## Capítulo 2 — Sistemas computacionais ### Mapa da aula Aula 02 publicada. Mapa, exemplo, EX003. ```mermaid flowchart TD N0["2.1 Camadas e confiança"] N1["2.2 TI e TO"] N2["2.3 O ciclo de vida do dispositivo"] N3["2.4 Caso resolvido: imagem no Calder Valley Hospital"] N4["2.5 Atividade prática"] N5["Síntese do capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 N5 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX003"] ``` ### Desenho lógico ```mermaid flowchart LR N0["2.1 Camadas e confiança"] N1["2.2 TI e TO"] N2["2.3 O ciclo de vida do dispositivo"] N3["2.4 Caso resolvido: imagem no Calder Valley Hospital"] N4["2.5 Atividade prática"] N5["Síntese do capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX003"] ``` ```text [2.1 Camadas e confiança] | v [2.2 TI e TO] | v [2.3 O ciclo de vida do dispositivo] | v [2.4 Caso resolvido: imagem no Calder Valley Hospital] | v [2.5 Atividade prática] | v [Síntese do capítulo] | v [Exemplo resolvido] --> [Exercício EX003] ``` ### Objetivos de aprendizagem e conexão Depois deste capítulo, você consegue (1) descrever as camadas de um sistema computacional — hardware, firmware, sistema operacional, aplicações, dados e pessoas — e dizer onde as decisões de segurança são tomadas em cada uma; (2) distinguir a tecnologia da informação (TI) da tecnologia operacional (TO) e explicar por que as suas prioridades diferem; (3) descrever o ciclo de vida de um dispositivo num serviço crítico, da aquisição ao descarte; e (4) explicar por que o componente mais antigo de um sistema muitas vezes define a sua segurança. O capítulo se apoia no hábito de grandezas explícitas do Capítulo 1 e prepara o Capítulo 3, em que você vai escrever código para inspecionar um inventário de dispositivos. ### 2.1 Camadas e confiança Um computador é uma pilha. Na base está o **hardware**: processador, memória, armazenamento e interfaces. Acima dele está o **firmware**, o código de baixo nível guardado no dispositivo que o inicializa e controla o hardware. O **sistema operacional** (Capítulo 11) reparte o hardware entre os programas e impõe quem pode fazer o quê. As **aplicações** fazem o trabalho que interessa às pessoas — a biblioteca de medicamentos de uma bomba de infusão, um sistema de despacho, um switch de pagamentos. Os **dados** são o que as aplicações criam e consomem. As **pessoas** configuram, usam e mantêm tudo isso. Cada camada confia nas camadas abaixo dela: uma aplicação não pode ser mais confiável do que o sistema operacional em que roda, e um sistema operacional não consegue detectar um firmware que mente para ele. É por isso que a inicialização segura, o firmware assinado e o suporte do fornecedor importam tanto nos serviços críticos (Capítulo 17). ### 2.2 TI e TO A **tecnologia da informação** trata informações: e-mail, prontuários, pagamentos, agendamentos. A **tecnologia operacional** monitora e controla processos físicos: válvulas, disjuntores, bombas, sinais, ventiladores. O NIST descreve a TO como sistemas que "interagem com o ambiente físico (ou gerenciam dispositivos que interagem com o ambiente físico)" ([NIST SP 800-82 Rev. 3](https://csrc.nist.gov/pubs/sp/800/82/r3/final)). A distinção importa porque as consequências diferem. Quando um sistema de TI falha, a informação fica indisponível ou errada; quando um sistema de TO falha, a água pode parar, um disjuntor pode não abrir ou um trem pode não receber um sinal. Espera-se tipicamente que os dispositivos de TO funcionem por 15 a 25 anos; eles podem não tolerar uma reinicialização durante a operação e muitas vezes são certificados numa configuração específica, de modo que aplicar patches exige a aprovação do fornecedor. A saúde acrescenta uma terceira categoria, os **dispositivos médicos**, que são produtos regulados cujo software o hospital não pode simplesmente alterar. ### 2.3 O ciclo de vida do dispositivo A segurança é decidida muito antes de um ataque. Na **aquisição**, um comprador pode exigir software com suporte, um processo de divulgação de vulnerabilidades e uma lista de materiais de software (SBOM — uma lista dos componentes de software, ver [CISA SBOM](https://www.cisa.gov/sbom)). Na **instalação**, os padrões podem ser alterados e o dispositivo colocado na zona de rede certa. Durante a **operação**, ele precisa de monitoramento, de patches onde for possível e de controles compensatórios onde não for. No **fim do suporte**, o fornecedor deixa de emitir correções; o dispositivo continua funcionando, e é exatamente por isso que permanece em serviço. No **descarte**, os dados precisam ser removidos. Uma estação de trabalho de imagem hospitalar comprada em 2014, sobre um sistema operacional cujo suporte terminou em 2020, não é uma anomalia por descuido; é a consequência normal de um dispositivo médico de 15 anos sobre um sistema operacional de 10 anos. ### 2.4 Caso resolvido: imagem no Calder Valley Hospital (sintético) **Este caso é sintético.