Service Manager Operations. Emerson Process Management

Transcript

1 Ronca Vito Service Manager Operations Emerson Process Management Italia

2 Emerson e Cyber Security Nel settore industria ed energia, uno dei punti critici da un punto di vista CybSec è il sistema di controllo ed automazione degli impianti EPM fornisce sistemi per oltre 2 miliardi di dollari all anno in tutto il mondo, ha specializzato una competenza specifica in materia di CybSec, ed ha costituito un proprio Cyber Emergency Response Team Focus: Centrali Elettriche, grazie al driver del Nucleare, con oltre 1 TWe in tutto il mondo Grandi impianti strategici: raffinerie, upstream, chimici, Sistemi di trattamento e gestione acque Final Control System & Solutions 25% 25% $8.6B 23% 27% Flow Measurement & Analytical Investimenti in Tecnologia e sviluppo (2013): $808 milioni in Ingegneria e sviluppo 9066 personale nella ricerca e sviluppo 32% di nuovi prodotti / totale vendita 1646 nuovi brevetti acquisiti nel 2013

3 Minaccia Cyber Security Umana Naturale Dolosa Non dolosa Accidentale Disastro Dall esterno come crackers or hackers Dall interno come personale scontento/ insoddisfatto Dipendenti e personale esterno Esplosioni, Guasti Alluvioni, Incendi terremoti, Uragani

4 Aree di interesse Industrial Control Systems Cyber Emergency Response Team (ICS-CERT)

5 Le 10 principali sottovalutazioni sulla Cyber Security nell automazione Si assume che qualcun altro (come il reparto IT) si stia occupando della sicurezza del sistema di controllo di processo. Su incidenti legati alla Cyber Security non viene effettuata una analisi approfondita delle cause. Mancanza di Politiche e procedure di gestione delle sicurezze del sistema di controllo. Si assume che le soluzioni di sicurezza dell IT possono essere applicabili su un sistema di controllo di processo. Affrontare le soluzioni di cyber security in maniera frammentata.

6 Le 10 principali sottovalutazioni sulla Cyber Security nell automazione Si dimenticano gli aspetti umani della cyber security. Una buona politica di sicurezza parte assicurandosi che tutto il personale, la direzione e le società che lavorano negli impianti comprendano e seguano sempre le appropriate pratiche 24/7/365. Progettare la rete del sistema di controllo senza considerare architetture di difesa sufficientemente approfondite. Una gestione povera degli aggiornamenti (Patching) per applicazioni sui sistemi di controllo di processo. Molte aziende hanno dei sistemi automatici per il patching dei sistemi gestionali ma dimenticano l importanza delle applicazioni software per la gestione dei sistemi di controllo. Non vengono usati stumenti per individuare attività non autorizzate oppure non ci sono procedure che assicurano che tali strumenti vengano utilizzati regolarmente. Spesso ci sono molti Firewall negli impianti che registrano informazioni che non vengono mai controllate. E come installare un antifurto e non attivarlo. Permettere un accesso remoto al sistema di controllo senza creare ed applicare un sistema di controllo di accessi appropriato. *By Eric Byres. Originally published by ChemicalProcessing.com.

7 Cyber Security Management Quanto è sicuro il sistema di controllo? Dove siamo vulnerabili per un attacco informatico? Quanto è noto cosa fare? Quali fasi devono essere seguite per prevenire eventuali attcchi informatici? Information Exchange Cyber Assessment Security Solutions Periodic Audits Assess Solve Improve Analisi e valutazioni Cyber Security Basic Cyber Assessment & Report Advanced Cyber Assessment & Report Cyber Security Remediation Analysis & Recommendations Soluzioni per incremento del livello di sicurezza Automated Patch Management Disaster Recovery / Backup & Recovery System Health Monitoring Smart Firewalls w/ Intrusion Detection Spare Parts Management Smart Switches and Controller Firewalls Guardian Support Evergreen System Upgrades Remediation Services

8 Required Security Features Account Management Firewalls Anti-virus Software O/S Security Patching Backup/Restore Management Configuration Management Security Incident Handling Product Development Project Implementation Solution Maintenance

9 Required Security Features Trained Staff Security Contact Segmented Network Design Risk Assessment and Identification of Sensitive Data Access restrictions on external interfaces Hardening of Workstations, Networks, Databases, comms, etc. Installation of Anti-virus Software and Security Patches Setup of Accounts and Passwords Product Development Project Implementation Solution Maintenance

10 Required Security Features Keep current with patches, hotfixes, and Anti-virus updates Perform Backups and Restores Maintain Firewall Rules Maintain Account and Password Security Perform network scans to detect unwanted devices/workstations Verify that security has not degraded Monitor and manage security incidents Security Incident Handling Product Development Project Implementation Solution Maintenance

11 Layered Network Security Internet Mantenere una separazione tra le reti d impianto La sicurezza per sistemi critici è creata da: Mantenimento dei livelli o aree di sicurezza Restrizioni di accesso tra le aree Stretti controlli di accesso ad utenti e applicazioni Le soluzioni di Cyber security Dovrebbero essere concentrate per proteggere le apparecchiature nell area del controllo di processo.

12 Summary Non è possibile rimuovere tutte le incertezze e i rischi in ogni impianto ma applicando gli strumenti corretti è possibile ridurre i rischi rimanenti. Bisogna mitigare i rischi e quindi assicurarsi che tutto il personale operante segua al meglio le indicazioni e procedure definite per proteggere al meglio gli investimenti e la produttività del sistema di controllo. Verificare costantemente tutto il processo per assicurarsi che ogniuno stia facendo la propria parte anche nelle piccole azioni necessarie.

13 Domande?

14