1.
Luca Moroni 2 Novembre 2022 DSF 2022
LEF Lean Experience Factory - San Vito al Tagliamento (PN)
Ciao Alexa, mi racconti perché non
funziona più la mia azienda?
Si scrive Internet of Things “IoT” ma si deve leggere “consapevolezza”

2.
Chi sono
Sono focalizzato sulla resilienza Cyber dal 2000, ho fondato nel 2008 Via Virtuosa.
Su questi temi, ho tenuto seminari in Italia e all’estero.
Sono un Coach sui temi della Cybersecurity e IT Governance per alcune aziende
multinazionali.
Mi sono laureato in Informatica a Milano nel 1989. Sono certificato CISA, ISO27001. ITIL
e ISA/IEC 62443 (Scada Security) e ha altre certificazioni tecnologiche.
Sono Socio fondatore dell'IT Club FVG e co-fondatore del network Cyber Security Angels
(CSA).
Pubblicazioni CSA
• 2021 «e-m@il e dintorni: Guida all’uso consapevole del più importante strumento di
Comunicazione Digitale»
Pubblicazioni VIA VIRTUOSA
• 2019 "L'errore umano negli incidenti informatici e nella perdita dei dati sensibili"
• 2017 "Cyber Risk Exposure e Cyber Insurance" citato anche nel report Clusit 2017.
Pubblicazioni ISACA
• 2013 “Vulnerability Assessment e Penetration - Test-Linee guida per l’utente di verifiche di terze
parti sulla sicurezza ICT”
• 2014 “Sicurezza Cibernetica Nazionale, la consapevolezza delle Aziende nei Settori Critici del
Nord Est”
• traduzione in italiano della pubblicazione ISACA CSX "Proteggere i dispositivi mobili".

3.
Opportunità digitali nelle aziende italiane
Il trend Industry 4.0 ha accelerato la necessità di scambio dati tra gli
impianti industriali e il resto delle infrastrutture IT aziendali.
Nell’arco del triennio 2022-2024 sono previsti dal PNRR oltre 25
miliardi di investimenti per tecnologie e digitalizzazione. I principali
driver di questa crescita saranno i cosiddetti Digital Enabler ovvero AI,
Big Data, Cloud Computing, IoT e naturalmente Cybersecurity

4.
Qualche attacco in zona che ha toccata gli impianti

5.
Criticitità nella sicurezza
• Se sulla sicurezza informatica
in azienda c’è poca cultura in
produzione manca totalmente
• Fornitori che propongono
soluzioni finanziate da PNRR/
Industry 4.0 totalmente
insicure
• Ambienti di produzione poco
resistenti ad un attacco.
Conoscenza
Fornitori
Alto rischio

6.
La sociologa informatica
Sonia Gastaldi
Superficialità e ignoranza, nel senso del non conoscere, sono
spesso conseguenza di una eccessiva self-confidence
Conoscenza: Vulnerabilità Sociali
nella Cybersecurity
• l'utilizzo superficiale e scontato
di strumenti informatici;
• l'ignoranza informatica;
• la contaminazione sociale che ha
radici nell'emulazione;
• le notizie fake;
• la velocità di diffusione

7.
Conoscenza: Cybersecurity in Fabbrica
• l'utilizzo superficiale e scontato
di strumenti informatici;
• l'ignoranza informatica;
NON SONO LA
STESSA COSA

8.
Conoscenza: Cybersecurity in Fabbrica
Survey Annuale di SANS su OT/ICS
Cybersecurity:
nel 2021 quasi 500 Organizzazioni intervistate per
quasi 1300 Plants (30% in Europa)
Per approfondire Webinar 12-2-22 OT/ICS
Cybersecurity: minacce di oggi e contromisure per
Resilienza e Continuità Operativa
https://youtu.be/yNULiK93DEQ https://www.sans.org/white-
papers/SANS-2021-Survey-
OTICS-Cybersecurity/

