La cybersecurity ferroviaria è un viaggio, non un prodotto

Apprendimenti dalle collaborazioni di Wabtec in materia di cybersecurity

Introduzione: molto più che mandati di sicurezza informatica

Molto prima che la TSA emanasse la direttiva sulla sicurezza 1580/82-2022-01 per contribuire a ridurre i rischi posti dalle minacce alla sicurezza informatica sulle operazioni ferroviarie critiche, gli operatori ferroviari si sono uniti in modo proattivo per formare il Rail Information Security Committee (RISC) e affrontare i problemi di sicurezza informatica come settore.

Tuttavia, anche con questo lodevole vantaggio, la sicurezza informatica ferroviaria rimane un lavoro in corso poiché gli operatori e i loro partner dell'ecosistema sono alle prese con le complessità legate alla necessità di rendere una vasta infrastruttura, principalmente legacy, più resiliente e sicura.

Gran parte della sfida, che il settore ferroviario condivide con gli attori industriali in generale, è che l'implementazione di misure di sicurezza informatica su larga scala non è solo un problema di tecnologia dell'informazione (IT), ma anche di tecnologia operativa (OT). Non esiste un unico fornitore di software di sicurezza con un piano, una patch o una soluzione per l'ampio mix di risorse fisiche e digitali che compongono le flotte ferroviarie odierne.

Non esiste una soluzione miracolosa.

Lo sviluppo e l'evoluzione del giusto set di soluzioni di sicurezza informatica per il settore ferroviario richiederà tempo e collaborazione tra vettori e fornitori che conoscono meglio il settore e un approccio radicato non solo nell'acume del software, ma in una profonda comprensione della tecnologia operativa, alcune delle quali sono precedenti a Internet.

Guida introduttiva

Una parte importante del raggiungimento di questo compito sarà capire che le grandi correzioni richiedono tempo e devono essere implementate con grande cura. Sebbene sia allettante pensare che soluzioni di sicurezza immediate possano rendere le operazioni ferroviarie più «conformi», le soluzioni a breve termine per le sfide con implicazioni sulla sicurezza a lungo termine non basteranno.

Una delle principali implicazioni delle soluzioni bolt-on è che sono difficili da gestire e mantenere, il che le rende più costose da utilizzare nel tempo. Il modo più efficiente per procedere è riflettere a fondo sul problema e progettare soluzioni che resistano alla prova della sicurezza informatica nel tempo.

«Le ferrovie hanno molto da fare quando si tratta di sicurezza informatica», afferma Susan Peterson Sturm, Senior Director, Cyber Product and Strategic Partnerships di Wabtec. «La TSA impone funzionalità di sicurezza non organiche rispetto alle risorse fisiche e digitali originali delle proprie reti e lo stack di sicurezza che sta emergendo ora per le aziende non è adatto alla realtà e ai rigori delle operazioni ferroviarie. Detto questo, il settore ferroviario è esperto nel rimboccarsi le maniche e nel collaborare con i suoi partner per affrontare grandi sfide. Basta guardare cosa abbiamo realizzato insieme nello sviluppo del Positive Train Control (PTC)».

Stabilire standard, stabilire quadri

Un catalizzatore che contribuisce a stimolare la riflessione e lo sviluppo di soluzioni di sicurezza informatica nel settore ferroviario è la definizione di standard e framework adatti a soddisfare i requisiti normativi. Questi standard e framework forniscono agli operatori ferroviari e ai loro partner ecosistemici un linguaggio e un punto di riferimento comuni per la pianificazione e l'esecuzione delle misure di sicurezza informatica.

Immagine

Ad esempio, il National Institute of Standards and Technology Cyber Security Framework (NIST CSF), un insieme volontario di linee guida, standard e best practice, è strutturato attorno a sei funzioni fondamentali di sicurezza informatica: Identify, Protect, Detect, Respond, Recover e Govern. Questo framework è emerso come una guida utile per le ferrovie per migliorare il loro livello di sicurezza informatica.

La serie di standard ISA/IEC 62443 è un'altra risorsa che influenza lo sviluppo di soluzioni di cybersecurity nel settore ferroviario. In particolare, questi standard definiscono requisiti e processi per l'implementazione e la manutenzione di sistemi di automazione e controllo industriali (IACS) sicuri elettronicamente. Wabtec ha lavorato rapidamente per ottenere la certificazione IEC 62443-4-1 per i suoi processi sicuri di sviluppo dei prodotti, un cenno ai suoi clienti che anche lei è impegnata a rispettare i più alti standard di sicurezza informatica, sia nel suo approccio che nella fornitura di nuovi prodotti.

L'azienda partecipa inoltre attivamente a gruppi di standardizzazione del settore come CENELEC TS50701, IEC 63452 e UNIFE per supportare la sicurezza informatica nell'innovazione ferroviaria digitale. Questo sforzo collaborativo consente ai prodotti Wabtec di soddisfare i requisiti del settore in evoluzione.

«Riconosciamo che la conformità a uno standard non è sinonimo di sicurezza per un'organizzazione», osserva Peterson. «Tuttavia, l'aderenza agli standard e ai framework aiuta ed è importante, perché un approccio ad hoc alla sicurezza informatica semplicemente non è scalabile.

«Oggi, il settore ferroviario è in fase di adempimento dei propri mandati in materia di sicurezza informatica. Siamo profondamente coinvolti in questo processo, ascoltando i nostri clienti e aderendo agli standard e ai framework del settore, che migliorerà le possibilità di tutti di rendere la fase di esecuzione, dallo sviluppo di un nuovo software all'implementazione, molto più forte ed efficace».

