Physical Security: la trasformazione digitale. Sistemi PSIM 4.0
Physical security: la trasformazione digitale. L'articolo odierno, a cura di Paolo Sciarappa, Responsabile della Physical Security in Vodafone, approfondisce il tema relativo ai Sistemi PSIM.
I SISTEMI PSIM 4.0
I sistemi PSIM (Physical Security Information Management) sono delle piattaforme software realizzate allo scopo di unificare la gestione delle informazioni, supportando gli operatori della sicurezza sulle decisioni da intraprendere a fronte di un evento critico e per fornire elementi aggregati per i Security Managers in modo che possano valutare lo stato di efficienza ed efficacia dei sistemi di sicurezza.
Vengono utilizzati per raccogliere, analizzare e correlare i dati provenienti dai vari sottosistemi e dispositivi di sicurezza. Si tratta di soluzioni relativamente recenti, ma solo da alcuni anni hanno trovato larga diffusione, sebbene in forme diverse e con soluzioni tecnologiche non uniformi. La loro evoluzione è alla base della trasformazione digitale che ha interessato il settore ed è per questo che occorre comprenderne correttamente lo scopo e la loro declinazione pratica. Sono il punto di partenza della rivoluzionaria gestione delle informazioni ricavabili dalla grande quantità di dati provenienti dai vari sistemi coinvolti, successivamente estesa dall’analisi delle fonti aperte.
L’applicazione della business intelligence e dei principi di information management ha segnato un cambiamento nella visione di un mondo fino ad allora isolato.
Si tratta quindi di una rivoluzione a doppio binario, informativo e tecnologico. L’evoluzione di questi sistemi verso l’ICT ha contribuito a standardizzare le informazioni rendendole più fruibili alle altre unità di business e consentendo contemporaneamente di attingere dalle altre unità. Questa interazione facilita l’attività di assessment per la verifica della compliance alle linee guida imposte dalle organizzazioni internazionali per la standardizzazione dei processi.
Lo scopo della Physical Security è in primis la protezione delle persone, poi la protezione dei dati, dei sistemi, delle apparecchiature, delle facilities e degli altri assets tangibili e intangibili dell’azienda. Per questo è essenziale ricercare la piena integrazione con tutti i sistemi aziendali che possano contribuire al raggiungimento di questi obiettivi. La logica della sicurezza a silos è un retaggio del passato e non è più idonea a difendere le aziende dalle nuove minacce, quali il cyber attack e il terrorismo.
L’integrazione con le altre unità di business si concretizza, ad esempio, con la condivisione dei dati provenienti dei sistemi HR, Information Technology e Safety. Con la condivisione di uno stesso repository per l’identity management, con l’allineamento degli accessi fisici e logici e con l’implementazione di un processo di account management condiviso.
Il badge aziendale è un esempio di possibile convergenza tecnologica. Può essere uno strumento multifunzionale utilizzato per la rilevazione presenza, per il secure printing, come strumento di pagamento, come contenitore di informazioni biometriche e per accedere alle risorse informatiche.
Lo standard ISO/IEC 27001 (Tecnologia delle informazioni – Tecniche di sicurezza – Sistemi di gestione della sicurezza delle informazioni – Requisiti) richiede la verifica di una serie di controlli, il cui riscontro risulta semplificato in presenza di un sistema aperto e integrato con le altre unità di business in cui processi sono condivisi, tracciati e validati in modo appropriato e coerente. Questi controlli, finalizzati al raggiungimento di precisi obiettivi, interessano sia il sistema inteso come requisito per il raggiungimento di obbiettivi volti alla tutela delle informazioni di tutto il business, sia il sistema inteso come fonte di dati da tutelare in termini di riservatezza, integrità, disponibilità e conformità. I sistemi PSIM contribuiscono anche a garantire la conformità rispetto alla responsabilità amministrativa delle Società D. Lgs 231/2001 (Physical Cyber Attack) e la normativa statunitense (Sarbanes Oxley Act) per le società quotate in borsa. Questa conformità si realizza con il riscontro positivo ai controlli imposti dalle norme e che possono avere primo e naturale riscontro proprio nei sistemi PSIM, pensati anche a questo scopo.
Il regolamento generale sulla protezione dei dati (General Data Protection Regulation, regolamento (UE) n. 2016/679) all’art 32 – Security of Processing – prescrive che il responsabile e l'incaricato del trattamento debbano attuare misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio richiedendo di ripristinare la disponibilità e l'accesso ai dati personali in modo tempestivo in caso di incidente fisico o tecnico.
