S News: Professione Installatore e Progettista di Sicurezza, quale futuro? L’apporto di Domenico Raguseo
Professione Installatore e Progettista di Sicurezza: quale futuro? è stato il titolo del convegno organizzato da S News in collaborazione con Aipros, Assosicurezza e CNA Installazione e Impianti, tenutosi a TaoSicurezza, la Fiera della Sicurezza del Sud, svoltasi con corale soddisfazione a Taormina il 27 e 28 maggio.
Tra i relatori Domenico Raguseo, Head of Cybersecurity di Exprivia, che ha approfondito ruolo e valenza della cybersecurity per l’installatore di sistemi di sicurezza.
Buona lettura!
Cybersecurity per l’Installatore di Sistemi di Sicurezza
La prima domanda che ci dovremmo fare è se un installatore di sistemi di sicurezza debba preoccuparsi di rendere l’impianto cybersicuro.
Per la verità, questa è la domanda che dovremmo sempre farci quando progettiamo un qualunque servizio o un bene, che sia un drone o un autoveicolo, che sia un sistema di videosorveglianza o un sistema di check-in di un ospedale, considerando l’elevata e crescente digitalizzazione dei servizi. Infatti i servizi digitali altro non sono che sistemi intelligenti collegati tra di loro tramite vari protocolli, che si scambiano dati e comandi.
Se la cybersecurity era prerogativa qualche anno fa dei sistemi prettamente IT, e quindi dei centri di elaborazione dati, oggi sistemi intelligenti collegati tra di loro li troviamo soprattutto fuori i centri di elaborazione dati. Per cui oggi, chi progetta un servizio che ha a che fare con dispositivi intelligenti, ancor di più se collegato ad internet, si deve preoccupare di difendere il servizio, esattamente come se fosse il responsabile di un centro di elaborazione dati. Voi direte “un centro elaborazione dati in miniatura”, io direi: non tanto… Oggi abbiamo intelligenze distribuite che sono compatibili con i grossi calcolatori di inizio secolo. L’Osservatorio Exprivia sulla Cybersecurity dice che a Marzo in Italia c’erano ben 8M di dispositivi collegati con indirizzo IPv4, ed in tanti sono dispositivi IoT, incluse telecamere di videosorveglianza. Quindi, per dare la risposta, direi che un installatore un pensierino potrebbe e dovrebbe farlo.
Ma quanto grosso deve essere questo pensierino?
Un parametro da utilizzare per comprendere la dimensione del problema e il tipo di incidente a cui si va incontro è studiare cosa è già successo.
Ci troviamo di fronte a sistemi che mai sono stati compromessi?
Ci troviamo difronte a PoC (Proof of Concept), e cioè dimostrazioni di come un attacco sia realizzabile o ci troviamo di fronte ad attacchi già fatti?
Perché, se è vero che dobbiamo preoccuparci di quello che non conosciamo, non possiamo ignorare quello che è noto. Sfortunatamente con le telecamere di videosorveglianza ci troviamo in questo ultimo caso, e cioè: ci sono stati casi che sono diventati parte della letteratura della cybersecurity ed uno su tutti (ancora attivo) è MIRAI. Si tratta di un malware che cerca dispositivi esposti sulla rete e non protetti per poter quindi installare delle bot (agenti controllati dall’esterno) che possono essere usate per movimenti laterali e spostamenti nella rete in cui risiedono o addirittura possono essere utilizzate come base per attacchi di tipo DDoS (Distributed Denial of Services). Nel caso di MIRAI le telecamere continuano a funzionare, ma in seguito a questo attacco è stato possibile compromettere importanti servizi: ad esempio un DNS (Domain Name System) o il software necessario per gestire ingressi in un ospedale. Il paradosso che si prendono delle telecamere di videosorveglianza per rendere sicuro uno stabile, e grazie a queste telecamere si rende meno sicura internet. Ovviamente il fatto che nel caso di MIRAI le telecamere potessero funzionare, è del tutto casuale. Avendo il controllo della telecamera tutto può essere fatto: sta solo al buon cuore (o se preferite alle intenzioni) dell’attaccante non fare ulteriori danni. Quindi la risposta alla seconda domanda è che il rischio è alto e non solo per sé, ma per l’intera comunità.
Quali quindi i suggerimenti che possiamo dare agli installatori?
Dividerei i suggerimenti in due categorie: CONSAPEVOLEZZA e COMPETENZA.
- Alla prima categoria, ovvero la CONSAPEVOLEZZA, appartiene il suggerimento di modificare la password di fabbrica e non usare una password molto semplice dopo l’installazione. Sempre in relazione a questa categoria inserisco di fatto di affidarsi a case che danno la possibilità di aggiornare il firmware. Non esiste un software perfetto ed è sempre possibile che una vulnerabilità venga rilasciata dopo aver installato il dispositivo. Se la vulnerabilità non si risolve, verrà prima o poi sfruttata. Infine far comprendere ai propri clienti il valore di una soluzione cybersicura, perché la sicurezza è un processo innanzitutto continuo, e che ha un costo. Avere firmware che possono essere aggiornati può far risparmiare migliaia o milioni di euro o addirittura la morte di un individuo. Quindi non vale la pena di risparmiare qualche euro, se a causa di questo risparmio si compromette un servizio critico.
- Nella categoria della COMPETENZA invece inserirei il disegno di una rete con opportuna segmentazione (tramite VPN, VLAN, switch…) per rendere più complesso ad un attaccante il processo di discovery e raggiunta di un dispositivo. Conoscere come segmentare una rete, come adoperare i protocolli di autenticazione, come usare comunicazioni criptate sono competenze oggi sempre più necessarie, non solo per un progettista, ma anche per un installatore.