Progettazione in entrata, progettazione in uscita

Potenziando un approccio basato sugli standard, Wabtec sostiene una serie di principi di progettazione e ingegneria per perfezionare ulteriormente il modo in cui il settore sviluppa soluzioni per mantenere le promesse di sicurezza informatica. Il primo e più importante tra questi principi è «Design in, Design Out».

Immagine

«Design In» si basa su pratiche come Secure by Demand e Cyber Informed Engineering per «fare della sicurezza una considerazione fondamentale sin dalle prime fasi del ciclo di vita dello sviluppo del prodotto» (Fonte: CISA). Quando gli operatori ferroviari coinvolgono produttori e fornitori di servizi di risorse fisiche informatiche nelle prime fasi del ciclo di sviluppo dei prodotti, è più probabile che la sicurezza possa essere mantenuta per periodi più lunghi a costi inferiori in tutte le operazioni ferroviarie.

In ultima analisi, «Design In» si basa sull'intenzionalità, ossia sull'integrazione della sicurezza informatica nei prodotti sin dall'inizio.

«Design Out» è anche sinonimo di intenzionalità, ma si concentra invece sulla riduzione dei tempi, dei costi e degli oneri legati alla manutenzione delle soluzioni di sicurezza una volta che sono operative. L'obiettivo di Design Out è ridurre la sicurezza e la complessità operativa, in modo che la soluzione venga effettivamente utilizzata e utilizzata correttamente e sia anche adeguatamente mantenuta. (Per ulteriori informazioni sui principi Design In e Design Out, consulta il white paper).

È necessario un programma

Per quanto le idee «Design In» e «Design Out» debbano e svolgeranno un ruolo di primo piano nel futuro della sicurezza informatica nel settore ferroviario, il settore non può semplicemente avanzare rapidamente verso una maggiore resilienza attraverso l'innovazione del software. Diventare «resilienti» richiederà un approccio estremamente completo, che tenga pienamente conto delle interdipendenze degli asset ferroviari tradizionali.

Ad esempio, un operatore ferroviario ha scoperto che la modifica involontaria delle password Secure Shell (SSH) sui controller violava gli script usati di rado, provocando interruzioni intermittenti e significative dell'interblocco per mesi. Tali conseguenze non intenzionali sono un chiaro promemoria dell'interconnessione delle operazioni ferroviarie e del motivo per cui un'etica di «procedere con cautela» nella sicurezza informatica, basata su una pianificazione approfondita e implementazioni graduali, sarà la soluzione migliore per le ferrovie e i loro clienti.

Wabtec ha adottato tale approccio, concentrandosi innanzitutto sullo sviluppo di un «programma» di sicurezza informatica rispetto alle «soluzioni» di cybersecurity (anche se tali soluzioni sono imminenti). Nello sviluppo del suo programma, Wabtec si è concentrata sullo sviluppo di un team di cybersecurity ferroviario all'avanguardia, con una profonda esperienza nell'automazione ferroviaria e industriale, guidato da Larry Lowe, Chief Product Security Officer. L'azienda ha inoltre studiato i framework di sicurezza informatica industriale e ottenuto certificazioni chiave, basandosi su un approccio basato su standard per rafforzare le difese informatiche del settore ferroviario.

Soprattutto, Wabtec ha ascoltato i propri clienti, impegnandosi nella collaborazione come principio chiave per la risoluzione dei problemi di sicurezza informatica. Principali tra le sue scoperte:

1. Raggiungere la sicurezza informatica delle operazioni ferroviarie richiederà un villaggio. Questo non è un lavoro per un singolo fornitore. Pertanto, i corrieri dovrebbero cercare di collaborare con fornitori di soluzioni che sappiano come collaborare e vincere in questo settore.
2. La sicurezza informatica dovrebbe offrire vantaggi operativi, non solo protezione. Nel settore ferroviario, la sicurezza informatica non è un componente aggiuntivo, ma consente operazioni più sicure, affidabili ed efficienti. Dalla riduzione al minimo dei tempi di inattività non pianificati alla semplificazione dell'accesso remoto sicuro e alla riduzione degli interventi manuali, gli investimenti intelligenti in cybersecurity possono aumentare la disponibilità della rete, accelerare i tempi di ripristino e migliorare le prestazioni complessive del sistema.
3. Adotta i sistemi aperti. Quando si tratta di soluzioni di sicurezza informatica, gli operatori ferroviari vogliono evitare il vincolo dei fornitori. Gli approcci a sistemi aperti, quelli che saranno in grado di integrare le migliori nuove scoperte, indipendentemente da chi le sviluppa, manterranno gli operatori sulla strada della sicurezza informatica più efficiente.
4. I principi Design In e Design Out per la sicurezza informatica portano i problemi di resilienza e le competenze fin dall'inizio dello sviluppo della soluzione, a cui appartengono, riconoscendo al contempo l'importanza del tempo e degli sforzi necessari per supportare queste soluzioni una volta implementate.
5. L'eredità è importante. Le reti ferroviarie odierne sono costituite da molte risorse, vecchie e nuove. Renderle più resilienti non richiederà solo l'innovazione informatica; richiederà uno straordinario QI tecnologico operativo. Collaborare con partner che comprendono gli asset esistenti e le loro numerose interdipendenze è fondamentale per il successo.
6. Adotta un approccio olistico e basato su standard alla sicurezza informatica. Nessuno dovrebbe dover reinventare la ruota della sicurezza informatica. Sfruttare le migliori pratiche consolidate porterà a risultati più rapidi e a soluzioni più scalabili.

###

Wabtec e Mandiant, una società di Google specializzata in servizi di sicurezza informatica, hanno collaborato alla stesura di un nuovo white paper, «Innovating in Rail Cybersecurity: Planning and Design Perspectives to Enhance Operational Efficiencies». Scaricate la vostra copia qui.