Attività di RISK Assessment & Enhanced Security Risk Analytics – ESRA

nome dell'impresa

Hi-lex S.p.A.

titolo del progetto

Attività di RISK Assessment & Enhanced Security Risk Analytics - ESRA

dimensione e localizzazione

Grande Impresa - Chiavari (GE)

Partner

aizoOn

competenze utilizzate

Cyber security industriale

Hi-lex Italy S.p.A. è una importante realtà nel settore automotive che intendeva verificare la propria postura, valutare eventuali scostamenti rispetto alle best practice nazionali e internazionali in ambito di Cybersecurity e costruire una road map degli interventi rilevanti e prioritari necessari, includendo nell’analisi le politiche e le procedure volte ad assicurare la Compliance rispetto alle normative vigenti.  

Il problema

Tale progetto nasce dall’esigenza di essere compliance con le richieste dell’industria automobilistica in ambito Cybersecurity. Infatti, in questi ultimi anni l’industria automobilistica ha subito notevoli cambiamenti da un punto di vista tecnologico e ha preso coscienza del fatto che ci fosse un problema legato alla sicurezza e che il tema della cybersecurity è di fondamentale importanza. 

La soluzione

Hi-lex Italy negli anni ha sempre dato importanza alla sicurezza informatica e si è strutturata con strumenti e processi che fino a ieri potevano essere sufficienti, ma oggi la complessità e la velocità di evoluzione del settore richiedono cambiamenti radicali e miglioramenti nei prodotti, nei processi e nella struttura organizzativa. Il nuovo progetto ha permesso la mappatura di tutti gli apparati connessi alla rete aziendale, di individuarne le vulnerabilità presenti e di conseguenza essere in grado di definire un piano di miglioramento sia per quanto riguarda gli strumenti di cui dotarsi, sia per definire processi, controlli e regole di sicurezza che non avevamo. 

Per quanto riguarda infatti il contesto di riferimento inteso come stato dell’arte, Hi-Lex ha basato l’iniziativa su una piattaforma innovativa, superando i problemi tipici delle fasi di rilevazione del perimetro tipicamente basate sulle solo interviste o studio di documentazione, fornendo invece una valutazione basata sui dati rilevati e aderenti allo stato dei sistemi in perimetro al momento della rilevazione. Le informazioni infatti raccolte in una fase di Technical Discovery e dalle interviste, sono confluite nella piattaforma tecnologica multi-standard/multi-norma (Enhanced Security Risk Analytics), in grado di gestire ed elaborare strutture gerarchiche integrate con un layer “Data Oriented”. Il tutto è stato orchestrato da uno strato di Analytics in grado di elaborare le aggregazioni e le associazioni necessarie a mantenere la coerenza tra viste di insieme con dati puntuali sui singoli sistemi a supporto degli interventi tecnici ritenuti prioritari. 

Quest’approccio ha fornito la valutazione di maturità dei controlli, ottenute secondo parametri rilevati near-realtime dai sistemi e quindi aggiornati, puntuali, verticalizzabili e dettagliabili fino alla singola configurazione del singolo sistema, dettagliatamente perimetrabili e anche privi di elementi distorsivi dovuti alla percezione personale. Tale metodo data-driven, rispetto a metodi tradizionali consulenziali ha ridotto il tempo totale del progetto e ha garantito al contempo risultati più precisi, consentendo di valutare lo stato di sistemi e controlli sulla base di dati tecnicamente rilevati, e non genericamente espressi per aree d’intervista.  

 

Tecnologie 

Per raggiungere l’obiettivo del progetto, aizoOn ha adottato un metodo cognitivo multidisciplinare, che ha rilevato, classificato e valutato la Cybersecurity di Hi-Lex con un approccio a 360 gradi.  In particolare, ciò ha permesso di osservare le dinamiche legate alla Cybersecurity, integrando il punto di vista sia interno che esterno al perimetro operativo osservato. L’analisi del Rischio Cyber attraverso ESRA ha permesso una valutazione del rischio basato su dati rilevati dai sistemi e quindi: dettagliata su tutti gli asset in perimetro e precisamente aderente allo stato attuale dell’infrastruttura. Per ottenere questo risultato ESRA ha integrato un insieme eterogeneo di fonti: 

  • Mappa Processi-> Applicazioni: ESRA permette di avere immediata cognizione delle applicazioni maggiormente sollecitate dai processi Operativi o ad alta specializzazione: una vista Immediata sulla propagazione degli Impatti. 
  • Asset Inventory: ESRA adotta i più avanzati strumenti di rilevazione dell’inventario, permettendo censimenti accurati e real-time dei sistemi presenti sulla rete target ed il loro stato in termini configurazione ed aggiornamento. 
  • Infrastructure Discovery: L’integrazione di una moltitudine di fonti dati premette un’accurata 

Ricostruzione real-time dell’infrastruttura ITC interna ed esterna. 

I dati di traffico, le caratteristiche degli asset e la loro rilevanza applicativa permettono un’accurata ricostruzione del livello di rischio su ogni elemento della rete, autonomamente. 

 

Impatti desiderati

Gli impatti del progetto ESRA su Hi-Lex Italy sono stati principalmente i seguenti:  

  1. Maggior consapevolezza sugli aspetti di cybersecurity sul personale, non solo IT, ma anche negli altri dipartimenti. 
  2. Revisione delle policy di sicurezza informatica per renderle più efficaci  
  3. Dotazione di sistemi di asset management, di patch management e di Vulnerability assesment  
  1.  

Benefici per l'impresa

Ormai da anni le case automobilistiche richiedono ai propri fornitori certificazioni specifiche su molti settori, tra cui anche sulla Cybersecurity.  

In particolar modo le case automobilistiche tedesche (Gruppo Volkswagen Audi, BMW) richiedono obbligatoriamente la certificazione TISAX (basata sulla ISO 27001 e sulla VDA ISA), al cui interno, tra le varie voci sono presenti requisiti specifici su: 

  • IT Security / Cyber Security,  
  • Access management, 
  • Identity and access management. 

Il progetto ha permesso quindi all’Azienda di rafforzarsi su queste tematiche senza le quali non le sarebbe possibile partecipare ai bandi di gara per lo sviluppo di nuovi business. 

Inoltre, trascurare la sicurezza informatica si traduce in un grave danno per l’azienda. Le violazioni non solo sono costose da sanare, ma possono anche generare una pubblicità negativa che danneggia la fiducia dei clienti nella nostra azienda e nei nostri prodotti. Essere all’avanguardia nelle sfide della cybersecurity è un vantaggio competitive fondamentale. La capacità di fornire prodotti affidabili e soluzioni connesse sicure di fronte alle sfide continue può consolidare la vostra reputazione nel settore, aumentando le opportunità di business e promuovendo la fedeltà dei clienti esistenti. 

Inoltre, adottando le misure di sicurezza consigliate dal piano strategico, si contribuisce a proteggere le infrastrutture critiche, da attacchi dannosi, in modo da prevenire incidenti che potrebbero mettere a rischio la vita delle persone e l’ambiente, così come portare ed eventuali interruzioni della produzione dovuti a malfunzionamenti legati alla sicurezza informatica.  

Ci si attende che sistemi industriali più sicuri e protetti possano funzionare più efficientemente, riducendo gli sprechi di energia e contribuendo alla riduzione del carbon footprint.  

Considerando inoltre le normative in materia di sicurezza informatica nel mondo automotive, l’adozione di misure di cybersecurity adeguate può aiutarci a mantenere la conformità normativa, evitando multe e sanzioni.  

Hai un progetto da proporci?

Contact us

Contenuti Correlati