Servizi di sicurezza e di rete (NSS) Perché l infrastruttura è importante

Transcript

1 Servizi di sicurezza e di rete (NSS) Perché l infrastruttura è importante Andrew Ballard Commercial Director Services & Support EMEA Rev 5058-CO900E

2 L AZIENDA CONNESSA Sedi generali Ottimizzata per una rapida creazione di valore Integrazione della catena di fornitura Collaborativa, basata sulla domanda Conforme e sostenibile PRODUTTIVITÀ SOSTENIBILITÀ Smart Grid AGILITÀ Clienti Catena di fornitura Centro di distribuzione RISERVATO Copyright 2013 Rockwell Automation, Inc. All Rights Reserved. 2

3 BIG DATA e ANALITICA DRIVER: 39% Supporto collaborativo 37% Decisione basata sui fatti 33% Metodi migliori per soddisfare il cliente Fonte: Aberdeen 2 Fonte: McKinsey & Company Exabyte La produzione genera più BIG DATA di qualsiasi altro settore. Il controllo in tempo reale in produzione genera Big Data Copyright 2013 Rockwell Automation, Inc. All Rights Reserved. 3

5 TRASFORMA INTEGRA DI CONTROLLO E INFORMAZIONI MEZZO Infrastruttura Ethernet comune sicura Infrastruttura aziendale Infrastruttura di automazione Un ambiente comune TRADIZIONALE: IT E AUTOMA SEPARATI FUTURO: INFRASTRUTTURA UNIFICATA Copyright 2013 Rockwell Automation, Inc. All Rights Reserved. 5

6 Convergenza di produzione e IT Creazione di sfide e opportunità Convergenza della tecnologia modello Innovazione di business del Innovazione modello di business Agilità aziendale Vantaggio competitivo Convergenza di rete Convergenza organizzativa Convergenza culturale Ampio impiego di Ethernet Aumento delle pressioni aziendali Copyright 2010 Rockwell Automation, Inc. Tutti i diritti riservati. Copyright 2013 Rockwell Automation, Inc. All Rights Reserved. 6

7 La minaccia alla sicurezza persistente e in evoluzione Internet è stato progettato per la sicurezza? La vostra rete a livello di impianto è stata progettata per la sicurezza? (se no, come può essere sicura?) Gli hacker violano reti in tutto il mondo, società grandi e piccole, governi, agenzie e sistemi di controllo industriali (ICS), voi siete al sicuro? La tecnologia che ci ha aiutato a crescere rappresenta anche un rischio nel mantenere le informazioni riservate della nostra azienda, dei nostri clienti e collaboratori al sicuro. I tradizionali controlli di sicurezza non sono più sufficienti Dobbiamo rispondere a queste minacce cibernetiche in rapida crescita che attaccano noi, i nostri clienti e i collaboratori nell ecosistema. Copyright 2013 Rockwell Automation, Inc. All Rights Reserved. 7

8 Sicurezza in produzione Infografica Fonte: 2013 DBIR Il settantadue per cento richiede mesi o anni per rilevarle Il delle violazioni richiede meno di un giorno per l esecuzione Il53% richiede mesi per Solo 1 su 10 trovata da una risorsa interna limitarle

9 Il costo della sicurezza informatica industriale* Costi per incidenti informatici delle organizzazioni statunitensi (nessun dato pubblicato per KSA): USD in perdite di ricavi USD in danni al marchio USD in penali per non conformità USD in perdita di produttività GIORNO Gli incidenti costano all industria statunitense 6 milioni di dollari al giorno o 20 miliardi di dollari l anno. La maturità della sicurezza informatica industriale degli Stati Uniti è circa di 5 anni in anticipo rispetto a Europa e Medio Oriente. Le aziende che adottano le migliori prassi di sicurezza informatica vedono il ritorno sull investimento 2½ volte meno la probabilità di subire un attacco informatico grave 3½ volte meno la probabilità di subire tempi di fermo non pianificati * Fonte: Seminario sulla progettazione di infrastrutture Ethernet industriali Belden. Greg Hale, editore e fondatore di ISSSource.com. Ottobre

10 Sicurezza informatica industriale La sicurezza informatica non è un prodotto. È uno stato. La sicurezza informatica si basa su molti fattori Collaborazione continua di clienti, fornitori e utilizzatori finali Utilizzo di controlli di sicurezza tecnici e non-tecnici Evoluzione di politiche, procedure, prassi e controlli tecnici Investimenti sostenuti e ampliati per identificare e limitare i rischi funzionali del sistema di controllo industriale e dell azienda. L utilizzo di tecnologie, politiche e procedure comprovate per RISCHIO = Minaccia Vulnerabilità Conseguenza 10

