verticale

L'attività di Vulnerability Assessment in accordo agli standard IEC 62443

Un numero sempre crescente di incidenti è causato da problemi software
- System Integrity - problema legato alla sicurezza
- Scarsa sensibilizzazione del personale ai temi di cyber security
- Architettura del sistema carente – procedure e linee guida
- Risk a Asset management
- Gestione degli hazard e degli incidenti
- Monitoraggio della security – security audit
- Conoscenza dell’architettura delle reti
- Patch management

Scarica il PDF Scarica il PDF
Aggiungi ai preferiti Aggiungi ai preferiti


Atti di convegni o presentazioni contenenti case history
mcT Petrolchimico Milano novembre 2016 Quale futuro per la Cyber Security?

Pubblicato
da Alessia De Giosa
mcT Petrolchimico Milano 2016Segui aziendaSegui




Settori: 

Parole chiave: 


Estratto del testo
Milano, 24 novembre 2016 Gli atti dei convegni e più di 8.000 contenuti su www.verticale.net DNV GL © 2016 SAFER, SMARTER, GREENER DNV GL © 2016 DNV GL L''attività di Vulnerability Assesment in accordo agli standard IEC 62443 1 24 Novembre 2016 BUSINESS ASSURANCE DNV GL © 2016 L''approccio ai Big Data ' DNV GL - Business Assurance, con il supporto dell'istituto di ricerca internazionale GFK Eurisko, ha analizzato come aziende di settori diversi in Europa, Nord America, Sud America e
Asia si rapportino con i big data. ' L'indagine, realizzata nel febbraio 2016, ha preso in esame l'approccio ai big data da parte dei clienti di DNV GL '' Business Assurance, le iniziative intraprese e le opportunità colte. Il
sondaggio su un campione di 1.189 professionisti dei settori primario, secondario e terziario 2 DNV GL © 2016 'Sistemi di automazione gestiti da software
'Crescente utilizzo di reti complesse
'Gestione e controllo del software update
'Corretto funzionamento sistema di controllo industriale fondamentale per sicurezza e business continuity 'Non intenzionali: malware, accessi non sicuri internet, chiavi USB contaminate, bachi software 'Intenzionali: attacchi di hacker, phishing, social engineering, spionaggio industriale, furto interno di parti
software 'La maggior parte dei processi industriali sono interconnessi in un network 'Nuove soluzioni integrate e di rete proteggono il target da possibili minacce Security digitale in ambito industriale 3 Continua evoluzione delle minacce digitali Interconnessione dei processi industriali Processi di controllo industriale software dependent DNV GL © 2016 Cyber security '' un punto debole 4 Un numero sempre crescente di incidenti è causato da problemi software ' System Integrity - problema legato alla sicurezza ' Scarsa sensibilizzazione del personale ai temi di cyber security ' Architettura del sistema carente '' procedure e linee guida ' Risk a Asset management ' Gestione degli hazard e degli incidenti ' Monitoraggio della security '' security audit ' Conoscenza dell''architettura delle reti ' Patch management DNV GL © 2016 Standard Internazionali 5 ' ISO 27001/2: requisiti dei Sistemi di Gestione della Sicurezza delle Informazioni, aspetti relativi alla sicurezza logica, fisica ed organizzativa. ' ISA/IEC 62443 cyber security dei sistemi di controllo industriali IACS ' ENISA (European Network and Information Security Agency) redazione del ''ANALYSIS OF CYBER SECURITY ASPECTS IN THE MARITIME SECTOR' nel 2011 ' La Norwegian Oil and Gas Association ha pubblicato ''Recommended guidelines for information security baseline requirements' ' Standard DNV GL Integrated Software Dependent Systems (ISDS) Standard DNV GL © 2016 Legislazione 6 UE
nuove misure di
contrasto agli
incidenti
informatici e alla
criminalità
telematica Direttiva 2016/1148/UE ' Emanata il 6 luglio 2016
' misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell''Unione europea ' 1.Gli Stati membri provvedono affinché gli operatori di servizi essenziali ' adottino misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza delle reti e dei sistemi informativi che usano nelle loro operazioni. ' adottino misure adeguate per prevenire e minimizzare l'impatto di incidenti a carico della sicurezza della rete e dei sistemi informativi utilizzati per la fornitura di tali servizi essenziali, al fine di assicurare la
continuità di tali servizi. ' Settore Energia elettrica, petrolio gas ' Settore trasporti aerei, ferroviario, vie d''acqua,
strada ' Settore bancario
' Settore sanitario
' Distribuzione acqua potabile ' Infrastrutture digitali DNV GL © 2016 'Utilizzo di EWS COTS
'Architetture di comunicazione spesso identiche per applicazioni e clienti 'Utilizzo di password generica per gruppi di utenti
'Password in chiaro
'Non utilizzo di multi-factor-authentication
'Utilizzo di password di default o non sufficientemente robuste 'Cyber Security non considerata nel processo di sviluppo
'Cyber Security non considerata nei processi di approvvigionamento
'Assenza di procedure di change management configuration
'Nessun test di sicurezza, incl. software 3a parte
'Security through obscurity
'Non corretta implementazione di algoritmi crittografici
'Possibilità di attacchi Cyber Security - Key factor I 7 Applications Authentication Engineering Workstations DNV GL © 2016 'USB Tokens utilizzati senza procedure
'Assenza di controlli antivirus su USB Tokens 'Communication channels non protetti
'Communication Safety Layer non robusti
'Comunicazioni wireless non criptate
'Errata implementazione degli algoritmi di criptazione
'Errato key management procedures 'Utilizzo di EWS COTS
'Utilizzo di DMZ (demilitarized zone), sottoreti LAN caratterizzate dal fatto che gli host hanno possibilità limitate di connessione verso host specifici della rete interna 'Utilizzo di account di gruppo Cyber Security - Key factor II 8 Remote Access & Maintenance Protocols USB Token DNV GL © 2016 Cyber Security Lifecycle 9 Assessment phase Implement phase Maintain phase Il Cyber Security Lifecycle è caratterizzato da 3 fasi
principali che delineano il CyberSecurity Management Program. Per consentire di implementare e gestire una politica
di security dell''infrastruttura digitale è necessario valutare le reali condizioni tecnologiche all''inizio
del ciclo di vita
. Durante la fase di Assessment qualitativo e quantitativo viene allocato il Security Level dello IACS in studio IACS Industrial Automation Control System DNV GL © 2016 Security Level 10 Nessuna protezione richiesta Protezione contro violazioni casuali o non volute Protezione contro violazioni intenzionali utilizzando strumenti non
evoluti
e con bassa motivazione
Protezione contro violazioni intenzionali utilizzando strumenti
sofisticati
con moderata motivazione
Protezione contro violazioni intenzionali utilizzando strumenti molto
sofisticati
con alta motivazione SL 0 SL 1 SL 2 SL 3 SL 4 Definizione Livello di confidenza che lo IACS sia esente da vulnerabilità e funzioni nel modo
previsto Se si considera l''attacco informatico come causa principale di guasto, spesso il Security Level associato è superiore al SIL del processo DNV GL © 2016 'Verifica e test degli strumenti e dei processi attinenti alla protezione dei dati e del sistema 'Certificazione dello Information Security Management System (ISMS) in conformità allo standard IEC 27001 'Competenza e consapevolezza delle risorse: la maggior parte degli incidenti di Cyber Security derivano da errori umani 'Migliorie tecniche: nuove tecnologie che possono fornire una solida barriera contro attacchi esterni o interni 'Riorganizzazione aziendale: definizione e chiarificazione dei ruoli e delle responsabilità legati alla Cyber Security 'High level Assessment: panoramica dello stato della Cyber Security dello IACS 'Focused