Cosa è successo?
In un contributo per la rivista Protector, Uwe Greunke, responsabile del segmento business KRITIS presso Rohde & Schwarz Networks and Cybersecurity, descrive cinque regole per l'integrazione sicura della tecnologia di sicurezza nelle reti IT. Il contributo si rivolge in particolare agli operatori di infrastrutture critiche (KRITIS), presso i quali i sistemi tecnici di sicurezza come telecamere di sorveglianza, controlli di accesso, meccanismi di chiusura o tecnologie di allarme e notifica diventano sempre più parte integrante dell'architettura di rete IT.
Messaggio chiave: quando i sistemi di sicurezza vengono integrati nelle reti IT, devono collaborare in modo efficiente, senza che ciò comprometta o annulli il livello di protezione effettivo.
I dettagli
Secondo il contributo, i sistemi tecnici di sicurezza nelle aree KRITIS e OT sono soggetti alle disposizioni della legge quadro KRITIS, della legge BSI, nonché ad altri standard rilevanti come il BSI IT-Grundschutz e la norma IEC 62443. Da ciò Greunke deduce la necessità di strutturare la messa in rete di questi sistemi secondo un concetto di sicurezza e di zonizzazione chiaramente definito e vincolante. Particolare attenzione va posta ai percorsi di comunicazione tra gli impianti di sicurezza, le centrali operative, i sistemi di gestione e le reti IT adiacenti: questi devono essere rigorosamente regolamentati.
Il contributo indica cinque regole concrete:
- Creare zone chiaramente definite: i sistemi di telecamere, i sensori e i componenti di accesso dovrebbero essere gestiti in aree logicamente o fisicamente separate. I sistemi di telecamere, ad esempio, dovrebbero interagire solo con i sistemi correlati come NVR (Network Video Recorder) o VMS (Video Management System). Firewall o gateway di segmento monitorano e proteggono i passaggi tra le zone.
- Separare l'IT office e le reti esterne: i sistemi di sicurezza dovrebbero, in linea di principio, operare al di fuori della classica IT aziendale. I passaggi avvengono attraverso punti prestabiliti come zone DMZ o NAT, che consentono un utilizzo controllato di servizi come Active Directory, DNS o PKI, senza mettere a rischio i segmenti di sicurezza.
- Garantire un funzionamento resiliente e autonomo: una rete di sicurezza OT deve rimanere funzionale in modo autonomo anche in caso di disturbi nell'IT circostante, guasti WAN o minacce esterne. Meccanismi come sonde di rete, watchdog per telecamere o riavvii basati su PoE possono risolvere in modo automatizzato i disturbi tipici.
- Crittografare e monitorare i percorsi di comunicazione: i dati video, di allarme e di controllo devono essere trasmessi in modo crittografato. Vengono citate le VPN (client-to-site o site-to-site) per gli accessi di manutenzione e i collegamenti tra sedi, nonché i reverse proxy con crittografia TLS end-to-end contro gli attacchi man-in-the-middle.
- Garantire modularità ed espandibilità: nuove telecamere IP o punti di accesso dovrebbero potersi integrare senza sostanziali modifiche all'architettura esistente. Le architetture basate su zone consentono l'integrazione di nuove sedi come segmenti separati, senza modificare le aree esistenti.
Inquadramento
Il contributo evidenzia come la tecnologia di sicurezza negli ambienti KRITIS non possa più essere considerata isolatamente, ma vada intesa come parte integrante della struttura di rete IT. Ciò significa che i responsabili della tecnologia di sicurezza e dell'IT devono collaborare più strettamente rispetto al passato. Secondo Greunke, le connessioni cresciute storicamente o non controllate tra i sistemi di sicurezza e altre reti sono in conflitto con le disposizioni normative e risultano inoltre problematiche in termini di tracciabilità e verificabilità.
Per gli operatori di infrastrutture critiche – ad esempio nei settori del controllo accessi, della videosorveglianza o della tecnologia di allarme – ne deriva una chiara pressione regolatoria ad agire: chi integra telecamere, sistemi di accesso o tecnologie di allarme in infrastrutture IT esistenti deve farlo secondo un concetto di zonizzazione e sicurezza documentato, conforme alle norme e alle leggi citate.
Consigli pratici
- Gestire i sistemi tecnici di sicurezza (telecamere, controllo accessi, tecnologia di allarme) in zone di rete proprie e chiaramente delimitate, senza mescolarli indiscriminatamente con l'IT office.
- Far transitare i passaggi tra le zone di sicurezza e l'IT aziendale esclusivamente attraverso punti definiti come zone DMZ o NAT, monitorandoli tecnicamente.
- Prevedere meccanismi di monitoraggio automatizzati come watchdog per telecamere o riavvii basati su PoE, per garantire la disponibilità anche senza intervento manuale.
- Crittografare sistematicamente i percorsi di comunicazione – ad esempio tramite connessioni VPN e crittografia TLS end-to-end – per prevenire manipolazioni e tentativi di intercettazione.
- Nella pianificazione di nuovi componenti impiantistici, puntare fin dall'inizio su architetture modulari e basate su zone, in modo da rendere possibili ampliamenti futuri senza interventi sui segmenti esistenti.
Prospettive
Considerando il quadro normativo citato nel contributo – legge quadro KRITIS, legge BSI, BSI IT-Grundschutz e IEC 62443 – è probabile che aumenti ulteriormente la pressione sugli operatori di infrastrutture critiche affinché strutturino le proprie reti di tecnologia di sicurezza in modo conforme alle norme e verificabile. La conclusione di Greunke riassume bene il concetto: solo una rete sovrana, conforme alle norme e verificabile crea le basi per gestire i sistemi tecnici di sicurezza in modo conforme alle regole e strutturato. Per progettisti, installatori e operatori di tecnologia di sicurezza, ciò significa considerare in futuro l'architettura di rete IT come parte integrante di ogni concetto di sicurezza – dalla pianificazione delle zone fino alla crittografia dei percorsi di comunicazione.