11 Sicurezza informatica industriale 4D Persone Processi Tecnologia Strutture e ambiente Protezione di persone, proprietà e informazioni proprietarie da azioni malevole o indesiderate 11

12 Infrastruttura industriale L impianto di oggi Realtà La nostra esperienza Server tradizionali Vasta base installata di reti proprietarie Prevalenza di convertitori di protocolli Limitazione nella segmentazione o nella sicurezza a livello di impianto Il singolo punto di guasto è un luogo comune Soluzioni di accesso remoto non sicure Limitazioni nell organizzazione carenza di politiche e procedure Ampia base installata di infrastrutture server obsolete e sistemi operativi precedenti Nessun processo per la protezione antivirus finale o di gestione patch con impatto negativo sulla produzione Espansione di server più applicazioni, maggiori requisiti dell attività, (un server per applicazione) Mancanza di risorse IT residenti nello stabilimento. Reti eterogenee

13 Infrastruttura industriale Preoccupazioni comuni dei clienti Inefficienza Vulnerabilità Inflessibilità Timori di blocco Scarsa competenza nel mercato (automazione/it) Reti evolute nel tempo (mai progettate) Alto MTTR (identificazione/risoluzione del problema) Elevate spese di capitale La sicurezza è secondaria Sistemi di controllo industriali obsoleti Interruzioni dell attività comunemente segnalati Standard di sicurezza industriale in evoluzione Dipendenza del progetto dall organizzazione IT Mancanza di architetture modulari Macchine indipendenti precedenti Troppi dati, mancanza di informazioni utilizzabili Ambienti di controllo eterogenei Nuove tecnologie (ad es. big data, mobile, cloud) in rapida evoluzione Protocolli di rete proprietari Ambiente IT industriale in rapida evoluzione

14 Servizi di sicurezza e di rete RA: Ciclo di vita applicato a servizi e soluzioni VALUTA PROGETTA- IMPLEMENTA- VALIDA GESTIONE 14

15 Servizi di sicurezza e di rete Cosa offriamo! Agilità Scelta Riduzione di spese di capitale, spese operative e costo totale di esercizio Riduzione del rischio e miglioramento dell efficienza globale delle apparecchiature (OEE) Riduzione della dipendenza del progetto dall organizzazione IT Lungo ciclo di vita del software rispetto a breve ciclo di vita dell hardware Modularità della rete, virtualizzazione economica, riduzione nell assistenza Sicurezza senza sacrificare la produttività Nuovi asset online in giorni anziché settimane Il vostro sistema di controllo, la vostra infrastruttura

16 Perché Rockwell Automation Servizi di sicurezza e di rete (NSS) Differenziazione Convergenza di competenze tecnologiche di sistemi di produzione (OT) e informativi (IT) Esperienza tra applicazioni di controllo industriale e reti Ampia partecipazione dei comitati normativi di settore (ISA, NIST, INL, DHS ) Possibilità di affrontare rischi di sicurezza senza sacrificare la produttività Offerta completa del servizio del ciclo di vita con possibilità di fornitura globale Servizi di rete e sicurezza Per il personale dell impianto, che deve proteggere l infrastruttura industriale, NSS è un gruppo di esperti di automazione e IT che valuta, realizza e supporta l infrastruttura di rete a livello di impianto. A differenza dei grandi fornitori e rivenditori IT, offriamo una soluzione completa e personalizzata che bilancia requisiti IT e obiettivi di produzione della vostra azienda. Perché l infrastruttura è importante

