Aree di competenza / Sicurezza e governo / 4.1
Cybersecurity IT/OT
Sicurezza dentro l’architettura, non sopra.
La sicurezza si può aggiungere o si può progettare, e la differenza si vede solo sotto pressione. Aggiunta, è un insieme di prodotti attorno a un sistema pensato senza tenerne conto: funziona finché l’attacco assomiglia a quello previsto. Progettata, è una proprietà del sistema stesso, e continua a funzionare anche quando l’attacco è nuovo.
Per questo lavoriamo dentro l’architettura. Segmentiamo le reti quando le disegniamo, definiamo le identità quando progettiamo le applicazioni, proteggiamo dati e chiavi con la crittografia, proviamo il ripristino prima che serva. Negli impianti industriali e nelle reti di servizio, dove un sistema non si può aggiornare ogni volta che esce una vulnerabilità, è l’unica sicurezza che regge davvero. E costruiamo le misure in modo che rispondano alle norme che vi riguardano, a partire da NIS2.
Un gestore di infrastrutture critiche può partire dalla sicurezza della rete di impianto; un’organizzazione soggetta a NIS2 dalla verifica delle misure di base. Sicurezza dentro l’architettura, non sopra.
Cinque gruppi di competenza
Ogni gruppo ha un dettaglio tecnico per chi lo vuole.
- 4.1.a
Architettura di rete sicura
La sicurezza decisa quando si disegna la rete.
Segmentiamo le reti e controlliamo il traffico tra le zone, così che un attacco non si propaghi. È la misura che regge anche dove i sistemi non si possono aggiornare.
Dettaglio tecnico
Il gruppo comprende l’architettura di rete sicura. In produzione: micro-segmentazione, firewall di nuova generazione, sistemi IDS e IPS. In progetto: architetture Zero Trust, in cui nessun accesso è considerato affidabile per posizione, e WAF per la protezione delle applicazioni web.
- 4.1.b
Identità, accessi e crittografia
Chi può fare che cosa, e come si proteggono i dati.
Gestiamo certificati, chiavi e crittografia, e sappiamo portare il governo delle identità e degli accessi privilegiati. Chi entra, con quali diritti, lo si decide e lo si verifica.
Dettaglio tecnico
Il gruppo comprende identità, accessi e crittografia. In produzione: PKI e gestione dei certificati, crittografia e gestione delle chiavi. In progetto: IAM e IGA, gestione degli accessi privilegiati (PAM), MFA e autenticazione resistente al phishing con FIDO2. La crittografia post-quantistica è seguita in vista della migrazione, ed è richiamata nell’osservatorio del dominio 5.1.
- 4.1.c
Rilevazione e risposta
Vedere l’attacco e sapere che cosa fare.
Sappiamo portare in progetto la rilevazione degli attacchi su postazioni, rete e impianti, e i piani per rispondere. Il piano si prova prima che serva.
Dettaglio tecnico
Il gruppo comprende rilevazione e risposta, portate in progetto: EDR e XDR, SIEM, NDR, monitoraggio passivo delle reti OT, threat intelligence, incident response plan e tabletop exercise. Il SOAR è seguito come sviluppo. Nessun blocco è presidiato: il gruppo si presenta come capacità, in coordinamento con il SOC del dominio 5.2.
- 4.1.d
Vulnerabilità e resilienza agli attacchi
Ridurre la superficie d’attacco, e verificarla.
Gestiamo in modo continuo le vulnerabilità, anche negli impianti dove non si può aggiornare tutto. E proteggiamo i dati con copie che nessun attacco può modificare.
Dettaglio tecnico
Il gruppo comprende la gestione delle vulnerabilità e la resilienza agli attacchi. In produzione: vulnerability e patch management, negoziato con l’esercizio negli ambienti OT. In progetto: penetration testing e red teaming, DLP. Richiama il backup immutabile del dominio 2.1 e la gestione del rischio dei fornitori del dominio 4.2.
- 4.1.e
Norme e quadri di sicurezza
Le norme su cui si progettano le misure.
Progettiamo le misure di sicurezza a partire dalle norme che vi riguardano, da ISO/IEC 27001 a NIS2 e GDPR. La norma diventa requisito tecnico, non documento da archiviare.
Dettaglio tecnico
Il gruppo comprende i riferimenti normativi e tecnici della sicurezza. In produzione: ISO/IEC 27001, misure di base e notifica NIS2, GDPR e protezione dei dati by design. In progetto: IEC 62443 per la sicurezza industriale, NIST Cybersecurity Framework, ISO/IEC 27017 e 27018 per il cloud. Direttiva CER e Cyber Resilience Act sono seguiti in vista della loro applicazione.
Per il lettore tecnico
La sicurezza può essere aggiunta attorno a un sistema o progettata dentro di esso, e la differenza emerge sotto pressione. Aggiunta, funziona finché l’attacco somiglia a quello previsto dal prodotto. Progettata, è una proprietà della struttura: segmentazione decisa quando si disegna la rete, identità definita quando si progetta l’applicazione, ripristino provato quando l’architettura è ancora su carta. Negli ambienti OT, dove un sistema certificato non si aggiorna nel fine settimana, è l’unica che regge.
Il dominio lavora su cinque gruppi. L’architettura di rete sicura comprende in produzione micro-segmentazione, firewall di nuova generazione e IDS/IPS, e in progetto architetture Zero Trust e WAF. Identità, accessi e crittografia comprendono in produzione PKI e gestione dei certificati, crittografia e gestione delle chiavi, e in progetto IAM e IGA, gestione degli accessi privilegiati e autenticazione FIDO2; la crittografia post-quantistica è seguita in vista della migrazione. La rilevazione e la risposta sono portate in progetto: EDR e XDR, SIEM, NDR, monitoraggio passivo delle reti OT, threat intelligence, piani di risposta agli incidenti ed esercitazioni. La gestione delle vulnerabilità comprende in produzione vulnerability e patch management, negoziato con l’esercizio negli ambienti OT, e in progetto penetration testing e DLP; richiama il backup immutabile del dominio 2.1 e la gestione del rischio dei fornitori del dominio 4.2. Le norme e i quadri comprendono ISO/IEC 27001, misure di base e notifica NIS2 e GDPR con protezione dei dati by design, con IEC 62443, NIST CSF e ISO/IEC 27017 e 27018 in progetto.
Il principio progettuale è che la sicurezza deve dipendere da come il sistema è fatto, non dalla velocità di correzione.
Il dominio realizza le misure; la loro dimostrabilità verso auditor e autorità è oggetto del dominio 4.2. La rilevazione continuativa si esercita nel centro operativo del dominio 5.2, la formazione e la consapevolezza del personale nel dominio 5.3.
Parliamo del vostro sistema
Raccontateci il requisito di servizio: che cosa deve funzionare, entro quanto, e che cosa succede quando qualcosa si rompe. La tecnologia la scegliamo dopo.