Nuova normativa europea sulle macchine - Cybersecurity per le macchine con Endian

La nuova normativa europea sulle macchine mira a prevenire i rischi derivanti dalla digitalizzazione e dall’uso dell’intelligenza artificiale. Si applica alle aziende che fabbricano, commercializzano o mettono in servizio macchine nell’UE. Questo articolo descrive come garantire la sicurezza informatica delle macchine con le soluzioni Endian.

La digitalizzazione ha reso l’IT (Information Technology) e l’OT (Operational Technology) inseparabili. Le macchine e i flussi di materiali sono ormai in gran parte controllati da software, e le soluzioni digitali sono indispensabili, in particolare per il monitoraggio e la manutenzione. Tuttavia, questa interconnessione comporta anche rischi: l’accessibilità dell’OT espone sempre più le macchine e i sistemi produttivi ad attacchi informatici. Un attacco riuscito può avere conseguenze gravi, dai fermi produttivi ai danni ambientali, fino a mettere in pericolo vite umane.

L’UE ha quindi deciso di rafforzare le norme di sicurezza per le macchine, includendo anche i rischi legati alle tecnologie digitali con una nuova normativa europea. A differenza della precedente Direttiva macchine 2006/42/CE, per la prima volta i requisiti di cybersecurity sono integrati nella normativa. La normativa diventerà vincolante dal 20 gennaio 2027 e non necessita di recepimento nelle leggi nazionali.

Più aziende coinvolte

La nuova normativa europea sulle macchine si applica non solo ai produttori e ai rivenditori di macchine, ma anche agli operatori che apportano modifiche significative alle macchine. In questi casi, gli utenti diventano produttori ai sensi della normativa, con tutti gli obblighi che ne derivano. Gli operatori di macchine devono quindi verificare con attenzione come sono effettivamente coinvolti. Le società di consulenza possono offrire un supporto prezioso in questo processo.

Sotto la voce “Protezione contro la corruzione”, la normativa definisce i principali requisiti di cybersecurity che le aziende coinvolte devono soddisfare entro la scadenza prevista.

Proteggere le macchine segmentando le reti

Le macchine e i loro prodotti associati devono essere progettati in modo che non si verifichino situazioni pericolose, anche quando dispositivi esterni vengono connessi, indipendentemente dal fatto che siano sistemi direttamente collegati o dispositivi di manutenzione remota.

Questa sezione della normativa affronta una delle principali problematiche della digitalizzazione in termini di cybersecurity: non appena le macchine e i sistemi vengono connessi in rete, diventano accessibili agli attaccanti attraverso le relative interfacce. Se gli attaccanti riuscissero ad infiltrare malware, questi potrebbero diffondersi senza controllo in un ambiente interconnesso, causando danni significativi.

La segmentazione della rete è quindi uno dei principi fondamentali per la sicurezza informatica in un contesto digitalizzato. Si tratta di individuare aree di rete con esigenze di protezione simili e separarle tra loro mediante gateway di sicurezza IoT. In questo modo, gli amministratori possono controllare il traffico dati in base a regole dettagliate. A seconda delle esigenze, una singola macchina o una sua parte può formare un segmento di rete indipendente.

Utilizzo di una sicurezza informatica multilivello

Endian ha sviluppato una piattaforma di cybersecurity, la Endian Secure Digital Platform, che consente di connettere e proteggere le reti IT e OT. Parte di questa piattaforma sono i potenti gateway di sicurezza IoT per aziende di ogni dimensione, ideali anche per la segmentazione della rete. I gateway della serie Endian 4i sono ottimizzati per l’uso in ambienti industriali e dotati di numerosi strumenti di sicurezza IT.

Un firewall impedisce al malware di raggiungere una macchina, sia che provenga direttamente da Internet sia che venga introdotto tramite un dispositivo compromesso. Se un attaccante riesce a bypassare il firewall, ad esempio con un attacco interno, il sistema Intrusion Prevention/Detection System (IPS/IDS) integrato interviene rilevando le minacce in tempo reale e avviando automaticamente le contromisure adeguate. L’analisi e il filtraggio Deep Packet Inspection (DPI) consentono inoltre di stabilire con quali server e applicazioni la macchina connessa può comunicare.