** O departamento de imagem do CVH opera a estação de trabalho IMG-01, ligada a um aparelho certificado pelo fabricante com um sistema operacional específico, cujo suporte terminou em 2020. O fabricante só oferece uma atualização junto com um aparelho novo (£400.000). As opções são: (a) substituir agora; (b) mantê-la e isolá-la — permitir apenas as conexões de que ela precisa com o arquivo de imagens, remover o e-mail e a navegação na web, monitorar o seu tráfego; (c) não fazer nada. A opção (c) deixa uma máquina sabidamente sem patches numa rede clínica plana. A opção (a) remove o risco, mas custa um orçamento de capital que o hospital não tem neste ano. A opção (b) é a resposta habitual: um **controle compensatório** que reduz a exposição até a substituição, com um dono nomeado e uma data de substituição. O registro da decisão diz qual risco permanece — um arquivo malicioso chegando pela conexão com o arquivo de imagens — e como ele é monitorado. ### 2.5 Atividade prática Escolha um dispositivo que você usa todos os dias (um celular, um roteador doméstico, um notebook). Sem abri-lo nem mudar nada, descubra nas páginas públicas do fornecedor: a versão do firmware ou do sistema operacional, se ele ainda tem suporte e como as atualizações são entregues. Escreva uma nota de ciclo de vida de cinco linhas: aquisição, instalação, operação, fim do suporte, descarte. Faça o mesmo para um dispositivo *imaginado* num serviço crítico — uma bomba de infusão do CVH — e liste o que você precisaria perguntar ao fornecedor. Para a bomba, pergunte ao fornecedor sobre o processo de atualização da biblioteca de medicamentos, a data de fim do suporte do firmware e quem pode instalar as atualizações. ### 2.6 Erros comuns e limites - Supor que "ainda funciona" significa "ainda é seguro": os dispositivos sem suporte acumulam vulnerabilidades não corrigidas. - Tratar a TO como TI: reiniciar um controlador durante a operação, ou varrê-lo de forma agressiva, pode perturbar o processo físico. - Ignorar o firmware: ele é código, tem vulnerabilidades e raramente é inventariado. - Esquecer as pessoas como camada: a maioria dos sistemas é configurada por alguém sob pressão de tempo. No CVH, os quatro erros se encontram na IMG-01: ela ainda funciona, então ficou na rede clínica; a certificação do aparelho a torna semelhante à TO nas suas restrições de patches; ninguém listou o seu firmware; e os técnicos de radiologia que a usam escolheram as configurações compartilhadas da área de trabalho. O limite deste capítulo é que ele nomeia as camadas sem medir quantos dispositivos ficam em cada uma. ### Exercícios — capítulo 2 **EX003 — Localizar a decisão.** *Objetivo:* ligar as camadas aos controles. *Entradas:* cinco controles: atualizações de firmware assinadas, contas de usuário do sistema operacional, os limites da biblioteca de medicamentos de uma aplicação, backups do banco de dados, treinamento da equipe. *Etapas:* atribua cada um a uma camada e declare uma falha que cada controle não trata. *Evidência esperada:* uma tabela de cinco linhas. *Rubrica:* 3 = camadas corretas e uma lacuna plausível para cada; 2 = um erro; 1 = só as camadas; 0 = nada. **EX004 — TI ou TO?** *Objetivo:* raciocinar sobre as consequências. *Entradas:* o sistema de faturamento da CPN, a RTU de alimentador da CPN, o sistema de administração de pacientes do CVH, o BMS do CVH que controla a ventilação do centro cirúrgico. *Etapas:* classifique cada um como TI, TO ou dispositivo médico; nomeie a pior consequência plausível da sua falha; diga se provavelmente é necessária uma janela de patches aprovada pelo fornecedor. *Evidência esperada:* tabela e duas frases sobre o BMS. *Rubrica:* 3 = classes corretas, consequências ligadas a efeitos físicos na TO; 2 = pequeno deslize; 1 = só as classes; 0 = nada. ### Síntese do capítulo Os sistemas computacionais são pilhas de confiança, do hardware às pessoas. A TO e os dispositivos médicos controlam resultados físicos, vivem por décadas e nem sempre podem receber patches, então a segurança depende dos termos de aquisição, do posicionamento e dos controles compensatórios. O componente mais antigo e com menos suporte muitas vezes define a exposição real. ### Continue estudando — capítulo 02 de 40 [← Capítulo 01](#ch-01) · [Índice de capítulos do curso](../SUBJECTS.md) · [Capítulo 03 →](#ch-03) Siga para a próxima lição escrita. ## Worked answers **EX003.** Atualizações de firmware assinadas — camada de firmware (não trata uma atualização maliciosa, mas corretamente assinada, vinda de um fornecedor comprometido). Contas de usuário do SO — sistema operacional (não impedem o erro de um usuário autorizado). Limites da biblioteca de medicamentos — aplicação (não pegam um medicamento errado escolhido dentro dos limites). Backups do banco de dados — dados (não ajudam se os backups também forem cifrados, ou nunca forem restaurados). Treinamento da equipe — pessoas (não impede, toda vez, uma isca convincente e direcionada). **EX004.** Faturamento — TI (pior caso: interrupção da receita e do atendimento ao cliente; patch normal). RTU de alimentador — TO (pior caso: perda de visão/controle da distribuição; janela aprovada pelo fornecedor). Administração de pacientes — TI, mas clinicamente importante (pior caso: atraso no atendimento pela perda de agendamentos e registros; patch normal com controle de mudanças clínico). BMS da ventilação das salas cirúrgicas — TO num ambiente de saúde (pior caso: trocas de ar inseguras que cancelam cirurgias ou arriscam infecção; coordenação entre a manutenção predial e a área clínica, e janela aprovada pelo fornecedor). O BMS mostra que os "sistemas prediais" são TO cujas consequências são clínicas.