La protezione delle Infrastrutture Critiche e la cyber...

La protezione delle Infrastrutture Critiche

e la cyber security

Dott. Glauco Bertocchi CISM

Roma 19/06/2014

•La protezione delle Infrastrutture Critiche e la cyber security

1

G. Bertocchi -La protezione delle Infrastrutture Critiche e la cyber security

• Presentazione relatore

• La normativa nazionale ed europea

• La sicurezza delle IC (fisica, logica,organizzativa, ambientale)

• Cyber sec delle IC ed evoluzione tecnologica

• Cyber sec nella gestione della crisi e nel recovery dell'emergenza

• Il programma europeo H2020

• Le prossime sfide

• Q&A

• Bibliografia & sitografia

Agenda

2









• Q&A


Agenda

3


Presentazione relatore

Glauco Bertocchi

Esperienza più che ventennale nel campo ICT

Esperienza più che ventennale nel campo della security

Numerose docenze universitarie e ad organizzazioni statali

Autore o coautore di numerose pubblicazioni in campo ICT e security

Ha svolto e svolge consulenze professionali in ambito sicurezza

Valutatore dei progetti di ricerca ed innovazione FP7 (2007) e H2020 (2014)

Certificato CISM dal 2003

Membro del Consiglio direttivo dell’AIIC (Associazione Italiana esperti Infrastrutture Critiche)

4









• Q&A


Agenda

5

La normativa nazionale ed europea

6


Le infrastrutture critiche sono state definite da una direttiva europea che

è stata recepita in Italia 2011 , n. 61 (GU n. 102 del 4-5-2011 )

DECRETO LEGISLATIVO 11 aprile 2011 , n. 61

Attuazione della Direttiva 2008/114/CE recante l'individuazione e la

designazione delle infrastrutture critiche europee e la valutazione

della necessita' di migliorarne la protezione. (11G0101)

Entrata in vigore del provvedimento: 05/05/2011

Cosa è una infrastruttura critica secondo questa normativa?

Il presente decreto stabilisce le procedure per l'individuazione e la designazione di Infrastrutture

critiche europee (ICE), nei settori dell'energia e dei trasporti, nonche' le modalita' di valutazione della

sicurezza di tali infrastrutture e le relative prescrizioni minime di protezione dalle minacce di origine

umana, accidentale e volontaria, tecnologica e dalle catastrofi naturali. I sotto-settori riguardanti

energia e trasporti sono indicati nell'allegato A al presente decreto

7



Art. 2

Definizioni

1. Ai fini del presente decreto, si intende per:

a) infrastruttura: un elemento, un sistema o parte di questo, che contribuisce al mantenimento

delle funzioni della societa', della salute, della sicurezza e del benessere economico e sociale

della popolazione;

b) infrastruttura critica (IC): infrastruttura, ubicata in uno Stato membro dell'Unione europea, che e'

essenziale per il mantenimento delle funzioni vitali della societa', della salute, della sicurezza e

del benessere economico e sociale della popolazione ed il cui danneggiamento o la cui

distruzione avrebbe un impatto significativo in quello Stato, a causa dell'impossibilita' di

mantenere tali funzioni;

c) settore: campo di attivita' omogenee, per materia, nel quale operano le infrastrutture, che puo'

essere ulteriormente diviso in sotto-settori;

d) intersettoriale: che riguarda due o piu' settori o sotto-settori;

e) infrastruttura critica europea (ICE): infrastruttura critica ubicata negli Stati membri dell'UE il cui

danneggiamento o la cui distruzione avrebbe un significativo impatto su almeno due Stati

membri. La rilevanza di tale impatto e' valutata in termini intersettoriali. Sono compresi gli effetti

derivanti da dipendenze intersettoriali in relazione ad altri tipi di infrastrutture;

8


Allegato A (previsto dall'articolo 1, comma 2)

Suddivisione dei settori energia e trasporti in sotto-settori

Settore Energia

Sottosettori:

Elettricita', comprendente: infrastrutture e impianti per la produzione e la trasmissione di energia elettrica e per la fornitura di

elettricita';

Petrolio, comprendente: produzione, raffinazione, trattamento,stoccaggio e trasporto di petrolio attraverso oleodotti;

Gas, comprendente: produzione, raffinazione, trattamento, stoccaggio e trasporto di gas attraverso oleodotti e terminali GNL;

Settore Trasporti

Sottosettori:

Trasporto stradale;

Trasporto ferroviario;

Trasporto aereo;

Vie di navigazione interna;

Trasporto oceanico, trasporto marittimo a corto raggio e porti.

9


Chi identifica le Infrastrutture Critiche Europee?

Il decreto legislativo affida al Nucleo interministeriale situazione e pianificazione

(NISP), istituito con decreto del Presidente del Consiglio dei Ministri 25 maggio

2010, le funzioni specificate , dallo stesso decreto, per l’individuazione e la

designazione delle ICE.

Per tali fini il NISP è integrato dai rappresentanti del Ministero dello sviluppo

economico, per il settore energia, del Ministero delle infrastrutture e dei

trasporti ed enti vigilati, per il settore trasporti.

L’individuazione di una struttura critica avviene secondo un’analisi della criticità

del settore e delle problematiche derivanti da valutazioni intersettoriali .

L’analisi è basata su criteri indicativi predefiniti in sede europea

10


I CRITERI DI VALUTAZIONE

CRITERI SETTORIALI

Sono riportati nelle linee guida emesse dalla Commissione Europea, sono riservati.

(Art. 6 comma2)

CRITERI INTER SETTORIALI

Sono basati sulla valutazione delle seguenti tipologie di effetti negativi

1.le possibili vittime, in termini di numero di morti e di feriti;

2.le possibili conseguenze economiche, in termini di perdite finanziarie, di deterioramento del bene o

servizio e di effetti ambientali;

3.le possibili conseguenze per la popolazione, in termini di fiducia nelle istituzioni, di sofferenze fisiche e di

perturbazione della vita quotidiana, considerando anche la perdita di servizi essenziali.

Poiché una Infrastruttura Critica Europea interessa almeno due stati membri , la valutazione delle

soglie dei criteri si effettua con discussioni bilaterali o multilaterali con gli altri Stati Membri

coinvolti dalla IC sotto esame.

11


Quando una ICE è identificata chi lo viene a sapere?

Art. 3

Tutela delle informazioni sensibili

1. Alle informazioni sensibili relative alle IC, nonche' ai dati ed alle notizie relativi al processo d'individuazione, di

designazione e di protezione delle ICE, e' attribuita adeguata classifica di segretezza ai sensi dell'articolo 42 della legge

3 agosto

Art. 8

Designazione delle ICE

5. Al provvedimento di designazione di un'infrastruttura come ICE e' attribuita adeguata classifica di segretezza ai sensi

dell'articolo 42 della legge 3 agosto 2007, n. 124, e del relativo regolamento di attuazione.

6. La designazione di un'infrastruttura come ICE non determina deroghe alle ordinarie procedure di affidamento dei contratti

pubblici, salvo le misure relative alla protezione delle informazioni

Art. 15

Contributo degli organismi di informazione per la sicurezza

1. Le modalita' del concorso informativo degli organismi di cui agli articoli 4, 6 e 7 della legge 3 agosto 2007, n. 124, sono

stabiliti con provvedimenti del Presidente del Consiglio dei Ministri da adottarsi ai sensi dell'articolo 1, comma 3, della

stessa legge.

12


Il Piano di sicurezza dell’operatore

Requisiti minimi del piano di sicurezza dell'operatore (PSO) (art.12 comma 4 e allegato B)

Il piano di sicurezza dell'operatore (PSO) identifica gli elementi che compongono l'infrastruttura critica, evidenziando per ognuno di essi

le soluzioni di sicurezza esistenti ovvero quelle che sono in via di applicazione.

