Nell’epoca attuale, dove il progresso tecnologico è fulcro delle attività industriali, la sicurezza informatica diventa un pilastro fondamentale per le aziende.
Per questo motivo, abbiamo intervistato Francesco Corrado, Head of Cybersecurity di Ferrero Italia, un esperto del settore che condivide con noi le sue preziose intuizioni sulla gestione della cybersecurity nel contesto tecnologico sempre più complesso dell’Operational Technology (OT) e dell’Internet of Things (IoT).
Come affrontare la complessità di trovare una governance efficiente all’interno del contesto tecnologico OT e IoT?
Il mondo Manufatturiero, ma in generale tutto il comparto produttivo/industriale, sta vivendo un periodo di profonda trasformazione digitale alla base della quale vi è la necessità di sfruttare l’enorme quantità di dati disponibili per guidare azioni intelligenti, aumentare la qualità dei prodotti ed al contempo diminuire gli sprechi, ottimizzare l’efficienza dei cicli produttivi e conseguentemente ridurre complessivamente i costi. Tale trasformazione richiede una convergenza tra due mondi, quello IT e quello OT/IoT, che risultano completamente diversi essendo intrinsecamente progettati per scopi differenti. Tali differenze espongono le aziende a nuovi fattori di rischio, tra cui quello Cyber, che non sono (o non erano) abituate a gestire. Nella dinamicità di tale contesto, definire un governo pragmatico ed olistico della cybersecurity diventa strategicamente abilitante alla trasformazione stessa. Provo ad elencare le mie “Golden Rules”:
- Disegnare una strategia di sicurezza che supporti la realizzazione degli obiettivi di business;
- Standardizzare i processi di cybersecurity rendendoli parte dei processi di Business stessi;
- Supportare attivamente lo step-change culturale investendo in formazione e consapevolezza. Le persone sono e resteranno al centro di ogni trasformazione;
- Definire ruoli e responsabilità chiari nella gestione e nel governo delle tecnologie;
- Definire processi di monitoraggio e gestione dei rischi cyber avendo cura di monitorare anche le Terze Parti coinvolte nella catena del valore;
- Definire architetture target standard e sicure by design diminuendo la complessità di gestione di ambienti e tecnologie eterogenee.
- Avere una picture chiara dello scope che si intende proteggere e conseguentemente investire per aumentarne la visibilità
Ovviamente un ruolo chiave è rappresentato dai fornitori di tecnologia di processo. Strutturare una relazione con loro è determinante nell’implementazione di soluzioni che contemplano la sicurezza come requisito di progetto.
Su quali componenti tecnologiche e/o metodologie investirebbe maggiormente nel 2024 per diminuire l’esposizione al rischio Cyber?
È prioritario investire sulle persone e sulle loro competenze. Stiamo osservando globalmente uno shortage di talenti che si riflette inevitabilmente sulla postura di sicurezza dell’azienda stessa. Avere persone motivate, qualificate e formate è direttamente proporzionale alla capacità di un’azienda di garantirsi un perimetro di sicurezza adeguato (think people, not tools). Ritengo inoltre che un ruolo di rilievo sarà occupato dalle tecnologie basate sull’ AI (ovviamente sia dalla prospettiva dell’attaccante che da quella di chi è tenuto a difendere). Accelerare il rilevamento, l’analisi e la correlazione delle minacce, velocizzare ed automatizzare i processi di risposta potrebbero essere la chiave di volta per minimizzare la rilevazione di falsi positivi e l’effort necessario a gestire attività a basso valore aggiunto. Queste ultime potrebbero essere gestite in maniera automatica (seppur supervisionata) liberando tempo e risorse per supportare attività a maggiore valore aggiunto.
In evento porterai un caso studio sulla gestione dell’OT Security all’interno del settore Manufacturing, ci vuoi dare un’anticipazione di ciò di cui ci parlerei a Security4Business il prossimo marzo?
Alla base della discussione ci saranno i rischi che affliggono l’ambito Manufatturiero; cercherò di identificare ed evidenziare elementi di parallelismo con settori, affini e no, regolati. In quest’ottica farò riferimento alla nuova direttiva NIS 2, ai vantaggi che questa può portare al settore manufatturiero e alle sfide che lo vincolano ad un sistema economico (fatto di piccole e medie imprese) che potenzialmente non “beneficeranno” della direttiva stessa, in quanto la sicurezza intrinseca di un’azienda è equivalente a quella dell’elemento più debole presente nel suo contesto operativo.
Incontra Francesco Corrado, Head of Cybersecurity di Ferrero Italia il 12 marzo a Security4Business, l’evento di riferimento sugli sviluppi dei trend più attuali sulla Cybersecurity.