A partire dal 2027 troveranno applicazione norme stringenti sulla cybersecurity che riguardano le macchine industriali. ABB vanta persone, soluzioni e prodotti di grande utilità per OEM e utilizzatori finali.
ABB Motion, grazie all’esperienza a tutto campo e a competenze costruite nel tempo, assicura a industria e utility un valore strategico in più nell’approccio alla cybersecurity.
di Riccardo Oldani
Un tempo il movimento delle macchine, quello che i tecnici definiscono “motion”, era una pura questione meccanica. Oggi coinvolge sempre di più anche software che devono essere sicuri, al riparo da attacchi cyber o anche semplicemente da errori o deterioramenti. Come affronta questo tema un gruppo di importanza globale come ABB? Ne abbiamo parlato con due esperti di ABB Motion Italia, Andrea Stefani, Application & Solution Engineer, e Federica Celotti, Segment Manager Water & Wastewater.
La cybersecurity industriale, ci fanno notare, non è più un argomento confinato agli specialisti dell’informatica né una voce da implementare, quasi fosse un accessorio, a una macchina o a un impianto già progettati. È invece un terreno che ridefinisce i rapporti tra costruttori, fornitori di automazione e utenti finali. Non soltanto una sfida tecnica, ma anche un passaggio culturale e organizzativo destinato a pesare sempre di più sulla capacità di competere delle aziende del manifatturiero italiano.
Le vulnerabilità della cybersecurity non riguardano solo possibili attacchi esterni da remoto, ma anche tutto ciò che può compromettere l’integrità del software e alterare il comportamento delle macchine, quindi anche pratiche interne errate.
TEMPI STRETTI
La transizione verso la cybersecurity non ha un tempo indefinito. Trova invece nel 2027 uno spartiacque molto ben preciso. “Il prossimo gennaio”, osserva Stefani, “verrà applicato il Nuovo Regolamento Macchine, che incorpora al proprio interno aspetti specifici di cybersecurity. Verso la fine dell’anno si arriverà poi all’applicazione del Cyber Resilience Act (CRA), che estende i requisiti di sicurezza ai prodotti digitali e connessi, imponendo obblighi nuovi anche ai fornitori di tecnologia. Chi non sarà conforme non venderà e, in certi casi, non potrà operare”.
Come affrontare allora le scadenze prossime venture? Innanzitutto, dando loro il significato corretto. “Spesso i nostri clienti mostrano di avere una concezione parziale della cybersecurity. Infatti, continuano a immaginare un attacco informatico come l’azione di un hacker che si collega da remoto per sabotare un dispositivo o rubare dati”, osserva Stefani. “Un problema reale, certamente, ma che non esaurisce affatto il quadro dei casi possibili. Nella nuova impostazione legislativa, la cybersecurity comprende più in generale tutto ciò che può compromettere l’integrità del software e quindi alterare il comportamento della macchina, anche senza un attacco esterno da remoto: può trattarsi di una modifica impropria, di una manipolazione interna, di un accesso lasciato troppo aperto, persino di un intervento di manutenzione condotto senza le cautele necessarie”. Il punto decisivo è che una manomissione software può produrre pericoli per le persone. E allora va oltre il dominio dell’IT per diventare un tema di sicurezza industriale a 360 gradi.
Andrea Stefani, Application & Solution Engineer di ABB.
DUE FACCE DELLA STESSA MEDAGLIA
Questo ampliamento dell’orizzonte e delle finalità della cybersecurity industriale comporta anche un’attenta valutazione e comprensione delle nuove norme. “Il Nuovo Regolamento Macchine”, dice Stefani, “riguarda il modo in cui un sistema di produzione, macchina o linea, viene progettato, configurato e certificato. Parte dai target di sicurezza che si devono raggiungere per poi definire l’architettura adeguata, un progetto coerente, la scelta consapevole dei protocolli e l’uso di prodotti con determinate caratteristiche”. Porta, in altre parole, a una cybersecurity definita “by design”, fin dal momento della progettazione.
Il CRA, invece, richiede che la protezione dagli attacchi cyber di una macchina non sia qualcosa di temporaneo, ma di esteso nel tempo e richiama pertanto le responsabilità non soltanto del produttore, ma anche del fornitore di tecnologie, tra cui la stessa ABB. Tutti, in questa catena del valore, devono dimostrare di aver sviluppato i loro prodotti secondo criteri adeguati e di saperli seguire nel tempo. Il CRA impone insomma che il prodotto, che sia un PLC o un’intera macchina, rispetti gli standard definiti dall’Unione Europea e sia pertanto certificato. Se non lo è non può nemmeno essere messo in commercio.
Federica Celotti, Segment Manager Water & Wastewater di ABB.
DIFESA IN PROFONDITÀ
La profondità dell’approccio di ABB emerge proprio dalla capacità di coprire tutte le esigenze introdotte dalle due normative. “Non mettiamo soltanto a disposizione componenti per una progettazione ottimale delle macchine o delle linee automatizzate”, aggiunge Stefani, “ma garantiamo ai nostri clienti informazioni e aggiornamenti continui sui nostri prodotti e sulle loro eventuali vulnerabilità, upgrade o patch di sicurezza, accompagnandoli lungo il ciclo di vita”.