Il PSO comprende: l'individuazione degli elementi piu' importanti dell'infrastruttura;

1. l'analisi dei rischi che, basata sui diversi tipi di minacce piu' rilevanti, individua la vulnerabilita' degli elementi e le possibili

conseguenze del mancato funzionamento di ciascun elemento sulla funzionalita' dell'intera infrastruttura;

2. l'individuazione, la selezione e la priorita' delle misure e procedure di sicurezza distinte in misure permanenti e misure ad

applicazione graduata.

3. le misure permanenti sono quelle che si prestano ad essere utilizzate in modo continuativo e comprendono:

- sistemi di protezione fisica (strumenti di rilevazione, controllo accessi, protezione elementi ed altre di prevenzione);

- predisposizioni organizzative per allertamento comprese le procedure di gestione delle crisi;

- sistemi di controllo e verifica;

- sistemi di comunicazione;

- addestramento ed accrescimento della consapevolezza del personale;

- sistemi per la continuita' del funzionamento dei supporti informatici.

4. Le misure ad applicazione graduata da attivare in relazione al livello di minacce o di rischi esistenti in un determinato periodo di

tempo.

13


Finora abbiamo visto un’architettura che ha poco di cyber e molto di

strutturazione in uffici e procedure, c’è pero un cenno nei requisiti minimi -

sistemi per la continuita' del funzionamento dei supporti informatici.

Passa poco tempo, pochissimi anni per la velocità di evoluzione delle IC ma

epoche per l’ICT, ed ecco la rivoluzione : l’Italia si dota di strumenti per la

protezione nazionale dalle minacce cyber.

DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 24 gennaio 2013

IL PRESIDENTE DEL CONSIGLIO DEI MINISTRI

Dispone:

14


Art. 1

Oggetto

1. Il presente decreto definisce, in un contesto unitario e integrato, l'architettura istituzionale

deputata alla tutela della sicurezza nazionale relativamente alle infrastrutture critiche

materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza

informatica nazionali, indicando a tal fine i compiti affidati a ciascuna componente ed i meccanismi

e le procedure da seguire ai fini della riduzione della vulnerabilita‘, della prevenzione dei rischi,

della risposta tempestiva alle aggressioni e del ripristino immediato della funzionalita' dei

sistemi in caso di crisi.

2. I soggetti compresi nell'architettura istituzionale di cui al comma 1 operano nel rispetto delle

competenze gia' attribuite dalla legge a ciascuno di essi.

3. Il modello organizzativo-funzionale delineato con il presente decreto persegue la piena integrazione

con le attivita' di competenza del Ministero dello sviluppo economico e dell'Agenzia per l'Italia

digitale, nonche' con quelle espletate dalle strutture del Ministero della difesa dedicate alla protezione

delle proprie reti e sistemi nonche' alla condotta di operazioni militari nello spazio cibernetico,

dalle strutture del Ministero dell'interno, dedicate alla prevenzione e al contrasto del crimine

informatico e alla difesa civile, e quelle della protezione civile.

15


16


17


18


19









• Q&A


Agenda

20

La sicurezza delle IC(fisica,logica,organizzativa,ambientale)

La sicurezza delle Ic ( e degli impianti industriali critici) nasce molto

tempo prima delle direttive europee e nazionali.

L’attuale normativa rende coerente e inquadra la materia in uno

schema generale che uniforma terminologia e obiettivi.

Naturalmente esistono direttive o norme omologhe di altri paesi (Usa,

Giappone, ecc) ed organizzazioni (UN, OSCE, ecc.).

E’ forse utile ripercorrere sinteticamente l’evoluzione di un settore che

partendo dagli impianti industriali ha visto aumentare la

consapevolezza della reale estensione delle infrastrutture critiche ,delle

loro vulnerabilità e della necessità di rendere coerenti e possibili sia la

difesa che sviluppo tecnologico.

21

La sicurezza delle IC (fisica, logica,organizzativa, ambientale)

Da Bertocchi A.A. 2005-2006 Facoltà di Ingegneria D.I.N.C.E. Dipartimento di Ingegneria

Nucleare e Conversioni di Energia

MASTER UNIVERSITARIO DI II LIVELLO IN SICUREZZA E PROTEZIONE

I primi apparati utilizzati per l’automazione industriale erano essenzialmente costituiti da attuatori, di natura elettromeccanica e/o pneumatica, controllati da centraline che utilizzavano lo stesso tipo di tecnologie. Con la diffusione dell’elettronica, e successivamente dei computer, è avvenuta una significativa evoluzione, sia nella complessità che nelle funzionalità dei sistemi di controllo, la cui diffusione ha anche beneficiato della continua riduzione dei costi degli apparati informatici.

Negli ultimi anni tale differenziazione sta venendo meno a causa dell’adozione da parte “industriale” di tecnologie e metodi dell’IT che risultano economicamente convenienti, grazie alla loro capillare diffusione, rispetto agli strumenti informatici, “proprietari” e più costosi, già utilizzati in ambito industriale.

Si assiste ad un progressivo trasferimento di architetture e tecnologie IT , specialmente nell’ambito delle comunicazioni e delle reti, verso le applicazioni industriali.

Solo recentemente (4-5 anni) è aumentata la consapevolezza delle problematiche di sicurezza (informatica e non) che derivano dall’uso dei sistemi informatici e delle reti di comunicazione di tipo Information Technology, per il controllo degli impianti industriali.

L’automazione industriale si considerava un’”isola” sicura in quanto dotata di sistemi che, a causa della loro collocazione e delle peculiarità tecniche, apparivano praticamente inattaccabili. I principali miti della sicurezza degli impianti industriali

22


Ma cosa sono gli SCADA?

Da Wikipedia

The term SCADA usually refers to centralized systems which monitor and control entire sites, or

complexes of systems spread out over large areas (anything from an industrial plant to a

nation). Most control actions are performed automatically by RTUs or by PLCs. Host control

functions are usually restricted to basic overriding or supervisory level intervention. For

example, a PLC may control the flow of cooling water through part of an industrial process, but

the SCADA system may allow operators to change the set points for the flow, and enable alarm

conditions, such as loss of flow and high temperature, to be displayed and recorded. The

feedback control loop passes through the RTU or PLC, while the SCADA system monitors the

overall performance of the loop.

23


Gli SCADA non sono una novità

Da Wikipedia

SCADA systems have evolved through 3 generations as follows:

First Generation: "Monolithic“ In the first generation computing was done by Mainframe systems. Networks

didn’t exist at the time SCADA was developed. Thus SCADA systems were independent systems with no

connectivity to other systems. Wide Area Networks were later designed by RTU vendors to communicate

with the RTU. The communication protocols used were often proprietary at that time. The first generation

SCADA System was redundant since a back-up mainframe system was connected at the bus level and was

used in the event of failure of the main mainframe system.

Second Generation: "Distributed” The processing was distributed across multiple stations which were

connected through LAN and they shared information in real time. Each station was responsible for a

particular task thus making the size and cost of each station less than the one used in First Generation. The

network protocols used were still mostly proprietary.

Third Generation: "Networked” These are the current generation SCADA systems which use open system

architecture rather than a vendor controlled proprietary environment. The SCADA system utilizes open

standard and protocols thus distributing functionality across a WAN rather than a LAN. It is easier to

connect third party peripheral devices like printers, disk drives, tape drives due to the use of open

architecture. WAN protocols such as Internet Protocol (IP) are used for communication between the master

station and communications equipment. This on the other hand has put a question on the security of

SCADA system which seems to be vulnerable to cyber-warfare and cyber terrorism attacks.

24


I Da Bertocchi A.A. 2005-2006 Facoltà di Ingegneria D.I.N.C.E. Dipartimento di Ingegneria


I principali miti della sicurezza degli impianti industriali

Il sistema di controllo è sicuro se non viene connesso a Internet

Dobbiamo focalizzarci solo sui “terroristi”

Tutti i “cattivi” sono su Internet

Il dipartimento dei sistemi informativi controlla la sicurezza dei processi

Gli hackers non capiscono SCADA/PLCs

25


Da Bertocchi A.A. 2005-2006 Facoltà di Ingegneria D.I.N.C.E. Dipartimento di Ingegneria Nucleare e Conversioni di Energia

Purtroppo l’esperienza ha dimostrato che tutti questi miti cadono alla verifica della realtà. I seguenti casi dimostrano quanto sia diversificata la tipologia dei rischi cui sono soggetti i sistemi informatici per il controllo degli impianti industriali.

