Security e IoT: la visione di Palo Alto Networks

In occasione di AWS Summit 2023 che si è tenuto a Milano, abbiamo avuto l’occasione di incontrare Umberto Pirovano, Sr.Manager, Systems Engineering per Palo Alto Networks. Pirovano ha accettato di rispondere alle nostre domane su un argomento oggi molto importante: la security in ambito IoT/OT.

Come molti sanno, si tratta di argomento decisamente attuale perché strettamente collegato da una parte alla tecnologia 5G e dall’altra al concetto di industria 4.0. Riuscire a gestire la security in contesto IoT diventa quindi fondamentale per proteggere impianti e processi produttivi di nuova generazione. Il problema, come emerso chiaramente dall’intervista, è che questo ci pone di fronte a un ecosistema completamente nuovo che però va a integrarsi con l’esistente infrastruttura IT.

Pirovano ci ha illustrato, attraverso la sua esperienza e sensibilità, il punto di vista di Palo Alto Networks su questo importante tema.

Ha voglia di parlare di se ai nostri lettori? Qual è stato il suo percorso professionale e di cosa si occupa in Palo Alto Networks?

Lavoro per Palo Alto Networks da quasi sette anni. Arrivo dal mondo della network security e mi occupo di cybersecurity oramai da più di venti anni; fin da quando la security era un concetto fondamentalmente limitato alla connessione Internet.

Il mio percorso professionale nasce dall’ambito industriale, perché grazie ad attività collaterali al Politecnico di Milano ho lavorato ai primi progetti di automazione industriale subito dopo l’introduzione dei microprocessori. È da li che ho iniziato ad innamorarmi del mondo IoT; una passione che mi porto dietro ancora oggi anche nella tempo libero.

Sono focalizzato sulla cybersecurity e in Palo Alto Networks ho la responsabilità della struttura di prevendita. Il mio gruppo ha una forte connotazione tecnologica e, con un ufficio a Milano e uno a Roma, seguiamo a 360 gradi il nostro portfolio tecnologico.

Per noi la cybersecurity si declina in tre elementi. La security classica: la network security, da cui proveniamo e di cui stiamo assistendo a una profonda trasformazione. La cloud security, che è un mondo estremamente specializzato e verticale che necessita di un approccio specifico e dedicato. Infine, abbiamo le security operation, ovverosia la parte di automazione delle operazione di sicurezza. Su queste ultime stiamo investendo molto, perché sono il terreno su cui oggi è effettivamente possibile fare la differenza.

Che cosa sta facendo la vostra azienda nel campo dell’IoT industriale?

Proteggi i dati della tua azienda con Bitdefender, Leader in Cybersecurity

Palo Alto Networks è un’azienda che in questo momento si sta occupando esclusivamente di cybersecurity. In questi ultimi cinque anni ci siamo evoluti da una approccio di sicurezza puramente orientato all’infrastruttura delle reti a una sicurezza end-to-end. Questo perché riconosciamo il fatto che un approccio moderno alla security deve essere pervasivo su tantissimi aspetti. Quello dell’IoT è uno di questi aspetti e, in questo momento storico, probabilmente anche uno dei più dinamici.

Il nostro interesse deriva anche dal fatto che, in qualche modo, l’IoT è venuto a invadere l’ambito in cui noi lavoriamo. In quanto azienda che si è sempre occupata di sicurezza IT, la riduzione del divario tra IT e OT (Operational Technology) ci ha portato ovviamente ad entrare anche in questo nuovo mondo. Nel momento in cui si va a creare una specie di sistema nervoso centrale per i dati in cui convergono i mondi IT e OT, ci si porta dentro i benefici dell’industria 4.0 ma anche i problemi dell’essere aperti e sempre interconnessi.

Siamo quindi di fronte a un cambio di paradigma per quanto riguarda la security?

Si. C’è un cambio di paradigma acompagnato da un cambio di passo non omogeneo. Quando si dice che l’IT ha imparato a difendersi è una visione un po’ ottimistica, direi piuttosto che oggi è attento alla problematica della sicurezza. Attualmente c’è infatti la consapevolezza di vivere con un rischio; un rischio, però, non tecnologico quanto di business. Ne è la prova il fatto che oggi, nelle grandi aziende, l’argomento della security rientra nelle decisioni strategiche e viene discusso a livello dirigenziale. Cosa che fino a pochi anni fa non succedeva.