L'articolo 32 va oltre spiegando che, nel valutare il livello appropriato di sicurezza, occorre tener conto dei rischi connessi a cause accidentali o illegali di distruzione, perdita, alterazione, divulgazione non autorizzata di informazioni o accesso ai dati personali trasmessi, archiviati o altrimenti trasformati.
Questo regolamento sottolinea l’importanza di impedire l'accesso non autorizzato ai dati. È evidente dunque il ruolo chiave che assume la Physical Security e di come possa essere supportata dai moderni PSIM nella protezione dei dati contro azioni dolose che mirano a sfruttare le vulnerabilità dell’azienda.
Esempio di rappresentazione aggregata di eventi di sistema
I sistemi PSIM soddisfano, come vedremo successivamente, i requisiti dei sistemi di gestione nella parte dedicata al miglioramento dei processi e dei prodotti, in quanto ne misurano l’efficienza e l’efficacia.
Infatti una delle finalità degli PSIM evoluti è quella di fornire una rappresentazione aggregata e continua dello stato di efficienza ed efficacia dei sistemi, anche in riferimento a KPIs predeterminati. Questo consente non solo di individuare con immediatezza le aree a maggior rischio e valutare l’efficacia dei contratti di manutenzione, ma anche indirizzare in modo efficace il budget sulle aree maggiormente esposte, riducendo i costi con l’introduzione di nuove tecnologie o nuovi modelli di protezione, più efficienti rispetto a quelle che sono risultate maggiormente fallaci. È un processo che garantisce un’analisi del rischio più accurata contribuendo a rendere più incisive le azioni correttive o valutando la copertura del rischio residuo con misure alternative.
La valutazione di un progetto di Physical Security (tecnologie, risorse umane e procedure) deve basarsi anche sulle performance; questo indicatore ci consente di capire quanto correttamente stia operando nel garantire il raggiungimento degli obbiettivi da parte di una organizzazione.
La componente tecnologica non ha uno standard preciso di riferimento. Nell’idea originaria i sistemi PSIM avrebbero dovuto prendere il posto dei singoli sotto sistemi di supervisione con il doppio vantaggio di poter essere supervisionati con un unico monitor e di fornire informazioni di sintesi attraverso la correlazione di più eventi. Un presupposto indispensabile per l’unificazione dei sistemi è la disponibilità dei produttori dei vari dispositivi a fornire i protocolli necessari per la loro l’integrazione: si tratta di un punto cruciale che ha impedito, fino ad oggi, la diffusione di questi sistemi.
L’utilizzo di queste piattaforme è molto oneroso perché non consente di eliminare i singoli sottosistemi, ma si aggiunge a quelli esistenti. Si tratta di soluzioni enterprise destinate a realtà critiche e complesse, per questo motivo le soluzioni monomarca hanno riscontrato un maggior favore nelle aziende, un compromesso accettabile per garantire l’integrazione tra i loro sottosistemi proprietari e essere relativamente aperti alla condivisione delle informazioni. Di contro presentano alcuni inconvenienti tecnici e commerciali, non offrono soluzioni di sicurezza disegnate su misura in relazione alle varie necessità aziendali, le piattaforme software sono legate all’hardware proprietario e non offrono soluzioni innovative molto spinte. Il vincolo all’hardware proprietario è molto forte e spesso non consente l’utilizzo dei dispositivi più moderni ed efficienti. Sicuramente la criticità più forte la si avverte sul fronte commerciale, il legame economico basato sull’investimento necessario ad un cambio di prodotto o di fornitore è molto alto. Ne consegue un rapporto di forza molto delicato e sbilanciato verso il fornitore, soprattutto per quei sistemi che integrano funzioni di building management.
Infine sono più orientati alla raccolta dei dati che alla loro analisi, anche se in questo senso recenti sviluppi sembrano molto interessanti e promettenti.
Molte soluzioni PSIM attualmente presenti sul mercato non rispondono ai criteri classici a cui vengono ricondotti questi sistemi: libertà nella scelta dei prodotti sottostanti e controllo dei dispositivi di campo. Si concentrano invece sulla raccolta, organizzazione e analisi dei dati resi disponibili dai vari sistemi, comprese le fonti aperte presenti su internet. Si tratta di soluzioni verticali molti interessanti soprattutto nei casi dove non è possibile integrare i sistemi esistenti a livello di dispositivi di campo; tuttavia il ritorno dell’investimento non è a breve termine ed è misurabile principalmente in termini di maggior resilienza e compliance.
Diverso è invece il caso dei sistemi PSIM più evoluti. Questi possono essere utilizzati come unica soluzione verticale, infatti i sensori di campo vengono gestiti direttamente centralizzando i dati provenienti dal campo.
