Cybersecurity HVAC: come proteggere impianti connessi, dati e continuità operativa

L'evoluzione tecnologica nel settore del riscaldamento, della ventilazione e del condizionamento dell'aria ha portato alla nascita dell'HVAC 4.0. Questa nuova era non rappresenta solo un miglioramento meccanico, ma una vera e propria fusione tra ingegneria termotecnica, Internet delle Cose (IoT) e Intelligenza Artificiale (IA). 
Un sistema HVAC 4.0 è oggi un ecosistema iper-connesso. Pompe di calore, unità di trattamento aria e termostati intelligenti dialogano costantemente con il cloud e con i sistemi di Building Management System (BMS). Se da un lato questa connettività abilita la manutenzione predittiva, permettendo di intervenire su un guasto prima ancora che si verifichi, dall'altro espone l'infrastruttura a rischi informatici senza precedenti.

Le vulnerabilità storiche del settore derivano paradossalmente dalla sua longevità: molti protocolli di comunicazione, come BACnet o Modbus, sono stati progettati decenni fa per operare in reti chiuse e isolate. Oggi, esponendo questi stessi protocolli al web, si creano delle porte aperte per i cybercriminali. Un attacco a un sistema HVAC non significa solo "sentire caldo o freddo"; può tradursi nel blocco operativo di un data center, nella compromissione delle condizioni igieniche di un ospedale o, nel peggiore dei casi, nell'utilizzo del dispositivo HVAC come "ponte" per infiltrarsi nella rete aziendale e rubare dati sensibili o installare ransomware.

In questo contesto la Cyber Sicurezza e la Tutela della Privacy diventano criticità da prendere in seria considerazione nell’ambito della implementazione di un sistema HAC 4.0.

La Difesa Proattiva e il Framework IEC 62443

Per contrastare le minacce alla sicurezza dei dati, il settore ha adottato lo standard internazionale IEC 62443. Questa norma è cruciale perché non si limita a fornire soluzioni software, ma definisce un intero ciclo di vita sicuro per i sistemi di controllo industriale (IACS).

Adottare la IEC 62443 significa passare da una sicurezza "reattiva" (risolvere il problema dopo l'attacco) a una sicurezza "proattiva" che offre diversi vantaggi all’installatore ed al progettista e garanzie per il cliente finale. I primi possono adottare un framework per configurare reti sicure e selezionare componenti certificati; mentre per il cliente si riducono i rischi di: fermo impianto, danni reputazionali e sanzioni legate alla perdita di dati. 

Lo standard adotta un approccio "defense-in-depth" che si articola in quattro aree principali:

1. General (Parte 1): Concetti, terminologia e modelli.
2. Policies & Procedures (Parte 2): Gestione del programma di sicurezza, patch management e requisiti per i fornitori di servizi.
3. System (Parte 3): Valutazione del rischio per il design del sistema e requisiti tecnici di sicurezza per le reti.
4. Component (Parte 4): Requisiti per lo sviluppo sicuro dei prodotti e per i singoli componenti hardware.

Il concetto cardine della IEC 62443 è la suddivisione in Zone e Condotti (Zones & Conduits), ovvero il sistema viene segmentato in favore della sicurezza: invece di avere una rete dove ogni dispositivo può "parlare" con chiunque, l'architettura viene segmentata: i dispositivi con requisiti di sicurezza simili vengono raggruppati in zone isolate. Le comunicazioni tra queste zone avvengono solo attraverso "condotti" protetti da firewall e sistemi di crittografia. Questo approccio limita drasticamente il cosiddetto "movimento laterale" di un hacker che potrebbe entrare in un termostato in una sala d'attesa e da lì risalire fino alla caldaia centrale o, peggio, ai server amministrativi dell'edificio.

Un altro cardine dell'IEC 62443 è la definizione dei Security Levels (SL) (Tabella 9), che vanno dal livello 1 (protezione contro violazioni casuali) al livello 4 (protezione contro attacchi sofisticati orchestrati da stati-nazione). I livelli sicurezza sono poi assegnati in funzione della destinazione d’uso dell’edificio: per un impianto HVAC di un edificio critico (es. ospedale o data center) si punta solitamente a un SL 2 o SL 3.

L'implementazione di questi standard garantisce che l'adozione dell'AI non crei nuove vulnerabilità, proteggendo gli asset durante l'intero ciclo di vita. Integrare prodotti certificati secondo la serie IEC 62443-4 assicura che ogni singolo componente hardware sia stato progettato seguendo criteri di "Secure Product Development". 

La IEC 62443 identifica 7 requisiti fondamentali che ogni sistema HVAC 4.0 dovrebbe soddisfare:

1. Identificazione e Autenticazione (IAC): Verificare che solo utenti o dispositivi autorizzati accedano al sistema.
2. Controllo dell'uso (UC): Limitare le azioni che un utente autorizzato può compiere.
3. Integrità del sistema (SI): Proteggere i dati da modifiche non autorizzate durante la trasmissione.
4. Riservatezza dei dati (DC): Garantire che le informazioni sensibili (es. orari di occupazione) non siano leggibili da terzi.
5. Flusso di dati limitato (RDF): Segmentare la rete per limitare la comunicazione non necessaria.
6. Risposta tempestiva agli eventi (TRE): Capacità del sistema di segnalare anomalie in tempo reale.
7. Disponibilità delle risorse (RA): Assicurare che un attacco (come un DDoS) non blocchi il funzionamento dell'impianto, garantendo la continuità del servizio.