9.
Conoscenza: Cybersecurity in Fabbrica
Circa metà non sa o non si è accorto se ha avuto incidenti

10.
Conoscenza: Cybersecurity in Fabbrica
La prima cosa da fare è Scoprire come è la situazione facendo una
analisi sulla sicurezza informatica degli impianti
SITO 1 SITO 2 SITO 3
MES
MES

11.
Se non ho budget posso usare una checklist di
autovalutazione (self review), Una consapevolezza minima
per quelle strutture che desiderano verificare lo stato
dell'arte relativo alla prevenzione e gestione dei propri
processi in caso di crisi.
® Gruppo di Lavoro 2013 Isaca Venezia
Sicurezza Cibernetica Nazionale, la
consapevolezza delle Aziende nei Settori
Critici del Nord Est
Conoscenza: Cybersecurity in Fabbrica
https://www.cisecurity.org/insights/white-
papers/cis-controls-implementation-guide-for-
industrial-control-systems

12.
Fornitori: Cambiano le regole

13.
Farà in tempo a chiedere
“Ciao cane cercami un film Italiano”?
https://www.rainews.it/video/2022/08/il-robot-cane-russo-presentato-alla-fiera-russa-di-armi-army-2022-
35cd2ac0-2bd0-4a37-867b-0b52126c46ca.html
Il robot-cane russo presentato alla fiera russa "Army-2022"
Uno sviluppatore ha mostrato la sua nuova creazione che sembrerebbe la risposta russa nella corsa
agli armamenti robotici: un robot cane in stile Boston Dynamics con un fucile RPG legato alla schiena

14.
Fornitori: Cambiano le regole

15.
Fornitori: Cambiano le regole
Mi devo preoccupare?
Fantastico mi hanno venduto una macchina completamente robotizzata che ha la
console di controllo sul cloud. Me l’ha venduta quello che mi tirava i cavi in
produzione. Posso anche controllare l’impianto dal mio cellulare. Mi hanno detto
che fra poco potrò anche usare i comandi vocali.
Ciao Sistema MES, mi racconti perché non
funziona più la mia azienda?

16.
Fornitori: Cambiano le regole

17.
Fornitori: Cambiano le regole

18.
Fornitori: Cambiano le regole
SIAMO QUI

19.
Fornitori: Impatto sui prodotti
NEGLI USA E’ GIA ATTIVO
IL CMMC
https://www.acq.osd.mil/cmmc/faq.html

20.
Fornitori: Prodotti sicuri certificati

21.
Ma ATTENZIONE a svolgere le verifiche…
vulnerabilità riscontrare anche in quelli certificati
https://www.forescout.com/research-labs/ot-icefall/

22.
Rischio: alcune aziende sono più
critiche per un paese

23.
Rischio: Cybersecurity in Fabbrica
Quasi il 60% ha subito più di 10 incidenti in un anno
Oltre il 90% ha avuto ripercussioni in Produzione

24.
Alcune Vulnerabilità tipiche negli apparati
https://www.forescout.com/research-labs/ot-icefall/

25.
Rischio: Ma quanto?
Gruppo Crich, fra i leader nazionali nel
settore dei prodotti da forno industriali (in
particolare biscotti, cracker e wafer), e forte
esportatore sui mercati esteri (35% del giro
d'affari), nel 2021 ha realizzato ricavi di 120
milioni di euro
120 Mil / 220 giorni lavorativi in un anno * 3 giorni
1,65 Mil.