2000 a Maroochy Shire (Australia) un ex addetto si introdusse nel sistema di telecontrollo di un impianto di depurazione e causò almeno 47 incidenti con perdita di alcuni milioni di litri di liquami direttamente nell’ambiente.

2001 un attacco di hacker ad una società di distribuzione dell’energia elettrica fu scoperto solo 17 giorni .Non si è riusciti a far luce sugli obiettivi dell’azione e sulla eventuale fuga di dati

2003-2004 alcuni worm diffusi via Internet hanno causato intasamento delle reti, provocando perdita di controllo tra i centri di controllo e le unità periferiche, sia sfruttato una vulnerabilità di Microsoft Windows per penetrare e bloccare dei sistemi informatici di controllo anche aeroportuale.

2003 il black-out che colpì il Canada e gli Stati Uniti , originato da cause accidentali, fu amplificato da alcuni guasti e malfunzionamenti ai server del sistema SCADA per la gestione degli allarmi. Gli operatori delle sale di controllo erano “ciechi” rispetto alla reale evoluzione dei problemi sulla rete.

26


Da Bertocchi A.A. 2005-2006 Facoltà di Ingegneria D.I.N.C.E. Dipartimento di Ingegneria


Controllo fisico e logico degli accessi ai sistemi di controllo industriale

(negligenza + carenze organizzative)

La premessa Può succedere che la struttura aziendale che si occupa dei sistemi informativi sovrintenda le operazioni dei sistemi di controllo poiché queste sono nella responsabilità della struttura di produzione. Conseguentemente il controllo logico degli accessi dei sistemi di controllo può essere carente e se a ciò si aggiunge la carenza di controllo degli accessi fisici la situazione può essere a rischio.

Il fatto: in una cartiera un impiegato “contrariato” utilizza la rete di connessione dei PLC per modificare la password di un PLC in un’altra locazione.

Gli operatori perdono il controllo di alcuni apparati e sono costretti a fermare l’impianto per recuperare la situazione

27


Da Bertocchi A.A. 2010-2011 Facoltà di Ingegneria D.I.N.C.E. Dipartimento di Ingegneria Nucleare e Conversioni di Energia

Per fare danni non serve un cyber terrorist basta essere disorganizzati

Lo scenario In una cartiera esiste un sistema di controllo del profilo della carta il cui scanner comunica con il computer di controllo tramite una connessione TCP/IP

Il fatto Un certo giorno in amministrazione viene installata una nuova stampante cui, per errore, viene assegnato lo stesso indirizzo del computer di controllo.

Le conseguenze Lo scanner che controlla il profilo della carta cerca di connettersi alla stampante invece che al computer di controllo, le conseguenze sono facili da immaginare

28


L’ambiente ( e gli umani)

VULCANI: NEL MONDO OLTRE 300 MLN VIVONO AI LORO PIEDI, CONVENTION A PISA =

ATTIVI 1.300 - SOLO IN ITALIA SONO 2 MILIONI TRA VESUVIO, ETNA, ISCHIA E ISOLE EOLIE

Roma, 16 ago. (Adnkronos) - In tutto il mondo sono 1.300 i vulcani attivi, e intorno ad essi vivono oltre

300 mln di persone; tra questi, secondo i dati della Protezione civile, sono 2 milioni gli italiani, la

massima parte sul Vesuvio, e poi nella cintura etnea, a Ischia e alle isole Eolie, dove i vulcani attivi

sono due nello spazio di pochi chilometri. A parlare, anche, della "vita sotto un vulcano" sara' una

convention, Geoitalia, organizzata a Pisa dal 16 al 18 settembre.

La convention, biennale, e' organizzata dalla Federazione Italiana di Scienze della Terra: ricercatori

provenienti da tutto il mondo presenteranno alla stampa nuovi studi riguardanti i vulcani. "L'Italia -dice

il vulcanologo dell'Osservatorio Vesuviano Sandro de Vita, tra i promotori- e' un esempio della

convivenza tra uomini e vulcani che, attraverso i secoli, ha portato allo sviluppo di una civilta' che oggi

pero' deve confrontarsi con la crescente esposizione al rischio, derivante soprattutto dall'inurbamento

incontrollato. La societa' moderna, inoltre, con lo sviluppo di reti di comunicazione e di commerci a

scala globale e' piu' vulnerabile rispetto al passato, anche riguardo a fenomeni eruttivi di bassa

magnitudo, come ci ha dimostrato la recente eruzione dell'Eyjafjallajokull. A Pisa realizzeremo

un esperimento innovativo ed interessante perche' uomini , scienziati , provenienti da vari Paesi

cercheranno di dare vita ad un'interazione tra diverse discipline per migliorare la comprensione delle

relazioni tra vulcanismo , l'ambiente e le comunita' umane". (segue)

(Sin-Pab/Col/Adnkronos) 16-AGO-13 13:03

29


L’ambiente ( e gli umani)

GIAPPONE, FAGLIA ATTIVA SOTTO CENTRALE TSURUGA DA RAPPORTO AUTHORITY

SICUREZZA EMERGE IPOTESI SMANTELLAMENTO

(ANSA) - TOKYO, 29 GEN 2013 - La faglia sotto la centrale nucleare di Tsuruga, prefettura

occidentale di Fukui, potrebbe essere attiva: le conclusioni del rapporto commissionato dall'Autorita'

sulla sicurezza giapponese (Nra) porterebbero alla chiusura definitiva dell'impianto gestito dalla Japan

Atomic Power. La struttura, una delle sei finite nel mirino nell'ambito dei piani di revisione delle norme

sulla sicurezza dopo il disastro di Fukushima, rischia lo smantellamento poiche' la normativa vieta che

i reattori siano costruiti su siti instabili.

La Japan Atomic Power, partecipata dalle utility come Tepco (la stessa della centrale danneggiata di

Fukushima) e Kansai Electric Power, potrebbe ora esporre le sue controdeduzioni attraverso ulteriori

indagini e basate su ''dati oggettivi''.

''La spaccatura sotto la centrale di Tsuruga e' molto probabilmente una faglia attiva'', ha riportato la

relazione finale condotta soprattutto sul reattore numero 2 (ultimato nel 1987) dal team guidato dal

commissario della Nra, Kunihiko Shimazaki, e da quattro altri scienziati.

Attualmente in Giappone, su un totale di 50 reattori, sono soltanto due quelli riattivati a seguito della

crisi di Fukushima per scongiurare la scorsa estate il rischio di blackout nella ricca regione del

Kansai.(ANSA).

30


L’ambiente

++ SANDY: 3 CENTRALI NUCLEARI CHIUSE, TRA CUI NEW YORK ++

INDIAN POINT, SULLE RIVE DELL'HUDSON, RIFORNISCE GRANDE MELA

(ANSA) - ROMA, 30 OTT 2012- A causa di Sandy, le autorità Usa hanno chiuso tre

centrali nucleari, tra cui quella di Indian Point, nei pressi di New York. Di tre

centrali chiuse scrive il Wall Street Journal online, citando fonti ufficiali del

ministero dell'energia. Un'altra centrale parzialmente chiusa è quella di

Hancock Bridge, nel New Jersey. (ANSA).

++ SANDY: 8,1 MILIONI DI AMERICANI SENZA ELETTRICITA' ++

(ANSA) - WASHINGTON, 30 OTT - Sono circa 8,1 gli americani tuttora senza

elettricita', dopo il passaggio di Sandy lungo la East Coast. Lo ha reso noto il

Dipartimento dell'Energia. (ANSA).