Nel caso delle PMI, che sono una parte significativa del tessuto industriale del nostro Paese, osserviamo invece una situazione più frammentata. Le PMI che sono fornitrici di aziende enterprise sono soggette alla stessa consapevolezza perché devono ottemperare a una serie di obblighi correlati al fatto di dover far parte di una determinata supply chain. Ci sono inoltre realtà più piccole che iniziano a percepire la necessità di security, ma si perdono a causa del livello di complessità che gli si pone di fronte. In questo ultimo caso in particolare, c’è ancora un sacco di lavoro da fare.

Esiste infine anche un problema relativo alla mancanza di competenze disponibili nel mondo del lavoro. La nostra stima indica una carenza di quasi tre milioni e mezzo di professionisti della cybersecurity a livello globale. Nel nostro Paese questa carenza si attesta sull’ordine delle centinaia di migliaia. Questa mancanza di figure professionali genera a sua volta un problema a livello di governo della complessità, per cui la stima e la gestione del rischio diventano particolarmente complicate.

E che ricadute ha tutto questo sul mondo dell’IoT?

Nel mondo dell’IoT, allo scenario che abbiamo appena descritto si aggiungono una serie di strutture tecnologiche che entrano nei processi produttivi e vanno a toccare il core business delle aziende. Fino a qualche anno fa esisteva una sicurezza per isolamento: i sistemi avevano tra loro una separazione molto rigida; mentre oggi non è più così. L’industria 4.0 è data-driven e genera una enorme flusso di dati. Il problema vero, però, è che questi dati devono essere raccolti, scambiati ed elaborati; operazione affidata molto a terze parti attraverso il cloud.

Oggi, le aziende, grazie a questa grande quantità di dati disponibili, sono in grado di passare da una manutenzione reattiva a una preventiva, rendendo più efficienti i processi produttivi. Questo ci pone però davanti a un mondo interconnesso con una serie di piattaforme tecnologiche che interagiscono tra loro. In alcuni ambiti il risultato finale può essere estremamente complesso. Si pensi ad esempio alle smart city; dove energia, domotica, automazione, gestione dei consumo e molto altro vanno a convergere in un unico ecosistema. Se vogliamo ottenere cybersecurity, ciascuno di questi aspetti deve essere affrontato e risolto. Farlo puntualmente, però, non ha molto senso perché sarebbe come lavorare con i paraocchi. Occorre invece avere una visione globale.

Quello che a noi serve, per poter gestire la cybersecurity su piattaforme che convergono, è definire a nostra volta una piattaforma di sicurezza unificata. Questa architettura di cybersecurity consistente e omogenea dovrà essere in grado di semplificare il nostro lavoro prendendo in considerazione tutti gli aspetti dell’ecosistema: dall’infrastruttura di rete, ai sevizi fino ai dati.

Qualche volta abbiamo a che fare con sensori che non è possibile sostituire. In che termini questo rappresenta un problema di security?

Facendo una semplificazione, i sensori IoT devono avere una serie di caratteristiche: devono essere connessi, sicuri, economici e consumare poco. Purtroppo, è molto difficile ottenere tutto questo in un’unica soluzione. Nell’OT, in particolare, questa situazione diventa assolutamente evidente.

Il mondo della security è abituato, da sempre, ad un processo continuo di adeguamento. Qualunque oggetto di security deve essere oggetto di aggiornamenti periodici per garantire le sue funzionalità a fronte di nuove minacce e vulnerabilità. Se parliamo di sensoristica, soprattutto sulla parte distribuita ed economica, questo tipo di processo è estremamente complesso. Però, anche nell’ipotesi in cui questo sia possibile, indipendentemente dalla difficoltà di controllare decine di migliaia di sensori distribuiti, dal punto di vista della security non cambierebbe nulla. Perché l’approccio che le aziende stanno tenendo è per cui anche noi spingiamo è quello zero-trust. Ci sarebbe quindi comunque bisogno di uno strumento in grado di fare verifica ed enforcement degli aspetti di sicurezza. A me piace definirlo un sistema di sostenibilità tecnologica; ovverosia, sento il bisogno di ottenere gli stessi livelli di servizio e affidabilità di quando i sistemi non erano ancora digitali. In altre parole, devo essere in grado in ogni caso di fare enforcement sulla security; anche se ho decine di migliaia di sensori, devo riuscire in ogni situazione a vederli e controllarli tutti quanti.

Ringraziamo Umberto Pirovano per l’interessante discussione sulla security del mondo IoT. Chi fosse interessato ad approfondire il discorso può fare riferimento al sito di Palo Alto Networks.