17 Esempio di competenze dei nostri membri del gruppo Principal Network & Security Consultant, Servizi di sicurezza e rete CISSP (Certified Information Systems Security Professional) CISA (Certified Information Systems Auditor) Lead auditor ISO 27001:2005 COBIT Foundation Certificate ITIL Foundation Certificate CCNP (CISCO Certified Networking Professional Security Certificate) CISCO IPS Specialist CISCO Firewall Specialist CISCO Information Security Specialist Altre certificazioni e riconoscimenti: CISCO SND: Securing Network Devices, CISCO SNRS: Securing Networks with Cisco Routers and Switches, CISCO SNPA: Securing Networks with PIX and ASA, CISCO CCNA: Certified Network Associate Infrastruttura dei sistemi CISCO e Ethical Hacking Instructor Esperienza di oltre 5 anni nei sistemi di controllo industriali Responsabilità del gruppo dell infrastruttura di sicurezza e di rete e Project Management: o Progettazione ad alto livello/progettazione a basso livello multisettoriale: IACS e infrastruttura critica, centro dati, provider servizi Internet, settori multi aziendali, Gestione del rischio, continuità dell attività e pianificazione disaster recovery, risposta agli incidenti (enti e diversi settori privati) Team Leader e Project Manager responsabile dell attuazione e dell audit ISO/IEC in più enti Team Leader responsabile dell applicazione del ciclo di vita alla sicurezza in più enti Strategie e sviluppi eterogenei complessi SIEM (Security Information and Event Management) per diversi settori pubblici/privati Offensive Penetration Tester e valutazioni di sicurezza per diversi settori pubblici/privati Sviluppo multifornitore: CISCO, JUNIPER, Checkpoint, HP, Hirschmann, Fortinet, F5, ArcSight, Palo Alto Networks, Tipping Point, RSA, Bluecoat ecc. 17

18 Azienda connessa Collaborazioni Rockwell Automation Cisco Panduit Microsoft VMWare Portfolio di Rockwell Automation e dei collaboratori Soluzioni di automazione, controllo di processo e informative Wireless, sicurezza, commutazione e instradamento Infrastruttura di rete con strati fisici Sistemi operativi, database/infrastruttura cloud e sicurezza delle applicazioni Virtualizzazione centro dati

19 I nostri servizi supportano gli standard; Converged Plant-wide Ethernet (CPwE) ERP, , Wide Area Network (WAN) Zona aziendale livelli 4 e 5 Gestione patch Servizi gateway remoto Immagine applicazione Server AV Server applicazioni FactoryTalk View Historian AssetCentre, Transaction Manager Piattaforma servizi FactoryTalk Rack Catalyst Patch 6500/4500 Gestione cavi Rame/Fibra Directory Server Catalyst 3750 Sicurezza/Audit Server dati accesso remoto Link Gbps per rilevamento guasti Firewall (attivo) Firewall (standby) Cisco ASA 5500 Stack di switch StackWise Zona demilitarizzata (DMZ) Firewall impianto: Segmentazione del traffico tra zone ACL, IPS e IDS Servizi VPN Server proxy terminale e portale Zona industriale Produzione e controllo livello 3 Servizi di rete Server DNS, DHCP, syslog Gestione rete e sicurezza Industrial Data Center (IDC) Servizi NSS Servizi di sicurezza Zone cella/area Livelli 0 2 Tester rame, fibra, e wireless Rilevamento rete Statistiche protocollo Servoazionamento Controllore HMI I/O Zona cella/area 1 Topologia a stella ridondante resilienza flex link I/O Rockwell Automation Stratix 8000 switch accesso livello 2 Controllore I/O HMI Servoazionamento Servoazionamento Zona cella/area 2 Topologia ad anello Resilient Ethernet Protocol (REP) Infrastruttura Strumenti comuni logica fisica HMI I/O Zona cella/area 3 Topologia stella/bus Controllore Dispositivo terminale Pannello di controllo Zona di rete 19

20 This image cannot currently be displayed. This image cannot currently be displayed. Grande enfasi sulla sicurezza Soluzioni di sicurezza Ethernet convergenti a livello di impianto Infrastruttura di rete IACS strutturata e robusta Progetto e sviluppo centro dati industriale Politica di sicurezza industriale La sicurezza è pervasiva, non è un componente da aggiungere a posteriori L infrastruttura di sicurezza utilizza l approccio di difesa in profondità Implementazione DMZ industriale Politica di accesso remoto con implementazione robusta e sicura Migliori prassi di progettazione DMZ standard Zona aziendale livelli 4-5 Zona demilitarizzata industriale (IDMZ) Server fisici o virtualizzati Gestione patch Servizi gateway remoto Immagine applicazione Server AV AAA Applicazione Server autenticazione, Active Directory (AD) AAA Rete Server accesso remoto Livello 3 Produzione Client FactoryTalk Client robusto Livello 2 Controllo di supervisione area Controllore robusto, comunicazione crittografata VLAN, segmentazione domini trust Unified Threat Management (UTM) Controllore robusto, sicurezza fisica VLAN Controllore Livello 1 Controllore Stato e monitoraggio rete Catalyst 3750 stack di switch StackWise WAN aziendale Cisco ASA 5500 Firewall (attivo) Catalyst 6500/4500 Controllori, I/O, servoazionamenti Controllore Firewall (standby) HMI I/O Servoazionamento Livello 0 Processo Firewall impianto: Segmentazione del traffico tra zone ACL, IPS e IDS Servizi VPN Portale e terminal server proxy Dispositivo di rete Resilienza Controllo accessi infrastruttura di rete e robustezza Sicurezza porte fisiche MCC Soft Starter 20