31

07/05/2013 C.N.R. Rischio: gli italiani temono più l’uomo che la natura

Il 41% considera frane e alluvioni una minaccia, ma inquinamento e incidenti

stradali sono temuti più delle calamità naturali, la responsabilità delle quali è

attribuita soprattutto al fattore umano. A dirlo, un’indagine sulla percezione dei

rischi commissionata dall’Istituto di ricerca per la protezione idrogeologica del

Cnr alla Doxa

Dalle analisi delle risposte fornite, tra gennaio e febbraio 2013, da un campione

di 3.126 persone, emerge come gli italiani mettano al primo posto tra i rischi

percepiti quello derivante dall’inquinamento ambientale (il 67% si sente molto o

abbastanza esposto); seguono quelli da incidenti stradali (55%), sismico (45%),

da alluvioni (24%), frane (17%) ed eruzione vulcanica (12%).

Chi: Istituto di ricerca per la protezione idrogeologia del Cnr e Dipartimento della protezione civile

Che cosa: presentazione risultati indagine sulla percezione dei rischi ambientali

Per informazioni: Fausto Guzzetti, direttore Irpi-Cnr, tel. 075.501.4402, e-mail: [email protected] , Paola Salvati, Irpi-Cnr, tel. 075.5014427, e-mail:

[email protected]

32

mailto:F.Guzzetti@irpi.cnr.it



mailto:Paola.Salvati@irpi.cnr.it

Agenda




Cyber sec delle IC ed evoluzione tecnologica

Cyber sec nella gestione della crisi e nel recovery dell'emergenza

Il programma europeo H2020

Le prossime sfide

Q&A

Bibliografia & sitografia

33


Le tecnologie ICT, dato il loro ottimo rapporto costo/prestazioni e la

velocità di evoluzione, sono la risposta a molte esigenze di controllo ed

automazione in ogni campo delle attività umane.

I benefici sono evidenti in termini di funzionalità e di costi, la

produzione hw e sw è ragionevolmente diversificata nel mondo. Il loro

utilizzo aiuta a gestire in modo efficace ed efficiente fenomeni

complessi e veloci, dalle transazioni finanziarie all’ABS della vostra

auto passando per il treno automatico dell’aeroporto, alla metropolitana

di Londra o Parigi al traffico aereo.

Ma quante IC hanno un controllo e/o comando gestito da strutture ICT?

La vita operativa degli impianti (IC) è spesso di decine di anni (pensate

ai treni, agli aerei, alle turbine di una centrale elettrica, alle auto…..)

Ma la vita operativa delle IC le porta a sopravvivere da un’era geologica

all’altra in termini di evoluzione tecnologica ICT.

34


Da Wikipedia

The Boeing B-52 Stratofortress is a long-range bomber . The B-52 was designed and built by Boeing

, which has continued to provide support and upgrades. It has been operated by the United States

Airforce (USAF) since the 1950s. The B-52 completed 50 years of continuous service with its original

operator in 2005; after being upgraded between 2013 and 2015, it is expected to serve into the 2040s

35

In automotive electronics, electronic control unit (ECU) is a generic term for any embedded system

that controls one or more of the electrical system or subsystems in a motor vehicle.

Some modern motor vehicles have up to 80 ECUs. Embedded software in ECUs continue to

increase in line count, complexity, and sophistication.[Managing the increasing complexity and

number of ECUs in a vehicle has become a key challenge for original equipments manufacturers

(OEMs).


In questo mondo di vecchi impianti aggiornati e nuovi impianti sempre

più complessi da tempo si concretizzano le classiche minacce del cyber

space.

Tutte le classiche anche recenti : zero day exploit, virus,attacchi (DoS),

spionaggio industriale e non, social engineering, APT , ecc.

Alle classiche minacce si aggiungono alcune specializzate per le IC ,

nell’ambito di “guerre” non dichiarate.

Gli impianti ICT delle IC sono “fortunati” anche se sono legacy : sono

soggetti a minacce sempre aggiornate e a tutte le vulnerabilità scoperte

sui loro sistemi nel corso degli anni

36


Come è composta logicamente un’Infrastruttura Critica?

Spesso è un sistema molto complesso composto da sottosistemi di

controllo ICT appartenenti a generazioni diverse e connessi a device

“intelligenti”con proprio indirizzo IP e sw di controllo.

Un esempio di attacco a un device per sabotaggio

AP Exclusive: Experts say hackers hit major Israeli roadway, a sign cyber warfare now reality

27 0ct 2013 ,HADERA, Israel (AP) — When Israel's military chief delivered a high-profile speech this

month outlining the greatest threats his country might face in the future, he listed computer sabotage

as a top concern, warning a sophisticated cyberattack could one day bring the nation to a standstill.

Lt. Gen. Benny Gantz was not speaking empty words. Exactly one month before his address, a major

artery in Israel's national road network in the northern city of Haifa was shut down because of a

cyberattack, cybersecurity experts tell.

One expert, speaking on condition of anonymity because the breach of security was a classified matter,

said a Trojan horse attack targeted the security camera system in the Carmel Tunnels toll road on

Sept. 8.

37


38

•Il più noto attacco specializzato a un sistema di controllo industriale è Stuxnet ed è

stato trattato in tutti i modi . Il fatto più rilevante è che da quel momento si parla

sempre di più di cyber war.

Alcuni ricercatori hanno seguito le orme degli sviluppatori di Stuxnet

Fonte WIRED - Threat level section

By Kim Zetter · April 5, 2012 |· 1:30 pm |

Researchers have released two new exploits that attack common design vulnerabilities in a

computer component used to control critical infrastructure, such as refineries and factories.

The exploits would allow someone to hack the system in a manner similar to how the Stuxnet

worm attacked nuclear centrifuges in Iran, a hack that stunned the security world with its

sophistication and ability to use digital code to create damage in the physical world.

The exploits attack the Modicon Quantum programmable logic controller made by

Schneider-Electric, which is a key component used to control functions in critical infrastructures

around the world, including manufacturing facilities, water and wastewater management plants,

oil and gas refineries and pipelines, and chemical production plants. The Schneider PLC is an

expensive system that costs about $10,000.


Un altro esempio di imitazione sulla scia Stuxnet

Antivirus Evasion: the making of a full, undectectable USB dropper/spreader

Usually when we talk about bypassing antivirus software, and especially when we talk

about antivirus programs like NOD32, Kaspersky, BitDefender… We automatically think

about deep coding knowledge, using undocumented APIs or using Zero days exploits, but

this is not always true, since by applying some “very” basics approaches we will be able

to bypass most of (if not all) antivirus programs, at least for doing some basic things.

Basically, all antivirus programs detect malicious files the same way, either by checking

for a digital signature inside of the files (which explains the importance of keeping your

antivirus up to date) or by a technique called heuristic detection. This (and of course other

criteria) usually makes the difference between a good and a bad antivirus.

Let’s start by making a basic USB spreader. If you want to make tests, just create a new

project under Microsoft Visual Studio, and make sure you import System.Threading and

System.IO then copy and paste this code:http://resources.infosecinstitute.com/antivirus-

evasions-the-making-of-a-full-undetectable-usb-dropper-spreader/

39

http://resources.infosecinstitute.com/antivirus-evasions-the-making-of-a-full-undetectable-usb-dropper-spreader/

























I successori (?) di Stuxnet

(Ansa)WASHINGTON (USA) - Si chiama «Flame», fiamma, ed è un super-virus informatico che ha colpito i network in

diversi Paesi mediorientali. Tra questi l’Iran, l’Arabia Saudita, la Siria, il Libano, il Sudan, l’Egitto e i territori pales tinesi.

Un «baco» che ruba qualsiasi tipo di informazione, registra comunicazioni e dialoghi, intercetta Skype. Qualcosa -

affermano gli esperti - che deve essere stato messo a punto da un apparato statale. Ossia da un servizio segreto o da

una struttura militare di alto livello. . La compagnia petrolifera nazionale ha denunciato problemi alla rete Internet e ai

computer. Il virus - hanno specificato da Teheran - si sta impadronendo dei nostri dati. Un laboratorio russo è allora

intervenuto per esaminare il caso. La risposta è stata chiara: l’attacco rappresenta una nuova fase ed è molto insidioso.