E qui emerge un concetto chiave della cybersecurity industriale che, continua l’esperto, “non si ottiene con un singolo prodotto, ma è una proprietà del sistema in cui quel prodotto viene inserito. La stessa macchina, installata in due contesti differenti, può trovarsi in condizioni di sicurezza molto diverse. Cambiano il perimetro di rete, le protezioni presenti a monte, le regole di accesso, la gestione dei certificati, la qualità della governance interna. La protezione deve essere garantita da una strategia di ‘defense in depth’, difesa in profondità, simile a quella di un castello feudale: mura esterne, fossato, ponte levatoio, torri di guardia, zone interne più protette fino al nucleo centrale, quello più impenetrabile, dov’è custodita la principessa”. A rigori, con un approccio di questo tipo, non è necessario scegliere per le proprie macchine tutti componenti con il massimo livello di certificazione disponibile. “Il criterio per raggiungere la migliore protezione”, osserva ancora Stefani, “non è rifugiarsi nei prodotti più garantiti e costosi se poi non entrano in una strategia più ampia o non ci si preoccupa di configurarli correttamente e di gestirli nel modo più funzionale e semplice possibile lungo tutto il loro ciclo di vita”.
Ma se la cybersecurity OT richiede un processo di questo tipo, allora serve un confronto chiaro e lineare tra fornitore di tecnologie, produttore di macchine e utilizzatore finale. Questo perché, dice ancora Stefani, “spesso gli end user non hanno ancora avuto l’occasione di definire dei target di cybersecurity. In molti casi, sono aziende medio piccole che stanno muovendo i primi passi in materia e non sempre hanno una mappa completa delle loro vulnerabilità. Senza un quadro chiaro del proprio profilo di rischio non è facile indicare target precisi al costruttore di macchine loro fornitore. Serve allora una forte diffusione della cultura tecnica su questi temi, ed è qui che si concentra anche buona parte dei nostri sforzi”.
La cybersecurity industriale non si ottiene con un singolo prodotto, ma con un approccio che abbraccia l'intero ciclo di vita di una macchina, dalla progettazione all’utilizzo. Si raggiunge pertanto con una strategia di difesa in profondità.
IL LATO DEBOLE DELLE UTILITY
Federica Celotti, nella sua veste di specialista del mercato Water & Waste Water, conosce bene questo nodo critico, anche perché ha a che fare soprattutto con le utility, che hanno una percezione ancora poco chiara dei problemi connessi alla cybersecurity. “Il settore della gestione idrica”, dice, “è ad altissima criticità, perché riguarda servizi essenziali, salute pubblica, ospedali, approvvigionamento civile, dighe e quindi, indirettamente, anche temi di sicurezza nazionale. D’altro canto, è un ambito in cui storicamente la sensibilità verso la cybersecurity è arrivata tardi e in modo disomogeneo”.
Eppure, la normativa non aspetta, la Direttiva NIS2, recepita in Italia nell’ottobre 2024, classifica già oggi i gestori idrici come ‘soggetti essenziali’, imponendo loro obblighi concreti di gestione del rischio e notifica degli incidenti.
Nel mondo delle utility attive in questo comparto pesano almeno due fattori. “Il primo è culturale”, osserva Celotti. “Molte organizzazioni non hanno ancora interiorizzato la centralità del problema. Il secondo è strutturale: ci si trova di fronte a infrastrutture sviluppate in epoche differenti, con componenti accumulati nel tempo, fornitori che si sono alternati, architetture di cui talvolta nessuno possiede più una mappa completa. Meno del 5% dei gestori idrici dispongono di un vero team IT interno e meno del 2% ha un Chief Information Officer”. A tutti questi limiti intrinseci si aggiungono quelli legati al sistema degli appalti pubblici, in cui emerge un evidente scollamento tra l’urgenza della cybersecurity e le modalità con cui molte gare vengono ancora istruite. “Il codice degli appalti attuale è entrato in vigore nel 2024, quindi prima delle più recenti norme della cybersecurity, che non sono perciò armonizzate. Inoltre, il sistema delle gare non favorisce la continuità di rapporti con un fornitore o nell’utilizzo di una soluzione, per cui spesso risulta difficile ricostruire la storia di un impianto, chi ci abbia messo mano e quale sia il perimetro in cui muoversi ai fini della cybersecurity”.
Di frequente poi, in queste strutture si usano soluzioni, dal controllo degli accessi alle VPN, non pensate per un uso industriale, scelte in maniera estemporanea, senza una policy precisa sulla gestione delle password, dei protocolli da attivare o disabilitare e senza un’attività di monitoraggio. Il risultato è una governance della cybersecurity frammentata.
Il settore della gestione dell’acqua, altamente strategico, è anche estremamente vulnerabile agli attacchi cyber. ABB mette a disposizione competenze e approcci specifici.
