Le recenti modifiche normative fanno sì che i CISO debbano ora assumersi la responsabilità del rischio di cybersecurity aziendale. Per le organizzazioni industriali, ciò comprende il rischio derivante dai dispositivi e dalle reti OT . Con le linee di demarcazione tra reti IT, IoT e OT più labili che mai, una supervisione completa del rischio è attesa da tempo. Il passaggio a un approccio aziendale al rischio è positivo, ma solleva interrogativi su chi debba occuparsi dell'acquisto, dell'implementazione e della manutenzione delle soluzioni cybersecurity per ambienti cyber-fisici poco familiari (per i reparti IT). E in questa fase del cambiamento, le risposte non sono chiare.

La norma IEC62443 Parte 2-1 delinea i requisiti per la creazione di un sistema di gestione cybersecurity per l'automazione industriale e i sistemi di controllo. La guida è indispensabile, ma spetta a ogni organizzazione identificare le persone giuste per implementarla. Ad esempio, spesso non esistono politiche cybersecurity per ingegneri OT , tecnici, operatori di processo e operatori di sala controllo. Chi scriverà le politiche e chi formerà le persone interessate? Allo stesso modo, chi creerà i piani di risposta agli incidenti, che in genere possono essere molto diversi nel settore OT a causa delle conseguenze sulla sicurezza fisica?

I CISO possono essere responsabili del rischio aziendale, ma di solito conoscono abbastanza la sicurezza OT da sapere che non è di loro competenza. Poiché hanno un'ampia influenza sulle decisioni sia tecniche che aziendali, sono i più adatti a fungere da sponsor esecutivi del progetto. Ciò significa fornire una direzione strategica, assicurare le risorse necessarie, gestire le escalation e comunicare i progressi ai dirigenti e al consiglio di amministrazione. Soprattutto, devono reclutare le persone giuste per valutare le soluzioni di sicurezza OT , implementarle e fornire una supervisione continua.

Il team di sicurezza OT ideale comprende direttori di stabilimento, ingegneri e operatori che conoscono a fondo i sistemi di controllo industriale, anche se potrebbero essere insicuri o scettici nei confronti della cybersecurity. Per quanto riguarda la cybersecurity, dovrete reclutare responsabili della sicurezza e delle reti, analisti e amministratori, anche se molti di loro potrebbero non aver mai messo piede in un impianto. Per le aziende soggette a normative sulla cybersecurity , è necessario includere un esperto di conformità per garantire che le soluzioni installate coprano i requisiti chiave, compresa la reportistica.  

Se manca uno di questi ruoli, si può comunque prendere una decisione d'acquisto informata, ma è probabile che le sfide interne emergano lungo la strada e causino ritardi. Ad esempio, se nessuno del team di networking è presente al tavolo, quando si cerca di implementare il monitoraggio del traffico SPAN, potrebbero aver bisogno di ulteriore persuasione o avere un'idea completamente diversa che vi costringerà a tornare al tavolo da disegno. Se i principali stakeholder OT non vengono invitati a partecipare alla decisione di acquisto della tecnologia, è probabile che si verifichino ritardi o che venga impedita l'installazione totale. 

Tra questi membri del team è necessario individuare il leader giusto per supervisionare i progetti quotidiani. Introdurre la sicurezza OT in officina significa introdurre comportamenti molto diversi. Ci saranno nuovi criteri, configurazioni e controlli, come una gestione più rigorosa degli accessi, che cambieranno il modo in cui gli operatori svolgono il loro lavoro quotidiano. Molti di questi cambiamenti non saranno popolari. Questa persona è in grado di sostenere i cambiamenti come non solo necessari, ma anche nell'interesse di tutti? In qualità di sponsor esecutivo, anche il CISO guiderà questa carica, ma voi volete un interlocutore fidato che risponda a domande dettagliate e vinca su chi è contrario. Quando il fornitore di sicurezza o l'integratore di sistema si presenteranno, vorrete che i dipendenti istruiti sappiano cosa aspettarsi e siano pronti.

La post-implementazione richiede una cooperazione interfunzionale ancora maggiore. Per consentire la gestione del rischio aziendale, i dati provenienti dall'ambiente OT devono essere inseriti nel sistema di gestione degli eventi di sicurezza (SIEM) o altrimenti integrati con la piattaforma di sicurezza IT esistente, in modo che il centro operativo di sicurezza (SOC) o il fornitore di servizi di sicurezza gestiti (MSSP) possano identificare i problemi. È fondamentale che gli esperti OT (idealmente esperti disicurezza OT ) continuino a educare questi gruppi sulla sensibilità delle reti OT e sul motivo per cui gli sforzi di bonifica devono coinvolgere personale che conosca i processi industriali e la rete.  

 In breve, affinché il programma abbia successo, è necessario che decine di persone all'interno dell'organizzazione si occupino congiuntamente dellacybersecurity OT . Nozomi Networks ha implementato soluzioni di sicurezza OT in migliaia di ambienti in tutti i settori industriali e delle infrastrutture critiche. Abbiamo visto progetti svolgersi senza problemi o bloccarsi a ogni passo. Nell'ambito di ogni avvio di implementazione, esaminiamo le sfide culturali comuni in OT e offriamo modi per superarle che sappiamo funzionare.