«Flame» è qualcosa di più «letale» dei due virus, «Stuxnet» e «Duqu», che sono stati usati per colpire in è passato

diversi impianti strategici in Iran.

Chi ha messo a punto «Gauss»? Il laboratorio Kasperky, diventato ormai famoso per dare la caccia ai virus e offrire

risposte, ritiene che appartenga alla stessa famiglia dello «Stuxnet» e di «Flame». Entrambi – secondo diverse

ricostruzioni – sono stati creati per colpire l’Iran. Gli americani si sono attribuiti la paternità di aver ideato Stuxnet in

collaborazione con Israele. Ma da Gerusalemme hanno precisato che sono stati loro a crearlo e solo in seguito lo hanno

condiviso con l’alleato. È probabile che con «Gauss» i servizi segreti vogliano ricostruire i flussi finanziari in favore

di movimenti (come l’Hezbollah libanese) o di gruppi estremisti che ricevono aiuti da Teheran. Oppure puntino a

monitorare eventuali transazioni legate ai traffici d’armi che coinvolgono attori mediorientali. (Guido Olimpio 10 agosto

2012 | 11:54)

(Symantec) On October 14, 2011, ….appeared very similar to the Stuxnet worm from June of 2010. This threat has

been named W32.Duqu [because it creates files with the file name prefix “~DQ”. ..We have confirmed Duqu is a threat

nearly identical to Stuxnet, but with a completely different purpose. Duqu is essentially the precursor to a

future Stuxnet-like attack. The threat was written by the same authors, or those that have access to the Stuxnet

source code, and appears to have been created after the last Stuxnet file we recovered. Duqu’s purpose is to

gather intelligence data and assets from entities such as industrial control system manufacturers in order to

more easily conduct a future attack against another third party. Duqu does not contain any code related to

industrial control systems and is primarily a remote access Trojan (RAT). The threat does not self-replicate. s.

40


La protezione cyber delle IC non è un problema solo di virus, anche se

sono i più sofisticati mai realizzati.

Le IC sono strutture molto complesse e la loro protezione cyber

richiede una strategia.

Le IC presentano un serio problema di legacy.

Le IC presentano un serio problema di complessità crescente in quanto

sono interconnesse (effetto domino) non solo settorialmente ma anche

intersettorialmente.

41


42

Ciber strategy:Enisa e le Infrastrutture Critiche


Recent deliberate disruptions of critical automation systems prove that cyber-attacks

have a significant impact on critical infrastructures and services. Disruption of these ICT

capabilities may have disastrous consequences for the EU Member States’ governments

and social wellbeing. The need to ensure ICT robustness against cyber-attacks is

thus a key challenge at national and pan-European level.

Critical infrastructures, such as electricity generation plants, transportation systems,

manufacturing facilities are controlled and monitored by Industrial Control Systems

(ICS), including SCADA (Supervisory Control and Data Acquisition) systems. Today ICS

products are mostly based on standard embedded systems platforms and they often

use commercial off-the-shelf software. This results in the reduction of costs and

improved ease of use but at the same time increases the exposure to computer

network-based attacks.

43



Smart Grids will substantially improve control over electricity consumption and

distribution to the benefit of consumers, electricity suppliers and grid operators.

Vulnerabilities of communication networks and information systems may be

exploited for financial or political motivation to shut off power to large areas or directing

cyber-attacks against power generation plants.

The maritime sector is critical for the European society. Statistics show the

augmenting trend of maritime transport share in the overall goods traffic, which in 2010

reached 52%. As it can be observed in other economic sectors, maritime activity

increasingly relies on ICT in order to optimize its operations. ICT is increasingly used to

enable essential maritime operations, from navigation to propulsion, from freight

management to traffic control communications, etc.

To address these issues, in 2011 ENISA launched new activities in the three areas:

Industrial Control Systems/SCADA

Smart Grids and Smart Metering

Dependencies of Maritime Transport to ICTs

44


http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/scada-industrial-control-systems

http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/smart-grids-and-smart-metering

http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/dependencies-of-maritime-transport-to-icts

http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/dependencies-of-maritime-transport-to-icts


45

Cyber strategy :Enisa e le smart grids :una metodologia

difensiva


6 Appropriate security measures for smart grids

. Defining a common approach to addressing smart grid cyber security measures will help achieve this.

This technical document provides guidance to smart grid stakeholders by providing a set of minimum security measures

which might help in improving the minimum level of their cyber security services. The proposed security measures are

organised into three (3) sophistication levels and ten (10) domains, namely:

1. Security governance & risk management;

2. Management of third parties;

3. Secure lifecycle process for smart grid components/systems and operating procedures;

4. Personnel security, awareness and training;

5. Incident response & information knowledge sharing;

6. Audit and accountability;

7. Continuity of operations;

8. Physical security;

9. Information systems security; and

10. Network security.

46


difensiva


47


difensiva


48


difensiva


49

Cyber strategy : la strategia USA


February 12, 2014 Cybersecurity Framework Version 1.0 1 Executive Summary

The national and economic security of the United States depends on the reliable functioning of critical

infrastructure. Cybersecurity threats exploit the increased complexity and connectivity of critical

infrastructure systems, placing the Nation’s security, economy, and public safety and health at risk. ..

To better address these risks, the President issued Executive Order 13636, “Improving Critical

Infrastructure Cybersecurity,” on February 12, 2013, which established that “[i]t is the Policy of the

United States to enhance the security and resilience of the Nation’s critical infrastructure and to

maintain a cyber environment that encourages efficiency, innovation, and economic prosperity while

promoting safety, security, business confidentiality, privacy, and civil liberties.” In enacting this policy,

the Executive Order calls for the development of a voluntary risk-based Cybersecurity Framework – a

set of industry standards and best practices to help organizations manage cybersecurity risks. The

resulting Framework, created through collaboration between government and the private sector, uses a

common language to address and manage cybersecurity risk in a cost-effective way based on business needs

without placing additional regulatory requirements on businesses.

The Framework focuses on using business drivers to guide cybersecurity activities and considering

cybersecurity risks as part of the organization’s risk management processes. The Framework consists of

three parts: the Framework Core, the Framework Profile, and the Framework Implementation Tiers…..

The Executive Order also requires that the Framework include a methodology to protect individual

privacy and civil liberties when critical infrastructure organizations conduct cybersecurity activities.

While processes and existing needs will differ, the Framework can assist organizations in incorporating

privacy and civil liberties as part of a comprehensive cybersecurity program.

50



February 12, 2014 Cybersecurity Framework Version 1.0 1 Executive Summary

The Framework enables organizations – regardless of size, degree of cybersecurity risk, or

cybersecurity sophistication – to apply the principles and best practices of risk management to

improving the security and resilience of critical infrastructure. The Framework provides organization and

structure to today’s multiple approaches to cybersecurity by assembling standards, guidelines, and

practices that are working effectively in industry today. Moreover, because it references globally

recognized standards for cybersecurity, …..used by organizations located outside the United States

and can serve as a model for international cooperation on strengthening critical infrastructure

cybersecurity.

The Framework is not a one-size-fits-all approach to managing cybersecurity risk for critical infrastructure.

Organizations will continue to have unique risks – different threats, different vulnerabilities, different

risk tolerances – and how they implement the practices in the Framework will vary. Organizations can

determine activities that are important to critical service delivery and can prioritize investments to maximize

the impact of each dollar spent. Ultimately, the Framework is aimed at reducing and better managing

cybersecurity risks.

The Framework is a living document and will continue to be updated and improved as industry provides

feedback on implementation. As the Framework is put into practice, lessons learned will be integrated into

future versions. This will ensure it is meeting the needs of critical infrastructure owners and operators in a

dynamic and challenging environment of new threats, risks, and solutions.

Use of this voluntary Framework is the next step to improve the cybersecurity of our Nation’s critical

infrastructure – providing guidance for individual organizations, while increasing the cybersecurity

posture of the Nation’s critical infrastructure as a whole.

