Come proteggere gli edifici intelligenti?

Per difendere superfici di attacco connesse sempre più ampie, è necessario un approccio di tipo proattivo, che integri in un’unica strategia gli aspetti IT, IoT e oT.

Dagli ascensori alle scale mo­bili, dagli impianti di ventila­zione, riscaldamento e condi­zionamento dell’aria ai siste­mi di sicurezza e antincendio, fino ad arrivare alle macchine per ufficio e alle apparecchiature per sale con­ferenza: negli ultimi anni, sempre più i gestori di smart building si sono affidati a connessioni Internet e reti informatiche per gestire pratica­mente qualsiasi parte di uno stabile. Se è vero che gli edifici sono sempre più intelligenti, d’altra parte proprio per questo si trovano esposti a una serie di nuovi rischi di cybersecurity.

«Gli edifici intelligenti di oggi dispongono di numerosi sistemi e interconnessioni che com­portano, inevitabilmente, l’ampliamento della superficie di attacco - osserva Emanuele Temi, Technical Sales Engineer per Nozomi Networ­ks - Gli attori delle minacce, infatti, hanno il vantaggio di poter accedere alle informazioni sensibili memorizzate in un sistema semplice­mente violandone un altro».

Proprio per questo motivo, i rischi e le vulnerabi­lità degli edifici intelligenti possono essere diver­si e complessi da fronteggiare. «Con la crescita dell’adozione di soluzioni IT e IoT, a tutti i livelli dell’architettura dei sistemi edilizi si pone un serio problema di sicurezza informatica. Inoltre, è sempre più difficile effettuare una distinzione netta tra i sistemi dedicati all’automazione degli edifici e tutti gli altri sistemi implementati all’interno delle infrastrutture aziendali. Pertanto, la probabilità di avere molte lacune di protezione informatica e molte vulnerabilità non monitora­te è più elevata».

Come se non bastasse, il mondo degli smart building deve ancora pienamente misurarsi con una lacuna intrinseca. «L’uso di protocolli industriali non sicuri è un’altra vul­nerabilità che gli aggressori sfruttano per inter­rompere le operazioni degli edifici intelligenti o alterare il loro funzionamento e ciò vale soprat­tutto per i sistemi di automazione. I protocolli più diffusi, come BACnet e LonWorks, non sono implicitamente sicuri come le loro controparti industriali perché quando sono stati sviluppati, la sicurezza non era tra le esigenze più sentite».

Sorvegliare tutti i potenziali punti di ingresso

Ciononostante, sicuramente è possibile alzare delle formidabili barriere per proteggere effica­cemente gli smart building in ottica di sicurez­za anticrimine. «La crescita esponenziale dei costi energetici delle aziende nel 2022, esacer­bati dall’attuale crisi energetica, ha spinto le organizzazioni a prestare maggior attenzione ai consumi legati ai sistemi di riscaldamento, ventilazione e condizionamento (HVAC) - pro­segue Temi - Per ottenere risparmi significativi, è importante capire come i singoli componenti dell’edificio contribuiscono alla spesa e identifi­care le aree che necessitano di miglioramenti. Al fine di monitorare i consumi, si è perciò assistito a un aumento dei sistemi connessi all’interno degli edifici, con la necessità di gestire anche la strategia di cybersecurity, secondo modi che possiamo mutuare dal mondo industriale».

Proprio per questo motivo, la strategia di difesa si basa su un principio irrinunciabile. «Qui la chiave è la visibilità completa e continua, legata non solo alla sorveglianza fisica, ma a tutti i po­tenziali punti di ingresso che un aggressore può sfruttare per stabilire una testa di ponte all’in­terno di un edificio o dei suoi sistemi. Gli ag­gressori sfruttano regolarmente i sistemi HVAC e altri impianti aziendali scarsamente difesi e li usano come punti di ingresso per accedere a data center, reti IT aziendali e sistemi di controllo industriale».