Esempio di raccolta dati relativa ai lettori di badge
Si sostituiscono agli integratori monomarca integrando sottosistemi di terze parti con evidenti benefici in termini economici e di prestazioni. Consentono l’utilizzo di un ampio ventaglio di prodotti a costi inferiori e tecnologicamente più avanzati.
Un altro plus di questi sistemi è dato da una maggiore penetrazione nella correlazione dei dati, indispensabile per la gestione degli eventi critici in real time.
La correlazione dei dati offre indubbi benefici. In realtà molto complesse il numero delle informazioni da gestire è enorme ed è per questo motivo che gli eventi vengono classificati in relazione alla loro importanza e gestiti di conseguenza. Tuttavia vi sono molti eventi che se valutati singolarmente non sono da considerarsi critici, ma se analizzati in un contesto più ampio e correlati adeguatamente assumono una gravità diversa e forniscono informazioni importanti che altrimenti sfuggirebbero all’attenzione dell’operatore. Vi sono poi altri casi in cui la correlazione consente una risposta più rapida, con la conseguente riduzione degli impatti sul business.
La correlazione dovrebbe essere multilivello, bidirezionale e multifunzionale. Le informazioni sono presentate all’operatore correlando più dati in ingresso e vengono elaborate automaticamente generando eventi in uscita verso più sistemi appartenenti ad aree funzionali diverse.
Per questo occorre valutare adeguatamente e con competenze trasversali la scelta di questi PSIM evoluti, che definirei 4.0 in un parallelismo con le recenti innovazioni industriali.
Gli esempi pratici di correlazione sono innumerevoli: l’accesso logico ad un sistema in produzione definito critico potrebbe essere concesso solo in presenza di un transito sui tornelli verificato dal sistema di controllo degli accessi. Per contro i sistemi di sicurezza logica dovrebbero inibire l’accesso da remoto utilizzando un PC sottratto all’azienda. Questo è possibile solo con un scambio informativo tra sistemi diversi e che sono normalmente gestiti da figure non appartenenti alla stessa unità funzionale. Lo scambio informativo dovrebbe riguardare anche gli operatori di call center IT che non dovrebbero fornire assistenza su questi PC, mi riferisco ad esempio alla richiesta di una recovery key per un Pc dotato di BitLocker Drive Encryption (funzione che consente di criptare i dati di un Pc). L’identificazione del richiedente è spesso sommaria e poco formale.
Anche la Safety beneficia di queste correlazioni. L'abilitazione di un badge per l’accesso un sito tecnico potrebbe essere subordinata dall'esecuzione di corsi di prevenzione e protezione o dalla rispondenza della documentazione sulla sicurezza. Pensiamo all’effrazione di un varco interno, la segnalazione potrebbe arrivare all’operatore con la ripresa della zona interessata e con l’indicazione del nome del trasgressore. Il riconoscimento è possibile correlando i dati ricavati dal sistema di controllo accessi all’ingresso dello stabile con il riconoscimento biometrico effettuato dal sistema video nel momento dell’effrazione.
Un allarme che segnala l’apertura di un’uscita di sicurezza, evento spesso ricorsivo in alcuni ambienti, correlato con le informazioni sulla direzionalità del movimento analizzato precedentemente dalle telecamere interessate, fornisce all’operatore un’indicazione immediata circa la gravità dell’evento.
Anche sensori normalmente usati solo ad impianto inserito possono fornire informazioni utili, se correlati. Un sensore volumetrico che si attiva in locale ad accesso riservato, senza che sia stato rilevato un precedente transito autorizzato dal sistema di controllo accessi, in un’unità di tempo ragionevole, viene riportato all’operatore come evento intrusione grave. Gli stessi sensori possono fornire un’indicazione sullo stato di occupazione dello stabile in caso di evacuazione.
In altri casi la correlazione è utilizzata per aumentare il livello di affidabilità di sensori soggetti a falsi allarmi, ad esempio generando un allarme solo a seguito della segnalazione di più sensori attinenti a diversi sottosistemi: la segnalazione di un’intrusione rilevata da barriere IR perimetrali posta in AND con quella proveniente dalla video analisi della telecamera.
Le prospettive di crescita dei sistemi PSIM sono molto promettenti. Secondo Frost & Sullivan, società multinazionale di consulenza e analisi economiche, il mercato mondiale di PSIM crescerà di 20 volte tra il 2011 e il 2021. Trasparency Market Research prevede una crescita ad un tasso annuo composto (CAGR) del 18.7% tra il 2016 e il 2024. Infine anche il recente rapporto della società di ricerca Wiseguy conferma il trend di crescita, anche se con prospettive più contenute, il tasso annuo composto di crescita è previsto attestarsi fra il 14 e il 15% nel periodo 2016-2020.