51



52

Legacy: una peculiarità delle CI


CPNI.NL è la struttura olandese per la protezione cyber , sta passando le consegne al centro nazionale olandese per il

contrasto al crimine cyber

In theory, there is not a whole lot of difference between the security of legacy process control systems

and current (ICT) systems. … Based on this, we can consider accepting the risk or taking additional

measures. Looking at legacy systems, decisions from the past may haunt us today. Sometimes it is

sensible to go to the root of the problem, for instance, by reinstalling the system from scratch.

This may prevent problems with unnecessarily elevated user rights and often solves instability issues

caused by uncontrolled installation of extra software.

Usually other less costly measures suffice. These may be technical, like a redesign of the network

where the legacy systems are connected to or implementing firewalls. But it may also be

procedural, e.g., by implementing a mandatory training for the use of legacy systems.

As usual, protecting legacy systems starts with reducing the risk of undesirable effects on the

availability or integrity of these systems or the processes controlled by these systems…..

Hardening minimises the number of vulnerabilities of the system. Training, or a warning in the

form of an explicit label, makes users aware of the specific risk of using these legacy systems.

Completely removing risks to the availability or integrity of systems is often impossible. A

tested backup and trained administrators will reduce the damage created by disruptions. Good and

tested procedures, documentation and recording configuration data are essential. Also consider

a safe and, in case of an emergency, accessible location to store backups. As a complementary

corrective measure it may be wise to keep your own stock of spare parts or complete (if

possible for installed and configured) redundant systems.

CPNI. 53

Legacy: una peculiarità delle CI


54

Interdipendenze tra IC e cyber sec


Adattamento e flessibilità: c’è la necessità di riconoscere l’incertezza insita nei sistemi complessi

che sono una parte fondamentale della nostra società. E’ scomparsa la distinzione tra infrastructure e

information infrastructure.

Attribuire le priorità: considerare I punti della catena del valore che sono soggetti al maggior rischio .

Resistere alla tentazione di non rimuovere nulla dalla lista delle criticità ed espandere continuamente

l’elenco delle cose considerate critiche. Non è saggio dal punto di vista strategico e aumenta il rischio

di dispersione delle risorse. La crescente dipendenza delle infrastrutture critiche dal cyber spazio

rende necessario attribuire priorità chiare e provvedimenti adeguati. Sono anche necessari dei metodi

per analizzare un settore e valutarne le dipendenze anche a livello globale. Tutto deve essere

accompagnato da misure per accrescere la consapevolezza pubblica e quindi il consenso ed il

supporto per l’uso di risorse pubbliche a tal fine.

Incentivare: comprendere I meccanismi che possano incoraggiare gli stakeholder ad investire in

protezione e non solo in “velocità”. Livelli maggiori di sicurezza comportano costi maggiori ma la

riduzione delo spionaggio industriale e del cyber crime puossono divenire un obiettivo primario se si

valutano I danni prodotti alla società. Naturalmente il tutto unito all’azione internazionale che rende

efficaci tali contrasti.

Investire in resilienza : il focus sulla protezione delle dipendenze contribuisce ad aumentare la

resilienza della società, nonché quella fisica e cyber. Esempio le energie alternative, la produzione

diffusa può aumentare la resilienza della rete e della popolazione. I vantaggi all’aumento di resilenza

possono essere economici, pubblici e privati, politici e sociali.

55

Interdipendenze tra IC e cyber sec

Agenda







Le prossime sfide

Q&A


56


57

Un esempio europeo


58

Un esempio europeo


RECIPE è uno studio commissionato da EU e svolto da un consorzio

guidato da TNO (Olanda). (http:/www.tno.nl/recipereport)

E’ destinato ai policy makers ma è utile per comprendere lo scenario

internazionale, con numerosi esempi e comparazioni, relativo alle

norme e organizzazioni nazionale che regolamentano la protezione

delle IC e la gestione delle crisi derivanti da IC.

Affronta il tema della gestione della crisi e del recovery evidenziando

con casi concreti come le risorse delle IC possono contribuire, anche in

modo non convenzionale, all’azione di mitigazione e di recupero.

Evidenzia in modo molto efficace la necessità di un partenariato e

cooperazione pubblico-privato per la gestione delle crisi.

59

Un esempio europeo


60

L’approccio USA


Federal Emergency Management Agency Homeland sec National Preparedness Report

Main content

Presidential Policy Directive 8: National Preparedness, requires an annual National

Preparedness Report (NPR) that summarizes national progress in building, sustaining and

delivering the 31 core capabilities outlined in the National Preparedness Goal…. 2013 NPR

focuses on accomplishments either achieved or reported on during 2012. …

In 2012 the nation faced a diverse set of threats and hazards that challenged collective security

and resilience and confirmed the need to enhance preparedness. …across the five mission

area outlined in the Goal—Prevention, Protection, Mitigation, Response and Recovery. Of

particular note was Hurricane Sandy..

The 2013 National Preparedness Report identified areas of national strength in the following

core capabilities:

Planning: The nation continues to expand upon the foundation for an integrated, all-hazards

planning architecture that considers routine emergencies and catastrophic events and

increasingly integrates whole community perspectives. At the federal level, interagency

partners made significant progress in finalizing National Plannig Frameworks and Federal

Interagency Operational Plans across preparedness mission areas.

61

L’approccio USA


Federal Emergency Management Agency Homeland sec National Preparedness Report

Operational Coordination: The National Incident Management System (NIMS) provides a

common doctrine for incident management, allowing the whole community to use shared

language and principles. Nationwide adoption of NIMS increased in 2012, with an

additional 900,000 completions of introductory NIMS and Incident Command System

courses.

Intelligence and Information Sharing: The national network of fusion centers and Joint

Terrorism Task Forces continued to mature. In addition, new national strategies and federal

interagency governance structures emerged to provide a consistent and unified

approach to guide the implementation of fusion center policies and standards.

Operational Communications: States and territories continue to develop State Emergency

Communications Plans. In addition, the nation began facilitating a transition to a

nationwide public safety broadband system for emergency communications and

continued development of Next Generation 9-1-1 systems.

OPPORTUNITIES FOR IMPROVEMENT

The nation has made important progress in the national areas for improvement identified in the

2012 NPR—Cybersecurity, Recovery-focused core capabilities and integration of

individuals with disabilities . Enhancing the resilience of infrastructure systems and

maturing the role of public-private partnerships are newly identified national areas for

improvement.

62

L’approccio USA

Agenda







Le prossime sfide

Q&A


63


HORIZON 2020 – WORK PROGRAMME 2014-2015 Secure societies – Protecting freedom and security of Europe and its citizens

14. Call - Disaster-resilience: safeguarding and securing society, including adapting to climate change

I. Crisis management

DRS-1-2015: Crisis management topic 1: Potential of current and new measures and technologies to respond to extreme weather and climate events .......

DRS-2-2014 Crisis management topic 2: Tools for detection, traceability, triage and individual monitoring of victims after a mass CBRN contamination and/or

exposure

DRS-3-2015: Crisis management topic 3: Demonstration activity on large scale disasters and crisis management and resilience of EU external assets against

major identified threats or causes of crisis

DRS-4- 2014: Crisis management topic 4: Feasibility study for strengthening capacity-building for health and security protection in case of large-scale

pandemics – Phase I Demo

DRS-5-2014: Crisis management topic 5: Situation awareness of Civil Protection decision-making solutions – preparing the ground for a Pre-commercial

Procurement (PCP)

DRS-6-2015: Crisis management topic 6: Addressing standardisation opportunities in support of increasing disaster resilience in Europe

DRS-7-2014: Crisis management topic 7: Crises and disaster resilience – operationalizing resilience concepts

DRS-8-2014: Crisis management topic 8: Trans-national co-operation among National Contact Points (NCPs) for Security ..

