Il caso dei supermercati: quando un attacco informatico produce danni fisici
Gli attacchi informatici che hanno recentemente colpito gli impianti frigoriferi di numerosi supermercati europei costituiscono un esempio significativo dei rischi derivanti dalla centralizzazione dei sistemi di controllo industriale. Gli aggressori sono riusciti a modificare da remoto le impostazioni delle temperature e ad attivare i cicli di sbrinamento, determinando il riscaldamento dei banchi frigoriferi e il deterioramento delle merci.
In diversi casi, la superficie di attacco sembra essere stata costituita da controllori di impianto accessibili da remoto, con interfacce di gestione esposte alla rete e rintracciabili.
Ciò mette in evidenza una vulnerabilità strutturale: quando numerosi apparati fisici dipendono da una medesima entità logica di controllo, la compromissione di tale entità può provocare un danno simultaneo e diffuso.
La lezione più importante è che un sistema industriale può essere altamente connesso ed efficiente in condizioni normali, ma poco resiliente quando la sua capacità di funzionare dipende da pochi punti critici.
La debolezza intrinseca della centralizzazione
Nei sistemi centralizzati, un controllore, un gateway o una piattaforma di supervisione può gestire contemporaneamente decine o centinaia di dispositivi fisici.
Questo approccio offre indubbi vantaggi: configurazione unificata, gestione remota, diagnostica centralizzata, ottimizzazione energetica e riduzione dei costi di manutenzione. Tuttavia, produce anche una concentrazione del rischio.
E anche quando esistono più controllori fisici, la condivisione di credenziali amministrative, canali di aggiornamento o servizi di gestione può determinare un rischio sistemico.
Quindi il problema non è solamente avere un singolo server centrale, ma concentrare le decisioni, i privilegi e la possibilità di causare danni in un dominio di controllo troppo esteso.
Il paradigma Edge: intelligenza distribuita e autonomia locale
Un’architettura basata su Edge Nodes distribuisce la capacità di elaborazione, regolazione e decisione su più nodi, collocati vicino agli apparati fisici da controllare.
Nel caso della refrigerazione commerciale, ciascun Edge Node può gestire autonomamente un banco frigorifero, un gruppo di banchi o una specifica zona dell’impianto.
Il sistema centrale mantiene funzioni di supervisione, raccolta dati, diagnostica e ottimizzazione globale, ma non costituisce più una dipendenza indispensabile per il normale funzionamento di ciascuna unità.
In un’architettura Edge distribuita, allora, ciascun nodo dispone delle logiche e dei permessi necessari a controllare soltanto il proprio dominio.
Ma c’è di più: la rete non è più indispensabile per l’esecuzione delle funzioni di controllo primarie, ma serve soprattutto per coordinamento, osservabilità e servizi aggiuntivi.
E infatti, le raccomandazioni del NIST per la sicurezza dei sistemi OT (Operational Technology) sottolineano l’importanza di segmentazione, isolamento, disponibilità e funzionamento in condizioni di guasto elencando fra gli altri, questi principi operativi:
- Identità e credenziali separate per ciascun nodo o dominio operativo
- Privilegi limitati, con autorizzazioni circoscritte alle funzioni strettamente necessarie
- Validazione locale, affinché nessun comando remoto possa superare limiti operativi essenziali
- Modalità autonome di emergenza, che consentano agli impianti di continuare a operare o raggiungere una condizione sicura.