EMB_72

tezione dei dati (GDPR), che obbligherà a parti- re dal maggio 2018 le aziende che trattano dati personali di cittadini europei ad adottare misu- re di sicurezza preventive che abbassano i rischi di violazioni ai dati e mitigano le conseguenze dopo un incidente. Sicurezza a tutti i livelli I punti vulnerabili sui componenti di una solu- zione IoT che collega un dispositivo hardware con applicazioni business possono essere molte- plici (Fig. 1). La frammentazione intrinseca e la complessità di queste infrastrutture può aprire molte porte. La sicurezza IoT deve essere quin- di implementata sia end-to-end e sia nei singoli elementi, e deve integrarsi facilmente e in modo $À *5 Una singola soluzione non può garantire la sicu- rezza end-to-end. È essenziale guardare l’intero sistema olisticamente e rendere sicuro ogni po- tenziale punto debole; la sicurezza deve essere uno degli aspetti progettuali fondanti dell’intero sistema e non può essere aggiunta a posteriori (security by design). DÀ $ E & presenti i dispositivi che generano dati M2M) è importante la messa in sicurezza sia a livel- ; À ; attuatori e delle loro connessioni di comunica- zione con lo stadio successivo. A questo livello l’infrastruttura deve impiegare misure di sicu- rezza intrinseche, ad esempio minimizzando la À À ; - cendo le comunicazioni tra dispositivi e gateway di integrazione a una singola connessione in D % E # $ - ra d’integrazione e comunicazione M2M, situata nel cloud, deve essere resa sicura internamen- te e nel suo contesto infrastrutturale (network, " * À - te l’integrazione con i processi applicativi di business è invece caratterizzato da requisiti di sicurezza contro intercettazioni e manipolazioni che comprendono: autenticazione robusta, pro- tezione dei dati e gran parte delle migliori misu- re di sicurezza IT. Requisiti di sicurezza IoT Le soluzioni sicure devono essere basate su alcu- ni fondamentali requisiti: dispositivi e piattafor- CYBERSECURITY | SPECIALE 25 EMBEDDED MAGGIO me IoT dotati di un’identità validata; autentica- zione mutua in fase di comunicazione; messaggi À L di esecuzione; sicurezza di rete e di sistema e gestione delle vulnerabilità; controllo dell’acces- so basato su ruoli; gestione sicura degli accessi; gestione sicura del software. A questi requisiti si aggiungono delle best practice che sarebbe opportuno adottare: costruire soluzioni basate su standard open e industriali; sfruttare tecno- logie di sicurezza IT di livello enterprise e ben collaudate; includere nel progetto architetturale gli elementi di sicurezza, scalabilità e resilien- za; incapsulare la complessità di una soluzione di sicurezza end-to-end; testare e revisionare il sistema in modo continuativo. Di seguito s’illustrano alcuni approfondimenti sui requisiti fondamentali di sicurezza IoT. Autenticazione di dispositivi e server . La tecnolo- gia IIoT è basata su dati generati da sensori, at- tuatori e dispositivi intelligenti remoti integrati con applicazioni business e mobili. Per garan- tire che dispositivi, sistemi e applicazioni pos- À À connessi sul campo così come sul fronte server o cloud. L’autenticazione sicura può essere otte- nuta in molti modi. Tuttavia, quando si cercano approcci con tecnologie solide, testate e basate $ À digitali garantiscono il più alto livello di sicu- rezza. Uno dei più importanti standard è X.509, % À $ chiave pubblica (PKI, public key infrastructure). # À $ % À # À + 7MG $À À - 5 À À - tivo distribuito ed eseguito sui dispositivi Iiot e sui gateway. Analoga funzionalità è richiesta per il server, e per la messa in sicurezza delle attività di provi- sioning e di aggiornamento del software. . È essenziale gestire la tra- smissione sicura di tutti i dati su un canale crip- tato, tramite una connessione SSL. Inoltre tutti gli accessi alla console di amministrazione e di DB !5 *E