II. Disaster Resilience & Climate Change

DRS-9-2014/2015: Disaster Resilience & Climate Change topic 1: Science and innovation for adaptation to climate change: from assessing costs, risks and

opportunities to demonstration of options and practices

DRS-10-2015: Disaster Resilience & Climate Change topic 2: Natural Hazards: Towards risk reduction science and innovation plans at national and European

level .

DRS-11-2015: Disaster Resilience & Climate Change topic 3: Mitigating the impacts of climate change and natural hazards on cultural heritage sites, structures

and artefacts .

64

Nella call Secure Societies


HORIZON 2020 – WORK PROGRAMME 2014-2015 Secure societies – Protecting freedom and security of Europe and its citizens

III. Critical Infrastructure Protection

DRS-12-2015: Critical Infrastructure Protection topic 1: Critical Infrastructure “smart grid” protection and resilience under “smart meters” threats

DRS-13-2015: Critical Infrastructure Protection topic 2: Demonstration activity on tools for adapting building and infrastructure standards and design

methodologies in vulnerable locations in case of natural or man-originated catastrophes

DRS-14-2015: Critical Infrastructure Protection topic 3: Critical Infrastructure resilience indicator - analysis and development of methods for assessing resilience

DRS-15-2015: Critical Infrastructure Protection topic 4: Protecting potentially hazardous and sensitive sites/areas considering multi-sectorial dependencies

DRS-16-2014: Critical Infrastructure Protection topic 6: Improving the aviation security chain

DRS-17-2014/2015: Critical infrastructure protection topic 7: SME instrument topic: “Protection of urban soft targets and urban critical infrastructures”

IV. Communication technologies and interoperability

DRS-18-2015: Communication technologies and interoperability topic 1: interoperable next generation of broadband radio communication system for public

safety and security – Pre-commercial Procurement (PCP)

DRS-19-2014: Communication technologies and interoperability topic 2: Next generation emergency services

65



Call – Digital Security: Cybersecurity, Privacy and Trust

DS-1-2014: Privacy

DS-2-2014: Access Control

DS-6-2014: Risk management and assurance models

DS-3-2015: The role of ICT in Critical Infrastructure Protection

DS-4-2015: Secure Information Sharing

DS-5-2015: Trust eServices .

66



HORIZON 2020 – WORK PROGRAMME 2014-2015 Leadership in enabling and industrial technologies LEIT – Information and Communication

Technologies

ICT 32 – 2014: Cybersecurity, Trustworthy ICT

Specific Challenge: The fast evolution of ICT technology together with the uses that are made of it are exponentially

introducing new threats, vulnerabilities and risks. There is a growing consensus that the state-of-the-art

approach to secure ICT is becoming obsolete and, in addition, the walled-garden concept for security is

becoming invalid. The challenge is to find solutions guaranteeing end-to-end security that withstands progress for the

lifespan of the application it supports, regardless of improvements in attacker hardware or computational capabilities.

· Security-by-design for end-to-end security Security-by-design paradigms have to be developed and tested, to

providing end-to end security, across all hardware and software layers of an ICT system and application and business

services. Special attention has to be paid to the interaction of the layers and to a holistic approach. Platform

independent solutions are needed to provide context aware and self-adaptive security in highly connected, complex and

interoperable networks.

· Cryptography Research projects have to address the key challenges to guarantee the security for the lifespan of the

application it supports, to stay ahead of the evolution of the ICT environment and keep pace with the performance

increase of ICT technology.

Activities supporting the Cryptography Community To complement the research activities in cryptography support

and coordination actions should address the following aspects: …

Expected impact:…….. ·more resilient critical infrastructures and services………

67

Nella call Information and Communication Technologies

Agenda







Le prossime sfide

Q&A


68

Le prossime sfide

Primo ridurre le vulnerabilità degli SCADA

Infosecurity Europe - 5/02/2013

SCada vulnerabilties

Vulnerabilities in IT systems that underpin critical infrastructure like the energy grid, water

supply facilities, oil and gas systems and transportation have skyrocketed 600% since 2010,

NSS Labs reported – a concerning state of affairs that may add yet more wind to the public

rhetoric surrounding the potential for a major cyber-terrorist attack. The nation’s infrastructure,

largely administered by IT systems knows as SCADA, is firmly in the crosshairs of our enemies, public

officials have increasingly warned. Last autumn, US Defense Secretary Leon Panetta talked about an

impending “Cyber Pearl Harbor,” while newly confirmed US Secretary of State John Kerry

commented last month that cyber-attacks are the equivalent of modern-day nuclear weapons.

Meanwhile, Janet Napolitano, Secretary of the Department of Homeland Security, warned that

a “cyber- 9/11” is a very real possibility.

The comments have touched off discussions around the level of hyperbole they may represent, but NSS Labs’

Vulnerability Threat Report has put some numbers around the threat. The report revealed significant spikes in hardware

and software vulnerabilities, which overall rose a 26% in 2012, reversing five straight years of declines. SCADA-specific

vulnerabilities accounted for a relatively low total number of those (124 in 2012), but are still up the aforementioned

600%. That is likely due to the fact that many of the systems are aging and out of date.

69


Le prossime sfide

70

Secondo promuovere dei PLC e SCADA sicuri by design , non

inseguendo la moda senza allacciarsi le cinture di sicurezza

Da Wikipedia Trends in SCADA

There is a trend for PLC and HMI/SCADA software to be more "mix-and-match". In the mid 1990s, the typical DAQ

I/O manufacturer supplied equipment that communicated using proprietary protocols over a suitable-distance carrier like

RS-485….By 2000, most I/O makers offered completely open interfacing such as Modbus TCP over Ethernet

and IP. SCADA systems are coming in line with standard networking technologies. Ethernet and TCP/IP based

protocols are replacing the older proprietary standards. Although certain characteristics of frame-based network

communication technology (determinism, synchronization, protocol selection, environment suitability) have restricted the

adoption of Ethernet in a few specialized applications, the vast majority of markets have accepted Ethernet networks for

HMI/SCADA.

"Next generation" protocols such as OPC-UA, Wonderware's SuiteLink, GE Fanuc's Proficy and Rockwell

Automation's FactoryTalk, take advantage of XML, web services and other modern web technologies, making them

more easily IT supportable.

With the emergence of software as a service in the broader software industry, a few vendors have begun offering

application specific SCADA systems hosted on remote platforms over the Internet, for example, PumpView by

MultiTrode. This removes the need to install and commission systems at the end-user's facility and takes advantage of

security features already available in Internet technology, VPNs and SSL. Some concerns include security, Internet

connection reliability, and latency.

SCADA systems are becoming increasingly ubiquitous. Thin clients, web portals, and web based products are

gaining popularity with most major vendors. The increased convenience of end users viewing their processes

remotely introduces security considerations

http://en.wikipedia.org/wiki/RS-485



http://en.wikipedia.org/wiki/Ethernet

http://en.wikipedia.org/wiki/XML

http://en.wikipedia.org/wiki/Web_services

http://en.wikipedia.org/wiki/Information_technology

http://en.wikipedia.org/wiki/Software_as_a_service

http://en.wikipedia.org/wiki/Internet

http://en.wikipedia.org/wiki/VPN

http://en.wikipedia.org/wiki/Secure_Sockets_Layer

http://en.wikipedia.org/wiki/Thin_clients

http://en.wikipedia.org/wiki/Web_based

Le prossime sfide

Non ci sono solo i PLC e gli SCADA , il sistema è composto da

sottosistemi interconnessi e spesso indispensabili

GPS pioneer warns on network’s security

By Sam Jones and Carola Hoyos

http://on.ft.com/LXTZk3

The Global Positioning System helps power everything from in-car satnavs and smart bombs to

bank security and flight control, but its founder has warned that it is more vulnerable to sabotage or

disruption than ever before – and politicians and security chiefs are ignoring the risk.

Impairment of the system by hostile foreign governments, cyber criminals – or even regular

citizens – has become “a matter of national security”, according to Colonel Bradford Parkinson, who

is hailed as the architect of modern navigation.