26.
Rischio: Ma quanto?
Avrà pagato? In Italia è illegale. Le polizze Cyber non coprono.
Ipotizziamo 2 BitCoin = 40.000 Euro

27.
Rischio: Ma quanto?
Data Breach??
https://www.crichcorner.it/prodotti-in-vendita/
Vendita Biscotti Senza Glutine

28.
Rischio: Ma quanto?
Quanto valutava l’azienda i dati informatici???
Ipotizziamo 500.000 Euro = (39% persi) 195.000 Euro
https://www.innovati
onpost.it/2022/04/28/
nel-2021-due-
aziende-su-tre-
vittime-del-
ransomware-ecco-
come-mettere-i-dati-
al-sicuro/

29.
Rischio: Ma quanto?
Quanto valutava l’azienda il danno di immagine???
Ipotizziamo 500.000 Euro
L'azienda si propone come produttore di prodotti a private label operando con i maggiori players della
distribuzione organizzata sia nel mercato nazionale che estero.
Grazie alle elevate capacità produttive e agli alti standard qualitativi, Crich è in grado di soddisfare le richieste dei
propri partner proponendo una vasta gamma di prodotti e la propria competenza per la creazione di nuove ricette.

30.
Rischio: Ma quanto?
Dove siamo arrivati facendo delle ipotesi
1.650.000 Euro
40.000 Euro
195.000 Euro
500.000 Euro
Circa 2% Fatturato. Ma incide sull’Utile

31.
Esiste l’OT Security
negli impianti industriali?
Il 40% dei siti industriali ha almeno una connessione diretta su
internet pubblica.
16% hanno una wireless nel sito.
84% ha almeno un device nel sito raggiungibile remotamente
https://www.csoonline.com/article/3319216/the-state-of-ics-and-iiot-security-in-2019.html

32.
Esiste l’OT Security
negli impianti industriali?
NO Ciao Sistema
MES, mi
racconti
perché non
funziona più la
mia azienda?

33.
Una Centrale Atomica è Air Gapped
In sicurezza informatica con il termine “Air Gap” si intende una misura di sicurezza che isola
fisicamente un’infrastruttura critica (computer, reti private con dati altamente sensibili) da qualsiasi
altro collegamento con il mondo esterno, come ad esempio Internet.

34.
Suggerimenti
1. Fai una analisi di sicurezza informatica nella rete
degli impianti per capire il livello di rischio esistente
2. Fai un inventario dei dispositivi vulnerabili
3. Segmenta la rete a adotta un principio di pulizia in
quello ci metti
4. Tieni sotto controllo le patch rilasciate dai produttori di
quello che hai nella rete OT
5. Monitora il traffico sospetto nella rete OT
6. Scegli prodotti sicuri dalla progettazione (Security by
design)
7. Verifica che il fornitore garantisca il prodotto sicuro nel
tempo (Security by default)
8. Sfrutta le possibilità che ha il prodotto di aumentare
la sicurezza
9. Ragiona sul ridurre le conseguenze di un incidente
https://www.amazon.com/dp
/1800202091

35.
Cybersecurity
una via da seguire per il business
Per approfondire Webinar "Da TISAX a NIS2, nuovi approcci alla
sicurezza delle informazioni" - 14/09/2021
https://youtu.be/tHSiN8m8up8

36.
La sicurezza e la condivisione

37.
OBIETTIVI DELLA RETE
1. Aumentare la resilienza scambiando le informazioni su nuovi tipi di attacco. Avere
dei suggerimenti su come proteggersi meglio svincolato da logiche di prodotto.
2. Possibilità di scambiarsi informazioni sugli incidenti, sulla qualità dei prodotti, degli
integratori e dei servizi.
3. Neutralità al di fuori del network dei Vendor, Integratori e Consulenti con la
garanzia della discrezione, anonimato e riservatezza.
4. Chi crede che la cybersecurity italiana non sia un tabù ha la possibilità di conoscere
in modo anonimo nuove startup nel bacino nazionale che propongono soluzioni e
servizi innovativi.
5. C’è la possibilità di verificare le referenze e i livelli di servizio per arrivare fino ad
una piattaforma di ranking di chi si occupa di Cybersecurity.

38.
Grazie
l.moroni@viavirtuosa.it
moderatore@cybersecurityangels.it