Capítulo 23 — Infraestrutura crítica e segurança setorial: métodos I
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX045.
flowchart TD
N0["23.1 Uma avaliação de risco estruturada"]
N1["23.2 O problema das matrizes"]
N2["23.3 Consequência primeiro"]
N3["23.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX045"]
Desenho lógico
flowchart LR
N0["23.1 Uma avaliação de risco estruturada"]
N1["23.2 O problema das matrizes"]
N2["23.3 Consequência primeiro"]
N3["23.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX045"]
[23.1 Uma avaliação de risco estruturada]
|
v
[23.2 O problema das matrizes]
|
v
[23.3 Consequência primeiro]
|
v
[23.5 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX045]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) realizar uma avaliação de risco estruturada seguindo as etapas do NIST SP 800-30; (2) explicar as fraquezas das matrizes de risco; (3) aplicar uma abordagem que começa pela consequência, partindo dos piores efeitos sobre o serviço; e (4) comparar as duas abordagens num caso e dizer quando cada uma é apropriada. O capítulo se apoia nos Capítulos 1, 12, 15 e 19–22 e prepara o Capítulo 24 (controles) e o Capítulo 26 (métodos II).
23.1 Uma avaliação de risco estruturada
O NIST SP 800-30 descreve a avaliação de risco em etapas: preparar (finalidade, escopo, premissas, fontes); conduzir (identificar as fontes e os eventos de ameaça, as vulnerabilidades e as condições predisponentes, determinar a probabilidade e o impacto, determinar o risco); comunicar os resultados; e manter a avaliação à medida que as coisas mudam (SP 800-30 Rev. 1). A força do método é a disciplina: ele obriga você a escrever o escopo e as premissas e a dizer de onde veio cada julgamento. Os seus resultados costumam ser classificações qualitativas (de muito baixo a muito alto) em escalas que a organização define.
23.2 O problema das matrizes
Muitas organizações combinam as classificações de probabilidade e impacto numa matriz de risco 5×5. As matrizes são fáceis de comunicar, mas têm problemas conhecidos. Rótulos ordinais ("3 = possível") são multiplicados como se fossem números. Riscos muito diferentes recebem a mesma célula. Eventos raros e catastróficos caem na mesma cor que eventos frequentes e menores. As classificações dependem muito de quem está na sala. O hábito do Capítulo 1 ajuda: sempre que possível, ponha quantidades aproximadas por trás dos rótulos (uma faixa de probabilidade anual, uma duração de interrupção, um dano) e mostre a pior consequência crível separada da classificação.
23.3 Consequência primeiro
Nos serviços críticos, a probabilidade é muitas vezes a entrada menos conhecível: os adversários se adaptam, e os eventos que mais importam são raros. Uma abordagem de consequência primeiro começa pela outra ponta: identifique os desfechos que não podem acontecer (perda do abastecimento de água do hospital por mais de 8 horas; dosagem de cloro descontrolada), rastreie quais funções e sistemas poderiam causá-los e pergunte o que um adversário ou uma falha precisaria alcançar para cada um. A Consequence-driven Cyber-informed Engineering (CCE) do Idaho National Laboratory formaliza isso: identificar os eventos de alta consequência, mapear os sistemas envolvidos, iluminar os caminhos que um adversário tomaria e mitigar — de preferência com mudanças de engenharia que eliminem a possibilidade, em vez de detectá-la (INL CCE). A ISA/IEC 62443-3-2 também baseia a sua avaliação de risco para o projeto de sistemas em zonas, conduítes e consequências (página de catálogo da IEC 62443-3-2).
23.4 Exemplo resolvido: a dosagem de cloro na CW (sintético)
Este caso é sintético. Visão da matriz de risco: a ameaça "alteração não autorizada do setpoint de dosagem de cloro" recebe probabilidade 2 (improvável) e impacto 5 (grave) = 10, âmbar. O registro diz "monitorar". Visão de consequência primeiro: o desfecho inaceitável é "água saindo da estação com cloro fora dos limites seguros por tempo suficiente para prejudicar os consumidores". Caminhos: uma alteração de setpoint a partir da IHM (erro do operador ou comprometimento); um comando forjado para o PLC de dosagem pela rede de controle; um sensor informando um cloro residual falso, de modo que o controlador dose demais; um notebook de fornecedor conectado ao PLC. Mitigações de engenharia que não dependem de detectar o atacante: uma vazão máxima da bomba dosadora limitada por fiação; um analisador independente de cloro residual na saída que fecha a válvula de saída por um circuito separado; uma chave física para o modo de programação do PLC. A matriz dizia "monitorar"; a análise de consequências produziu três mudanças concretas, uma das quais (o limite físico) elimina o desfecho mais perigoso, não importa como o atacante tenha entrado.