A tal proposito, sempre in ottica di sicurezza anticrimine, esiste oggi un legame o persino una sinergia tra cybersecurity, sicurezza fisi­ca e videosorveglianza nel caso di un edificio intelligente. «Proprio perché la visibilità gioca un ruolo essenziale nel mantenere l’igiene della cybersecurity negli edifici intelligenti, IT, IoT e OT devono essere considerati co­me un’unica entità. L’adozione di soluzioni di sicurezza che integri­no questi tre domini è essenziale per ottenere una visione com­pleta degli ambienti all’interno dei sistemi di automazione degli edifici. Solo sapendo cosa succede all’interno di questi ambienti è possibile intraprendere azioni correttive per ridurre eventuali impatti legati a violazioni dei sistemi».

Sotto questo profilo, è possibile immaginare an­che situazioni concrete che permettono di intendere il valore di una strategia di difesa basata sull’integrazione di IT, IoT e OT. «Proviamo a pensare a cosa potrebbe accadere se qualcuno alterasse il sistema di videosorveglianza proprio prima di un accesso non autorizzato all’interno di un edificio: le telecamere potrebbero essere messe in loop in modo da mascherare il malvivente in azione.

Improvvisamente, quello che abbiamo sempre visto nei film d’azione potrebbe diventare realtà. Anche in questo caso, mutuando quanto successo nel mondo OT, il malware Stuxnet si è comportato proprio in questo modo: alterava i dati forniti al sistema di supervisione per far sembrare che tutto procedesse senza problemi quando invece, parallelamente, modificava il processo produttivo fermandolo».

Verso una gestione proattiva

Lo scenario appena delineato implica un’attenzione particolare al tema delle competenze e dell’organizzazione interna nello sviluppo di adeguate strategie di difesa degli smart building, per esempio attraverso team dedicati e control room. «È indubbiamente necessario allargare i propri orizzonti introducendo attitudini e competenze che tradizionalmente erano fuori da questo ambito - sottolinea Temi - Uno smart building connesso si può considerare come un ibrido tra un sistema IT e uno OT.

Per questo motivo, i team che hanno in gestione tali sistemi devono avere competenze in grado di spaziare su domini diversi. Sul fronte della tecnologia, si aprono scenari in cui alcuni attori potrebbero erogare servizi di monitoraggio di questi sistemi, proprio come accade già oggi in ambito industriale. È fondamentale che tutti i sistemi siano gestiti e mantenuti in modo da migliorare (o almeno non peggiorare) la propria postura di sicurezza.

La tecnologia legata al mondo degli smart building consente di fare cose impensabili qualche anno fa ed è di per sé neutra. Sta agli utilizzatori impiegarla nel modo migliore, così da poter godere dei benefici introdotti senza però lasciare aperta la porta a malintenzionati».

Oltretutto, per la difesa anticrimine degli edifici intelligenti, all’orizzonte stanno già prendendo forma applicazioni e scenari di cybersicurezza fortemente innovativi e solo in apparenza futuristici. «La gestione di questi sistemi è particolarmente importante, come ci conferma la cronaca reale, con esempi sempre più numerosi. Come quello di un hotel in Austria che, a seguito di un attacco ransomware, ha visto impedito l’accesso alle stanze ai propri clienti. O ancora peggio, il caso di un ospedale in Francia bloccato l’anno scorso, che ha dovuto tornare a una gestione manuale completa di tutte le informazioni legate ai pazienti come prescrizioni, dimissioni e così via. La necessità di un monitoraggio e di una gestione proattiva, anche di questi ambienti, è quantomai concreta, oltre che urgente» avvisa Temi. 

Best practices e insight su misura

Secondo il report Community Smart Building di The European House - Ambrosetti, la filiera dell’edificio intelligente ha un peso economico e sociale per il Paese largamente più alto di quanto non venga percepito e - con 130 miliardi di euro di fatturato generato e oltre 620.000 occupati - costituisce un asset fondamentale per la competitività dell’Italia.

Ecco perché il tema della cybersecurity in quest’ambito è fondamentale, spiega Pierluigi Torriani, Security Engineering Manager di Check Point Software.

Quali sono i rischi e le vulnerabilità degli edifici intelligenti? 

«Di default, gli asset e i dispositivi IoT che compongono uno smart building non sono gestiti, presentano una scarsa sicurezza e non vengono supervisionati. Quest’impostazione lascia l’edificio esposto a molti pericoli, principalmente per due motivi: il primo riguarda i dispositivi IoT, che possono essere facilmente violati sia dall’interno del perimetro di rete sia dall’esterno; in secondo luogo, i dispositivi sono intrinsecamente vulnerabili a causa di password deboli, mancanza di sicurezza integrata, architettura non aggiornabile, firmware o software obsoleto o legacy e operazioni non gestite.