Accesso remoto sicuro

Oltre alla diffusione di malware tramite dispositivi interconnessi, anche l’accesso remoto rappresenta un rischio significativo per la sicurezza. Non appena si apre una porta per la manutenzione remota, si crea una potenziale superficie di attacco. I criminali informatici potrebbero sfruttare le vulnerabilità per infiltrare malware o rubare e modificare dati. La normativa europea sulle macchine impone quindi la protezione dei rischi associati alla manutenzione remota.

Una rete privata virtuale (VPN) preinstallata sui gateway Endian 4i offre la protezione necessaria. La VPN cripta la comunicazione e la instrada attraverso un tunnel sicuro, impedendo a terzi non autorizzati di accedere o manipolare i dati crittografati.

Definire ruoli e autorizzazioni

Oltre alle misure di protezione tecnica, l'assegnazione granulare di diritti e autorizzazioni è fondamentale per garantire la sicurezza del software e delle macchine durante la manutenzione remota. Con l'Endian Secure Digital Platform, la gestione di ruoli e diritti viene controllata tramite lo Switchboard, lo strumento di gestione centrale della piattaforma. Un'interfaccia utente centrale consente di definire con precisione chi può accedere al dispositivo e quali azioni può eseguire. Queste autorizzazioni possono essere modificate o revocate in qualsiasi momento, ad esempio se un dipendente lascia l'azienda o se un altro fornitore di servizi viene incaricato della manutenzione della macchina. È anche possibile attivare l'autenticazione a due fattori per garantire che solo le persone autorizzate possano connettersi. Per le macchine particolarmente critiche, si può inoltre impostare un processo di approvazione in cui la manutenzione remota deve essere esplicitamente richiesta e autorizzata.

Mantenere aggiornato il software di sicurezza

Per prevenire vulnerabilità involontarie, tutti i software devono essere sempre aggiornati. Il Regolamento Macchine dell’UE prevede inoltre che i software critici per la sicurezza siano disponibili per l'intero ciclo di vita della macchina. Anche in questo caso, l'Endian Secure Digital Platform offre la soluzione ideale: gli aggiornamenti possono essere gestiti tramite lo Switchboard, garantendo che tutti i gateway connessi siano aggiornati contemporaneamente. Questo assicura che il software di sicurezza sia sempre aggiornato e che eventuali vulnerabilità vengano rapidamente risolte.

Registrare gli accessi

Il Regolamento Macchine dell’UE impone inoltre la conservazione di prove per ogni intervento effettuato sul software. Questo aspetto è particolarmente rilevante perché diverse parti possono avere necessità di accedere alle macchine. Da un lato, l’operatore della macchina potrebbe voler leggere i dati, dall'altro, il produttore della macchina deve effettuare manutenzione e aggiornamenti. Anche la connessione con i sistemi dei fornitori di materiali è una possibilità. Questo requisito può essere soddisfatto con l'Endian Secure Digital Platform, che consente di registrare ogni accesso e di integrarlo in un sistema SIEM per un'analisi e un monitoraggio completo della sicurezza. È inoltre possibile registrare le sessioni di manutenzione remota tramite video. Per rispettare il GDPR, l’utente deve fornire il proprio consenso prima della registrazione. La registrazione degli accessi può anche essere utile per chiarire eventuali responsabilità in caso di problemi successivi all'intervento.

Mantenere il controllo

Le aziende che vogliono proteggere le proprie macchine in modo sostenibile e a lungo termine devono avere una chiara visione dei dispositivi presenti nelle loro reti. Questo compito non è semplice, poiché la trasformazione digitale sta aumentando costantemente il numero di dispositivi connessi, rendendo il monitoraggio una sfida per la sicurezza IT. Per questo motivo, Endian ha introdotto una funzionalità nella Endian Secure Digital Platform chiamata “Network Awareness”. Gli amministratori possono rilevare in qualsiasi momento traffico dati anomalo nella rete ed eventualmente intervenire.