Lo sviluppo di questi sistemi è determinato dalla sostenibilità economico finanziaria delle aziende e dalla loro sensibilità verso i nuovi rischi legati all’era della trasformazione digitale. Nonostante le crescenti minacce informatiche e di sicurezza fisica ad opera dei terroristi e delle organizzazioni illegali, molte aziende impongono continui target di saving, probabilmente a fronte di una probabilità percepita contenuta, rispetto al verificarsi dell’evento. Tuttavia gli impatti potrebbero essere molto pesanti, soprattutto in termini interruzione delle attività di business e di brand reputation.
Le nuove minacce richiedono nuovi strumenti in grado di affrontare i rischi in una concezione olistica della sicurezza. Si tratta di un investimento sulla gestione del rischio che dovrebbe essere attentamente analizzato. Senza dimenticare che le centrali operative supervisionano anche allarmi che non sono una diretta conseguenza di azioni dolose; il ritardo nella gestione di un allarme incendio/allagamento, oppure il trascurare un bollettino emesso dalla protezione civile, potrebbero avere pesanti conseguenze anche sull’incolumità delle persone. Gestire con efficienza ed efficacia le informazioni significa anticipare e dunque prevenire il verificarsi di incidenti.
Questo non vuol dire che non si possano valutarne concretamente gli effetti positivi. Utilizzando due indicatori quali il costo di proprietà (TCO), che misura il costo iniziale di acquisto del software e quello relativo al suo mantenimento, e il ritorno dell’investimento (ROI) che misura i guadagni di un investimento rispetto al suo costo, emerge un dato interessante.
I sistemi PSIM non sono per tutti e non sempre sono stati convenienti.
Vi sono stati casi in cui si millantavano delle funzioni che si sono poi rivelate inutilizzabili o inesistenti e per questo sono stati spesso valutati negativamente dagli utenti finali oltre che per le eccessive funzionalità e complessità nell’utilizzo. Infine in alcuni casi l’integrazione e la centralizzazione dei sistemi legacy è stata raggiunta a costi molto alti.
Oggi le soluzioni PSIM avanzate sono in grado di integrare e centralizzare un più ampio numero di soluzioni e prodotti e sono più facili da gestire, consentendo un’implementazione e un utilizzo più rapido e efficiente. La possibilità di usare i prodotti più convenienti e innovativi senza legarsi ad un unico marchio o fornitore porta a rendimenti tangibili sul ROI. A questo si aggiungono le riduzioni di costi dovuti alle maggiori efficienze (riduzione vigilanza, business intelligence, maggior resilienza, ecc.).
Il costo di proprietà può essere sensibilmente ridotto se il sistema non è chiuso o proprietario. I costi iniziali sono inferiori rispetto ai sistemi integrati monomarca, anche in virtu’ della maggior concorrenza. Quelli relativi al suo mantenimento sono anch’essi ridotti sia perché il valore dei prodotti installati è inferiore e quindi incide positivamente sul contratto di manutenzione, sia perché’ normalmente la manutenzione evolutiva comprende gli upgrade di release del software.
Tuttavia la maggior parte delle grandi aziende utilizza già uno o più sistemi di supervisione, dunque l’acquisto di un PSIM 4.0 giustificherebbe l’investimento?
In questo caso l’investimento si giustifica da una parte per una riduzione del costo di esercizio e dall’altra per una maggiore efficienza ed efficacia dovuta ad una migliore analisi e gestione delle informazioni. Questo è il punto di forza di questi sistemi, soprattutto grazie alle nuove tecnologie di business intelligence applicate ai Big Data, che vedremo in dettaglio nel prossimo capitolo. Inoltre aumenta la tipologia di informazioni a disposizione, dalle fonti aperte presenti su internet, ai sensori ambientali installati sul territorio e ai bollettini informativi degli enti governativi.
Utilizzando componenti API (Application Programming Interface, attengono alla programmazione software e consentono di semplificare il dialogo tra un’applicazione e un’altra) e SDK (Software Development Kit) per interfacciare motori di ricerca e social media si possono ottenere dati correlabili con quelli ottenuti dai sensori ricavando informazioni ad alto valore aggiunto.
In questo modo risulta migliorata anche la gestione operativa, più semplice ed immediata. Infine, l’utilizzo di moderni standard web per la presentazione e ricerca delle informazioni riduce i tempi di reazione.