PRODOTTI AD ALTA TECNOLOGIA
In presenza di situazioni di questo tipo ABB si pone anche come interlocutore in grado di evidenziare i nodi principali su cui agire e il percorso da seguire. “È un aspetto molto importante”, prosegue Federica Celotti, “perché parliamo di impianti di importanza vitale per la salute delle persone e per la sicurezza del Paese. I nostri tecnici sono in grado di affiancarsi ai responsabili di queste strutture per aiutarli a definire degli standard di gestione, mettendo a disposizione competenze, sviluppi di prodotto, conoscenze costruite nei nostri centri di ricerca e il quotidiano aggiornamento sulle normative”.
Uno strumento molto utile, per esempio, è la possibilità di produrre report a supporto della analisi sulla cybersecurity in grado di evidenziare la configurazione di ogni PLC connesso in rete, individuando i protocolli usati, le porte aperte, gli indirizzi IP configurati. “Si tratta”, spiega Andrea Stefani, “di una funzionalità che può essere implementata sui nostri PLC della famiglia AC500, conformi ai requisiti IEC 62443-4-2 SL2.
Mentre i nostri drive, come ACS880 e ACS380-E hanno già raggiunto la certificazione IEC 62443-4-2 a livello SL1 e sono prossimi a ottenere la SL2. A questo si aggiungono funzionalità molto concrete, come la firma digitale del software, la gestione di certificati crittografici, l’integrazione di componenti elettronici dedicati a garantire l’integrità del codice e la possibilità di documentare in modo trasparente le configurazioni effettuate”.
Molte organizzazioni che operano nel segmento Water & Wastewater hanno difficoltà ad affrontare in modo focalizzato il tema della cybersecurity, per un problema strutturale e di competenze. ABB le può seguire in tutto il percorso.
UN IMPEGNO CHE PARTE DA LONTANO
Operare in stretta connessione con più settori, dalle utility all’industria, consente ad ABB Motion di disporre di una conoscenza più approfondita dei temi della cybersecurity industriale e di metterla a frutto nei propri rapporti con i clienti. Ma il percorso per arrivare a questo punto non è iniziato da poco. Il DSAC, Device Security Assurance Center di ABB, lavora da tempo su questi temi e già dal 2009 ha creato un team capace di verificare e validare i prodotti sotto il profilo della cybersecurity. Quello che gli esperti del gruppo ci tengono a sottolineare è che l’aspetto della sicurezza informatica non riguarda soltanto casi spettacolari o clamorosi. Può incidere anche su aspetti apparentemente impensabili. “Pensiamo per esempio alla diffusione enorme dei contatori intelligenti per contabilizzare ogni tipo di consumo, dall’acqua al gas, all’elettricità”, conclude Celotti. “Bastano un bug nei loro software di gestione, un’interruzione della connessione, una manomissione malevola o involontaria per causare perdite di dati, discrepanze nei consumi rilevati, problemi di fatturazione che poi si trasformano in errori di gestione”.
La cybersecurity, insomma, è sempre meno un argomento di nicchia nell’industria così come nelle utility, e sempre di più un valore strategico. Affrontarla con un partner come ABB Motion, in grado di fornire prodotti certificati, supporto, formazione, documentazione e trasferimento di competenze, è una sicurezza in più, in un mondo che si evolve continuamente e richiede oggi più che mai un approccio onnicomprensivo.
FOCUS 1: PRODUTTIVITÀ SENZA COMPROMESSI
ACS880 è una famiglia di azionamenti industriali che offre la più ampia gamma di potenza e tensione presente sul mercato. Tra i punti di forza si annoverano l’ampia disponibilità di opzioni per le diverse esigenze applicative, il controllo motore DTC (Direct Torque Control), l’ampia gamma di funzioni di sicurezza integrate, le varie modalità di programmazione e le varianti dedicate a settori industriali specifici.
Gli azionamenti ACS880 offrono versioni ottimizzate per utenti finali, system integrator e costruttori di macchine, adatte anche alle applicazioni più esigenti.
Azionamenti industriali della famiglia ACS880 di ABB. Hanno già raggiunto la certificazione IEC 62443-4-2 a livello SL1 in tema di cybersecurity e sono prossimi a ottenere la SL2.
FOCUS 2: UNA GAMMA COMPLETA DI PLC
ABB offre una gamma completa di PLC scalabili e pannelli di controllo HMI robusti e affidabili. L’AC500 è un PLC potente, disponibile in un'ampia gamma di configurazioni che variano in base alle prestazioni, alla capacità di comunicazione e al numero di I/O, anche per le applicazioni industriali più esigenti. La sua affidabilità garantisce produttività e sicurezza, anche in ambienti difficili.
L’AC500 è disponibile in una gamma flessibile per applicazioni semplici e complesse in diversi settori industriali, infrastrutture e automazione degli edifici. ©ÈUREKÀ!
I PLC della serie AC500 di ABB sono conformi ai requisiti IEC 62443-4-2 Security Level 2.
