Analisi quantitativa del rischio di security in impianti Oil&Gas offshore

Le operazioni offshore nel settore Oil&Gas sono cruciali per l'approvvigionamento energetico globale. Ciò le rende particolarmente attrattive per minacce esterne (security) atte a generare eventi con gravi conseguenze per l’uomo, gli asset e l’ambiente circostante. Queste minacce includono sia attacchi fisici (physical security), come sabotaggi e attentati terroristici, sia attacchi informatici (cybersecurity), mirati a compromettere i sistemi di controllo e sicurezza (BPCS e SIS). Le metodologie esistenti per l’analisi del rischio di security SVA/SRA, come ad esempio, API RP 70 e API RP 70I sono semi-quantitative e non forniscono metodi e/o strumenti per un’analisi sistematica e riproducibile. Tali metodi e/o strumenti richiedono accorgimenti in base al campo di applicazione (physical security o cybersecurity) data la diversa natura intrinseca dei sistemi bersaglio in caso di attacco fisico e attacco informatico. Nell’ambito della physical security, la presente tesi propone una metodologia innovativa basata sul modello dei Network Bayesiani per l’identificazione e quantificazione del rischio, fornendo come output i possibili scenari di attacco al sistema fisico di protezione (PPS) analizzato, ciascuno quantificato in termini di probabilità condizionata di successo dato il tentativo. Nell’ambito della cybersecurity, si propone invece uno strumento, chiamato Cyber-ASD (Adversary Sequence Diagram) per l’identificazione sistematica dei percorsi d’attacco all’interno del network di rete che mirano ad accedere e manipolare il BPCS e SIS, output di partenza per lo sviluppo di una metodologia quantitativa gemella a quella sviluppata nel contesto della security fisica. Entrambi i metodi sono stati applicati a fini dimostrativi e illustrativi ad un caso di studio (piattaforma offshore fissa per la produzione gas), mostrando la qualità dei risultati che si ottengono a supporto delle fasi di identificazione e quantificazione del rischio delle metodologie SVA/SRA esistenti.