21 Convergenza di rete Quali sono le analogie e le differenze? 21

22 Requisiti a livello di impianto e azienda Politiche Analogie e differenze Focus Precedenza delle priorità Tipi di traffico dati Controllo accessi Conseguenze di un guasto dei dispositivi Protezione dalle minacce Aggiornamenti Rete di stabilimento In esercizio 24 ore al giorno, 7 giorni la settimana, elevata efficienza globale delle apparecchiature Disponibilità Integrità Riservatezza Convergenza della rete per dati, controllo, informazioni, sicurezza e motion Accesso fisico limitato Accesso dispositivi di rete semplice Fermo della produzione (USD/ora o peggio) Isolare la minaccia continuando la produzione Pianificati durante il tempo di fermo Rete aziendale Protezione della proprietà intellettuale e degli asset aziendali Riservatezza Integrità Disponibilità Convergenza della rete per dati, voce e video Autenticazione di rete e politiche di accesso rigorose Soluzioni temporanee o attesa Accesso bloccato per la minaccia rilevata Automatici durante l attività 22

23 Servizi di sicurezza e di rete: Ciclo di vita applicato a servizi e soluzioni VALUTA PROGETTA- IMPLEMENTA- VALIDA GESTIONE 23

24 Servizio di valutazione Processo di valutazione: Collaborazione con il cliente in sede Valutazione di tutti i livelli del modello OSI Livello fisico Livello logico Livello dell applicazione Valutazione della sicurezza della difesa in profondità Valutazione rispetto agli standard del settore e dell azienda Risultati Rapporto dettagliato dei riscontri Priorità ai problemi critici Soluzioni/suggerimenti Standard: basato sull osservazione e le interviste in sede Completo: determinato tecnicamente tramite strumenti in sede VALUTA PROGETTA IMPLEMENTA VALIDA GESTIONE

25 Servizio di progettazione Offerta di progettazione della rete Requisiti funzionali Distinta base Selezione dei cavi Connettività fisica hardware Topologia a livelli per accesso e distribuzione Schemi dei livelli fisici VLAN Schemi di indirizzamento Configurazione switch e rete Ridondanza Accesso remoto Sicurezza Standard: progettazione concettuale logica e fisica Completo: progettazione logica e fisica anche per porte e protocolli VALUTA- PROGETTA- IMPLEMENTA- VALIDA- GESTIONE

26 Servizi di implementazione Pacchetto di implementazione Approvvigionamento Configurazione Installazione Test Avvio Supporto transizione Progetti chiavi in mano: basati sul servizio di progettazione RA Soluzioni preconfigurate: Centro dati industriale, zona industriale demilitarizzata, custodie industriali per zone, accesso remoto sicuro Personalizzazione: in base al ruolo richiesto per i servizi di sicurezza e di rete (NSS) RA (materiali, manodopera, project management) Il valore della collaborazione Rockwell Automation VALUTA- PROGETTA- IMPLEMENTA- VALIDA- GESTIONE

27 Centro dati industriale Il vostro gateway efficiente per la virtualizzazione Collaborano con Rockwell Automation leader di settore per fornire i vantaggi della virtualizzazione con un infrastruttura modulare e preconfigurata. Soluzione chiavi in mano completa che offre: Hardware Software Assemblaggio in fabbrica Configurazione On-site Documentazione Supporto TechConnect SM Modello illustrato: E2000 Soluzione industriale standard preconfigurata per semplificare lo sviluppo e rendere più semplice, modulare e sostenibile la messa in servizio e la manutenzione. 27

28 Cos è la virtualizzazione? Tradizionalmente il sistema operativo e le sue applicazioni erano strettamente associate all hardware su cui erano installate La virtualizzazione spezza il collegamento tra il sistema operativo e l hardware fisico Consente di cambiare hardware senza sostituire il sistema operativo o le applicazioni Inoltre più istanze di un sistema operativo con applicazioni indipendenti sono eseguibili sullo stesso hardware Applicazione Applicazione Applicazione Sistema Hypervisor operativo