Assessment: valutazione della Cyber Security di un sistema specifico 'Comprehensive, In Depth Assessment: valutazione generale del rischio legato alla Cyber Security di un''intero processo industriale in conformità allo standard IEC 62443-3-3 Cyber Security Vulnerability Assessment 11 Assessment Improvement Verification & Validation DNV GL © 2016 1 - Assessment 12 Inizio del programma di Cyber Security Assessment High level Assessment Improvement Focused Assessment Comprehensive, In Depth Assessment DNV GL © 2016 1.1 - High level Assessment 13 I tre livelli di Assessment possono essere erogati come differenti fasi di un
unico ciclo o in formula stand-alone High level Assessment: primo step processo di incremento della Cyber
Security di un processo industriale
1. Identificazione dei sistemi chiave del processo
2. Valutazione dell''impatto - alto, medio, basso '' del successo di un attacco riguardo alla riservatezza, integrità, disponibilità, autenticità del sistema o
di un set di dati 3. Assegnazione della probabilità '' alta, media, bassa '' di successo di un attacco informatico ai processi chiave di sistema 4. Matrice dei rischi ricavata dai risultati degli step 2 e 3 DNV GL © 2016 1.2 '' Focus Assessment 14 Contestualizzazione del sistema Identificazione delle minacce e delle possibili conseguenze Identificazione delle contromisure di prevenzione degli incidenti Identificazione delle contromisure di riduzione delle conseguenze Controllo dell''efficacia e della robustezza delle barriere DNV GL © 2016 1.2 '' Focus Assessment Cyber Security Bow-Tie diagram 15 Hazard Elemento fondamentale al business
che può generare danni a persone o
cose Top Event Evento evitato finchè l''hazard è sotto
controllo Minacce Malaware, social engineering,
intrusioni via accesso remoto, errori
umani o sabotaggi, componenti connessi a internet, compromissione
reti esterne e componenti cloud' Conseguenze Risultato di evento malevolo o non
desiderato: spegnimento del sistema,
danni a infrastrutture, dirottamenti della produzione Contromisure ' Barriere preventive o proattive (lato sinistro) à autenticazione a
due fattori, password a scadenza ' Barriere reattive o mitigative (lato destro) à verifica delle funzioni di
sicurezza, termine forzato sessione
remota, disaster recovery DNV GL © 2016 1.3 '' Comprehensive, In Depth Assessment 16 Identificazione dei sistemi critici Determinazione Conseguenze Determinazione Probabilità Determinazione dei rischi di Cyber Security Confronto tra livello di guardia corrente e desiderato Checklist IT/OT Determinazione delle priorità del piano di sviluppo DNV GL © 2016 1.3 '' Comprehensive, In Depth Assessment 17 Identificazione
sistemi critici
' Insieme di attività da portare a termine ' Informazioni da trasmettere durante il processo ' Fruitori delle informazioni e dei sistemi coinvolti Determinazione
conseguenze
attacco
' Riservatezza
' Autenticità
' Disponibilità
' Autenticità Determinazione dell''importanza
attribuita a ciascuna proprietà
nel singolo processo Determinazione
probabilità
attacco
' Connessioni remote
' Accessibilità fisica
' Connessioni network con altri sistemi ' Richiesta di update da parte del software La facilità di accesso è data dalla combinazione dei fattori
elencati Determinazione
dei rischi di Cyber
Security
Combinazione tra probabilità e
conseguenze legate al successo
di un attacco determinate nei passaggi precedenti Confronto tra
livello di guardia
corrente e
desiderato Comparazione della situazione
osservata in rapporto ai requisiti