23.5 Atividade prática
Pegue a sinalização do VLT da Calder Transit. Escreva uma consequência inaceitável, três caminhos até ela (pelo menos um não malicioso) e uma mitigação de engenharia que elimine ou limite a consequência. Depois classifique o mesmo cenário numa matriz 5×5 e compare o que cada abordagem lhe disse.
Para a sinalização, uma consequência inaceitável pode ser "dois trens autorizados no mesmo bloco". Os caminhos incluem uma configuração corrompida do intertravamento depois de uma manutenção (não malicioso), um comando forjado a partir de uma estação de controle comprometida e um circuito de via com falha lido como livre. Uma mitigação de engenharia é a própria lógica de segurança do intertravamento, independente da estação de controle. Numa matriz 5×5, o mesmo cenário pode receber 5 de impacto e 1 de probabilidade, dando uma célula que o subestima.
23.6 Erros comuns e limites
- Multiplicar rótulos ordinais como se fossem medições.
- Classificar a probabilidade de ações novas de adversários com falsa confiança.
- Tratar "monitorar" como mitigação.
- Uma análise de consequência primeiro que só lista consequências e nunca mapeia caminhos nem mitigações.
- Ignorar os caminhos não maliciosos até a mesma consequência.
O exemplo do cloro mostra diretamente o terceiro erro: o resultado "monitorar" da matriz deixou possível o desfecho perigoso. O primeiro erro produziu a sua nota de 10. A análise de consequências evitou o quarto ao nomear caminhos e mitigações, e o quinto ao listar o erro do operador e as leituras falsas de sensor como caminhos ao lado do comprometimento.
Exercícios — capítulo 23
EX045 — Mesma célula, risco diferente. Objetivo: expor os limites da matriz. Entradas: risco A: probabilidade 5, impacto 2 (interrupções diárias incômodas do Wi-Fi da equipe); risco B: probabilidade 2, impacto 5 (perda da ventilação do centro cirúrgico do CVH). Etapas: calcule as duas notas da matriz, explique por que a nota igual engana e proponha como apresentá-los no lugar disso. Evidência esperada: notas e explicação. Rubrica: 3 = ambas 10; explica o mau uso dos ordinais e a natureza diferente do dano; propõe uma coluna separada de pior consequência crível ou faixas quantitativas; 2 = parcial; 1 = só as notas; 0 = nada.
EX046 — Consequência primeiro. Objetivo: aplicar o método. Entradas: o switch de pagamentos da Calder Mutual. Etapas: defina uma consequência inaceitável, mapeie três caminhos e dê uma mitigação de engenharia e uma procedimental. Evidência esperada: a análise. Rubrica: 3 = consequência específica (por exemplo, transferências fraudulentas de alto valor liberadas, ou pagamentos indisponíveis por > 4 h no dia do salário), caminhos plausíveis incluindo insider/erro, mitigação de engenharia (limites rígidos de transação, confirmação fora de banda) e uma procedimental; 2 = genérico; 1 = só a consequência; 0 = nada.
Síntese do capítulo
A avaliação de risco estruturada traz disciplina ao escopo, às premissas e ao julgamento; as matrizes de risco simplificam a comunicação, mas distorcem as comparações. Os métodos de consequência primeiro, como a CCE, partem do que não pode acontecer e preferem mitigações de engenharia que limitam o dano, não importa quem seja o atacante. Use os dois e diga qual deles orienta cada recomendação.
Continue estudando — capítulo 23 de 40
← Capítulo 22 · Índice de capítulos do curso · Capítulo 24 →
Siga para a próxima lição escrita.