29 Consolidamento del server Più server fisici - Sotto-utilizzo - Richiedono manutenzione - Generano calore - Consumano energia Meno server fisici Utilizzo più efficiente Manutenzione più semplice Generano meno calore Consumano meno energia

30 IDC supporta il consolidamento del server Supporta oltre 150 macchine virtuali Fino a 3 server Cisco C240M3 con 128 GB di RAM 2 switch Cisco 3750X con 48 porte Storage EMC VNXe 3150 con dischi SAS 10K per 9 TB di spazio utilizzabile Supporta VMware HA, FT e la ridondanza delle applicazioni Spazio per espansione con altri 3 server, RAM aggiuntiva e 50 dischi supplementari Spazio per dispositivi di rete in rack

31 Affidabilità: Alta disponibilità Riavvio automatico di macchine virtuali in errore Resource Pool VMware ESXi VMware ESXi VMware ESXi Server funzionante Server funzionante in errore Server funzionante

32 Affidabilità: Tolleranza ai guasti VMware Esecuzione simultanea tra due server fisici Nessun riavvio Commutazione senza discontinuità VMware ESXi VMware ESXi VMware ESXi Server funzionante Server funzionante in errore Server funzionante

33 Tempo di attività e disponibilità in aumento Sito locale Sito di backup vsphere vsphere vsphere vsphere vsphere Disponibilità locale Alta disponibilità vsphere Tolleranza ai guasti vsphere vmotion e Storage vmotion Disaster Recovery vcenter Site Recovery Manager Include l immagine vsphere Protezione dati Recupero dati vsphere API di archiviazione per la protezione dei dati

34 Servizi di implementazione Il potere della collaborazione Le soluzioni di implementazione tipicamente includono: Progettazione Rockwell Automation Server e switch Cisco Cavi, cavi adattatori, gestione cavi, test, validazione e assemblaggio Panduit Archiviazione EMC² Software di virtualizzazione VMWare Supporto hardware e software Rockwell Automation VALUTA PROGETTA- IMPLEMENTA- VALIDA GESTIONE 34

35 Servizio di validazione Offerta di validazione Audit dell architettura corrente rispetto a quanto richiesto dagli enti di riferimento (ODVA, IEEE, ANSI, TIA, ISA-95) Audit del programma di sicurezza rispetto a quanto richiesto dagli enti di riferimento (NERC CIP, ISA-99, NIST , NIST ) I servizi includono tutte le reti Data Highway DeviceNet ControlNet Ethernet Fieldbus Standard: standard noto del settore Personalizzazione: standard specifico del cliente VALUTA PROGETTA- IMPLEMENTA- VALIDA GESTIONE

36 Supporto infrastruttura modulare TechConnect Servizi gestiti Servizi di supporto da remoto Il personale dell assistenza tecnica RA è certificato CCNP (Cisco Network Professional) CCNA (Cisco Network Associate) CCNA Security (Cisco Security) CCENT (Entry Network Technician) CCISP (Information Systems Security Professional) VMware Certified Associate VMware Certified Professional Amministrazione infrastruttura Monitoraggio dello stato generale degli asset Un numero da contattare per l assistenza Infrastruttura TechConnect Accesso remoto sicuro Valore VALUTA- PROGETTA- IMPLEMENTA- VALIDA- GESTIONE 36

37 Supporto completo Infrastruttura hardware e software Applicazioni Cliente Rockwell monitora e segnala Il cliente ha la proprietà e gestisce Sistema operativo Hypervisor Livello dispositivo Livello rete Rockwell Automation Rockwell monitora e gestisce sistema operativo, hypervisor, server fisici compresi rack, host, memoria, storage area network (SAN) e gruppi di continuità (UPS). Ambiente Cliente Il cliente sarà responsabile dello spazio fisico incluso il mantenimento delle corrette condizioni ambientali, della sicurezza e dell alimentazione

38 Per ulteriori informazioni PlantPAx: Informazioni Oil e Gas: Scaricate il manuale sulla sicurezza dei processi: Guardate la demo sui processi nell area espositiva Richiedete una demo PlantPax: Partecipate ai nostri eventi: events/automation-fair/overview.page

39 Follow ROKAutomation on Facebook & Twitter. Connect with us on LinkedIn. Rev 5058-CO900F