Mr Parkinson, now a professor at Stanford University, created GPS in the 1970s on behalf of the

US military – who still control the system of satellites today.

“If we don’t watch out and we aren’t prepared,” then countries could be denied everything from

‘navigation’ to ‘precision weapon delivery’, Mr Parkinson warned. “We have to make it more robust ...

our cellphone towers are timed with GPS. If they lose that time, they lose sync and pretty soon

they don’t operate. Our power grid is synchronised with GPS [and] our banking system.” …..

Use of the system for civilian purposes has exploded with the development of mobile technologies.

71

http://on.ft.com/LXTZk3

Le prossime sfide

Sempre sul GPS

Though the US military has in place protection that could give its navigation systems a high-degree of

robustness, most civilian GPS systems have none, Mr Parkinson said. He also warned that the EU’s new €5bn

Galileo satellite system, created as an alternative to the US-controlled GPS, was equally at risk.

Richard Peckham, who helped develop the Galileo system, said that although its public service was encrypted,

making it more difficult to hack and more secure for users such as the emergency services and public utilities,

it was still vulnerable to jamming and interference.

The US, which initially opposed the European satellite constellation, has come around to supporting it, in part because

Washington has realised it needs a GPS back-up system that is neither Russian nor Chinese.

A report compiled for the UK government and released this week warned that “the conditions are present for a

catastrophic ‘Black Swan’ event” that would knock out one or more critical GPS systems. The report identified

thousands of instances of GPS jamming occurring annually.

Over the past few years South Korea has witnessed huge jamming attacks against its GPS systems, launched by

North Korea. The areas affected stretch 100km into South Korean territory, and include major airports and

shipping lanes. More than 1,000 ships and 250 planes had their travel disrupted by North Korean jamming attacks in

2012.

Seoul has responded by ordering the construction of a land-based antenna array over more than 40 sites to provide

a back-up system.

The UK has already begun to build a similar system, primarily to help shipping in the event of GPS disruption. The

stretch of water between Britain and France is one of the busiest shipping lanes in the world, but navigation throughout

it could be disrupted by a single portable jamming device.

19 febbraio 2014

72

Le prossime sfide

Promuovere consapevolezza e difesa . TENACE Un report dal mondo

accademico

73

Le prossime sfide

74

L’indice del report Tenace

Le prossime sfide

Definire internazionalmente le regole di cyberwar– Il manuale di Tallin

The Tallin Manual project brought together an independent group of over 20 most distinguished

international legal practitioners and scholars in the world in order to assess how the jus ad bellum (the

international law governing the use of force) and the jus in bello (law of armed conflict or international

humanitarian law) should be interpreted in the cyber context. Highly qualified technical experts

assisted this “International Group of Experts” in the drafting of the Manual. The project took three

years and started in 2008 following a wave of cyber-attacks on the Baltic state from inside Russia. ….

The Tallinn manual, described as “the most important document in the law of cyber-warfare. It will be

highly useful.” contains 95 “black letter rules”.

The manual suggests “proportionate counter-measures” against online attacks carried out by a state

are permitted. Rule 80 says that, in accordance with Geneva conventions, attacks on certain key

civilian sites are outlawed: “In order to avoid the release of dangerous forces and consequent severe

losses among the civilian population, particular care must be taken during cyber-attacks against

works an installations containing dangerous forces, namely dams, dykes and nuclear electrical

generating stations, as well as installations located in their vicinity.” Hospitals and medical

units are also protected as they would be under rules governing traditional warfare.

The handbook is not official Nato document or policy but an advisory manual. It is published by

Cambridge University Press.

The Tallinn Manual is available in both paper and electronic copies from Cambridge University

Press (© Cambridge University Press 2013).

75

http://www.cambridge.org/tallinnmanual

http://www.cambridge.org/tallinnmanual

Le prossime sfide

Iran, ucciso il capo della cyberwar

Le ipotesi: oppositori o servizi stranieri Dal 2007 uccisi 5 scienziati responsabile dei

programmi militari. I pasdaran: “A rischio la sicurezza nazionale” Iran, ucciso il capo della cyberwar

WASHINGTON - Due colpi al cuore. Il cadavere abbandonato in un’area boscosa a Karay, a nord ovest di Teheran. Una vittima eccellente:

Mojtaba Ahmadi, capo del dipartimento di cyberwar in Iran. La notizia apparsa sul sito Alborz, vicino ai pasdaran, è stata rilanciata dal

quotidiano Daily Telegraph. Ahmadi era uscito sabato scorso per recarsi al lavoro, ma in ufficio non c’è mai arrivato. Probabilmente è stato

intercettato dai killer e poi eliminato, quindi il suo corpo è stato abbandonato nelle campagne di Karay. (Guido Olimpio.3 ottobre 2013)

76

http://passaparola.corriere.it/community/notizie/Cyberwar.action

Le prossime sfide

77









• Q&A


Agenda

78


Q&A

79

Sarò lieto di rispondere alle vostre

domande

(spero di conoscere le risposte, ma non

contateci)









• Q&A


Agenda

80

Bibliografia

(GU n. 102 del 4-5-2011 ) DECRETO LEGISLATIVO 11 aprile 2011 , n. 61 Attuazione della Direttiva 2008/114/CE recante

l'individuazione e la designazione delle infrastrutture critiche europee e la valutazione della necessita' di migliorarne la

protezione.

EUROPEAN COMMISSION -HIGH REPRESENTATIVE OF THE EUROPEAN UNION FOR FOREIGN AFFAIRS AND

SECURITY POLICY -JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN

ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS Cybersecurity Strategy of the European

Union: An Open, Safe and Secure Cyberspac Brussels, 7.2.2013 JOIN(2013) 1 final

Presidenza del Consiglio dei Ministri- Sistema di Informazione per la sicurezza della Repubblica – Relazione sulla politica

dell’informazione per al sicurezza 2013-Relazione al Parlamento

Presidenza del Consiglio dei Ministri- Quadro strategico nazionale per la sicurezza dello spazio cibernetico -Dicembre

2013

Presidenza del Consiglio dei Ministri- Piano nazionale per la protezione cibernetica e la sicurezza informatica -Dicembre

2013

ENISA - Appropriate security measures for smart grids Guidelines to assess the sophistication of security measures

implementation [2012-12-06]

CPNI.NL -Security of legacy process control systems- moving towards secure process control systems-February ,15, 2012

TNO- RECIPE Good practices manual for CIP policies-2011

Dave Clemente-Cyber Security and Global Interdependence:What Is Critical? -Chatham House -February 2013

National Institute of Standards and Technology- Framework for Improving Critical Infrastructure Cybersecurity Version

1.0 February 12, 2014

U.S. Department of Homeland Security- National Preparedness Report -March 30, 2013

TENACE -Critical Infrastructure Protection:Threats, Attacks and Countermeasures- March 2014

81


Sitografia

82

•www.sicurezzanazionale.gov.it

•www.gazzettaufficiale.it

•www.gov.it

•www.cis.uniroma1.it

•www.chathamhouse.org/

•www.nist.gov/

•www.dhs.gov/

•www.fema.gov/

•www.enisa.europa.eu/

•http://en.wikipedia.org/

•www.ansa.it

•www.symantec.com

•www.ap.org

•www.washingtonpost.com

•www.infrastrutturecritiche.it

http://www.sicurezzanazionale.gov.it/

http://www.gazzettaufficiale.it/

http://www.gov.it/

http://www.cis.uniroma1.it/

http://www.chathamhouse.org/

http://www.nist.gov/

http://www.dhs.gov/

http://www.fema.gov/

http://www.enisa.europa.eu/

http://en.wikipedia.org/

http://www.ansa.it/

http://www.symantec.com/

http://www.ap.org/

http://www.washingtonpost.com/

http://www.infrastrutturecritiche.it/

[email protected]

[email protected]

Grazie...

Contatti

83

mailto:[email protected]

mailto:[email protected]

La protezione delle Infrastrutture Critiche e la cyber...

Documents

Transcript of La protezione delle Infrastrutture Critiche e la cyber...