Inoltre, le nostre osservazioni più recenti evidenziano la crescita degli attacchi verso i dispositivi IoT, mettendo ancora più a rischio gli smart building. Nei primi due mesi del 2023, a livello mondiale quasi ogni settimana in media il 54% delle organizzazioni è stata targettizzata da questi tentativi di attacco, con quasi 60 attacchi settimanali rivolti ai dispositivi IoT - il 41% in più rispetto al 2022 e più del triplo del numero di attacchi del 2021. I dispositivi IoT presi di mira sono router, videocamere IP, DVR (videoregistratori digitali) fino a NVR (videoregistratori di rete), stampanti e altro ancora».

Come intervenire per proteggere in ottica di sicurezza anticrimine gli smart building? 

«Dalle videocamere IP agli ascensori intelligenti, fino ai dispositivi medici e ai controllori industriali, molti dispositivi IoT sono estremamente vulnerabili e facili da hackerare. Mettere in sicurezza i differenti smart building con reti di dispositivi in continua crescita è estremamente impegnativo, a causa della loro diversità: questo significa che le aziende stesse sono estremamente vulnerabili agli attacchi e necessitano di soluzioni di protezione a livello di rete e di dispositivo, mantenendo nel contempo la semplicità di gestione e configurazione.

Per identificare e analizzare tutti i dispositivi IoT di uno smart building e impedire l’accesso non autorizzato da e verso i device, è bene proteggere le risorse e gli asset con insight forniti ad hoc per ogni edificio. Una soluzione come Check Point IoT Protect for Enterprise offre un’elevata sicurezza per i dispositivi pensati per gli smart building, grazie alla possibilità di tenere sotto controllo l’intero panorama IoT aziendale e di effettuare un’analisi dei rischi attraverso detection, segmentazione Zero Trust e threat prevention su più livelli».

Quali competenze comportano le strategie di difesa degli smart building? 

«Dev’essere prevista una missione educativa per i team che gestiscono e controllano gli edifici, in modo che siano più informati e consapevoli in materia di cybersecurity. Applicando semplici best practice e una buona soluzione di sicurezza, prevenire gli attacchi o agire tempestivamente sarà molto più semplice. Tuttavia, la miglior strategia di difesa richiede insight su misura: soprattutto bisogna garantire la visibilità completa dei dispositivi IoT e l’analisi dei rischi.

Tra gli obiettivi a cui puntare si possono segnalare:

• identificare e classificare ogni dispositivo IoT su qualsiasi rete attraverso l’integrazione con i principali motori di discovery, così da rivelare rischi come password deboli, firmware obsoleti e altre vulnerabilità note;
• ridurre le vulnerabilità e prevenire le minacce zero-day anche su dispositivi unpatchable, in modo da applicare virtualmente patch ai dispositivi e correggere i difetti di sicurezza anche dei dispositivi con firmware non patchato o sistemi operativi legacy;
• segmentare e gestire intuitivamente la rete secondo un modello Zero Trust, all’interno del quale la soluzione applica e fa rispettare regole di sicurezza dettagliate in tutto il tessuto di rete IoT e basate su attributi, rischi e protocolli dei dispositivi, supportando la gestione olistica delle politiche di sicurezza attraverso un unico pannello di controllo sia per le reti IT sia per le reti IoT».

Quale scenario di cybersicurezza, apparentemente futuristico, è in realtà alle porte per la difesa anticrimine degli edifici intelligenti?

«Con il numero elevato di prodotti a disposizione e l’aumento del livello di sofisticatezza dei cyberattacchi, è di vitale importanza, nel prossimo futuro, la consolidation per proteggere anche gli smart building. Questo vuol dire ridurre la complessità di gestione della sicurezza informatica per ridurre i rischi: gli smart building dispongono di reti e distribuzioni cloud che possono essere estremamente complesse,  quindi i team IT devono consolidare le infrastrutture per migliorare le difese e ridurre il workload, in modo da essere sempre pronti in caso di attacco informatico».