fondamentali definiti dallo standard IEC 62443-3-3 DNV GL © 2016 2 Improvement '' Onion Approach 18 Operational Network Host Fail-Safe Components ' Security Policies ' Zonizzazione fisica ' Segregazione fisica di reti ' Segregazione digitale di reti ' Restrizione accessi a componenti zone e conduits ' Scelta dei componenti COTS Layers Information Security Management System (ISMS) Deve soddisfare i requisiti dettati dallo standard ISO/IEC 27001 DNV GL © 2016 3 '' Verifica e Validazione 19 'Test dei componenti: verifica dei singoli componenti del sistema attraverso tecniche di HIL 'Test del sistema: verifica del sistema nel suo complesso Monitoring e test delle contromisure tecniche Attività di verifica svolte in accordo allo standard ISO/IEC 21001 atte
a certificare la conformità della documentazione relativa al ciclo della Cyber Security Verifica del Information Security Management System (ISMS) DNV GL © 2016 3.1 '' Test dei componenti (Hardware in the loop) 20 ' Valutazione della robustezza dei singoli canali di comunicazione attraverso sovraccarico di dati ' Controllo dei meccanismi di autenticazione e degli altri meccanismi di protezione sul singolo componente estrapolato dal complesso del sistema ' Test negativi di consistenza e robustezza in accordo agli standard di sicurezza DNV GL © 2016 3.2 Test del sistema 21 Generazione di traffico dati e fotografia
del sistema usata come riferimento per
misure future Test di penetrazione del sistema
effettuati con ogni mezzo possibile,
compreso il social engineering Identificazione futura di cambiamenti
inaspettati o malevoli Valutazione del numero di warning e di
allarmi generati e della loro corretta manipolazione DNV GL © 2016 Conclusioni ' Rischio aggiuntivo per la safety ----- SIL Functional Safety ' Nuova challenge per la regolamentazione e messa in sicurezza dei processi industriali ' Approccio sistematico risk-based e incoraggiamento alla pianificazione di assessment e audit anche di parti terze ' Standard internazionali IEC 62443 e IEC 27001 22 Cyber Security Vulnerability Assessment ' Assessment, Improvement, Verifica e Validazione come passaggi fondamentali per il raggiungimento dei requisiti dettati dalle norme cogenti DNV GL © 2016 Functional Safety vs. Cyber Security 23 IEC 61508 Part 1 7.4.2.3 The hazards, hazardous events and hazardous situations of the EUC and the EUC control
system shall be determined under all reasonably foreseeable circumstances (including fault conditions,
reasonably foreseeable misuse and malevolent or unauthorised action). This shall include all relevant
human factor issues, and shall give particular attention to abnormal or infrequent modes of operation of
the EUC. If the hazard analysis identifies that malevolent or unauthorised action, constituting a
security threat
, as being reasonably foreseeable, then a security threats analysis should be carried out.
'NOTE 1 For reasonably foreseeable misuse see 3.1.14 of IEC 61508-4.
'NOTE 2 For guidance on hazard identification including guidance on representation and analysis of
human factor
'issues, see reference [11] in the bibliography.
'NOTE 3 For guidance on security risks analysis, see IEC 62443 series.
'NOTE 4 Malevolent or unauthorised action covers security threats.
'NOTE 5 The hazard and risk analysis should also consider whether the activation of a safety function
due to a demand or spurious action will give rise to a new hazard. In such a situation it may be
necessary to develop a new safety function in order to deal with this hazard. DNV GL © 2016 Functional Safety vs. Cyber Security 24 DNV GL © 2016 Case Study 25 DNV GL © 2016 Case Study 26 DNV GL © 2016 SAFER, SMARTER, GREENER www.dnvgl.it 27 Mauro Gennaccaro
mauro.gennaccaro@dnvgl-bapartner.com
+39 329 8928723 @DNVGLBA_IT DNV GL '' Business Assurance Italia


In evidenza

2G Italia
Cogenerazione e trigenerazione dal leader tecnologico mondiale
ExxonMobil
Grassi Mobil™ - Formulati per fornire elevate prestazioni anche in condizioni operative estreme
SD Project
SPAC : Il Software per la progettazione Elettrica
© Eiom - All rights Reserved     P.IVA 00850640186