatico per la rilevazione di anomalie

Gli strumenti di sicurezza basati su AI/ML stanno diventando in grado di rilevare anomalie sottili nel traffico di rete OT che manca ai sistemi tradizionali basati sulla firma.Le specifiche possono evolversi per richiedere il monitoraggio basato su AI per sistemi di alto livello di sicurezza, insieme ai requisiti per la spiegabilità e i tassi falsi-positivi.

Cripografia quantistica-resistiva

Le specifiche ingegneristiche per le attività di infrastruttura critica di lunga durata (ad esempio, trasformatori di potenza con una vita di 40 anni) dovrebbero iniziare a richiedere algoritmi crittografici resistenti alla quantistica, come definito dal processo di standardizzazione in corso di NIST.

Certificazione continua e conformità continua

Le tradizionali verifiche "point-in-time" vengono sostituite da modelli in cui i sistemi vengono continuamente monitorati per il rispetto degli standard di sicurezza.

Convergenza regolatrice

Come si vede con la direttiva NIS2 dell'UE e la guida dell'Agenzia per la sicurezza delle infrastrutture e della sicurezza degli Stati Uniti (CISA), le normative si stanno convergendo intorno ai principi comuni: obblighi di segnalazione, sicurezza della catena di fornitura e requisiti obbligatori per il sicuro-by-design.

Conclusioni

L'integrazione dei requisiti di sicurezza informatica nelle specifiche ingegneristiche per le infrastrutture critiche non è più facoltativa, è una responsabilità fondamentale di ingegneri, project manager e leader organizzativi. Le partecipazioni sono troppo elevate, le minacce troppo sofisticate, e il paesaggio normativo troppo esigente per trattare la sicurezza informatica come un ripensamento o una preoccupazione puramente IT.

Adottando una metodologia strutturata basata su standard riconosciuti come [ IEC 62443 e NIST SP 800-53[, i team di ingegneria possono creare specifiche che sono testabili, verificabili e resilienti a minacce in evoluzione.

Le organizzazioni che agiscono ora per incorporare la cybersicurezza nelle loro pratiche ingegneristiche saranno quelle più posizionate per atmosfericare le tempeste di domani. Coloro che ritardano il rischio di essere catturati impreparati, affrontando non solo il debito tecnico, ma anche le conseguenze regolamentari, finanziarie e reputazionali che possono essere irreversibili.

Il tempo di scrivere la sicurezza informatica nelle specifiche ingegneristiche non è quando si scopre una violazione, non quando un regolatore emette una multa, e non quando un sistema è già in attacco. Il tempo è ora, nelle prime fasi del progetto di concezione, prima che una singola linea di codice è scritta o un singolo cavo è in esecuzione.