Capítulo 13 — Identidade e acesso
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["13.1 Contas compartilhadas quebram a atribuição"]
N1["13.2 Papéis que correspondem ao trabalho"]
N2["13.3 Acesso de emergência"]
N3["13.4 Acesso remoto de fornecedores"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["13.1 Contas compartilhadas quebram a atribuição"]
N1["13.2 Papéis que correspondem ao trabalho"]
N2["13.3 Acesso de emergência"]
N3["13.4 Acesso remoto de fornecedores"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX037"]
[13.1 Contas compartilhadas quebram a atribuição]
|
v
[13.2 Papéis que correspondem ao trabalho]
|
v
[13.3 Acesso de emergência]
|
v
[13.4 Acesso remoto de fornecedores]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) projetar contas nominais e baseadas em papéis para operadores, engenheiros e fornecedores; (2) explicar o requisito fundamental da IEC 62443 para controle de identificação e autenticação; (3) separar os privilégios de "visualizar", "operar" e "engenharia"; e (4) projetar acesso de fornecedores limitado no tempo.
13.1 Contas compartilhadas quebram a atribuição
Historicamente, as salas de controle usavam um único login por turno. Quando um setpoint muda, o log mostra "operador" — e não qual operador. A IEC 62443-3-3 agrupa os requisitos em sete requisitos fundamentais; o FR 1, controle de identificação e autenticação, pede que os usuários humanos sejam identificados de forma única. Contas nominais permitem que uma investigação separe um erro honesto de um uso indevido. Na LDHP, antes do novo desenho de Maya, a HMI-1 usava um único login compartilhado por turno, de modo que uma mudança de setpoint às 02:00 não podia ser rastreada até uma pessoa; o log dizia apenas "operator". O novo desenho deu a cada operador uma conta nominal, para que a investigação do Capítulo 15 possa perguntar a uma pessoa identificada o que ela mudou.
13.2 Papéis que correspondem ao trabalho
Na LDHP, três papéis bastam para a HMI-1: visualizar (tendências e alarmes), operar (reconhecer alarmes, alterar setpoints dentro dos limites) e engenharia (alterar limites, baixar lógica a partir da estação de engenharia). O FR 2, controle de uso, trata da imposição desses privilégios. Privilégio mínimo significa que um terceirizado que revisa tendências recebe apenas visualizar. O desenho de Maya segue esses papéis. Um operador de turno pode mover o setpoint de ida dentro dos limites de 70–110 °C do PLC-H; só um engenheiro pode alterar esses limites ou baixar lógica a partir da EWS-1. A conta de diagnóstico do fornecedor é somente de visualização, a menos que um chamado a eleve para uma sessão. É no FR 2 que essa regra é imposta.
13.3 Acesso de emergência
Uma planta não pode trancar os operadores do lado de fora durante uma emergência porque um servidor de diretório caiu. Projete contas de quebra de vidro (break-glass): credenciais lacradas, autenticação local, alerta imediato quando usadas e revisão após o evento. É a disponibilidade e a segurança física moldando o desenho de identidade. O desenho de Maya põe o envelope de quebra de vidro da LDHP no cofre do líder de turno. O seu uso dispara um alerta para o engenheiro de plantão, e a senha é trocada e o envelope relacrado após cada uso. A revisão pergunta por que o login baseado em diretório falhou, e não quem abriu o cofre.
13.4 Acesso remoto de fornecedores
Os fornecedores precisam de acesso remoto para diagnóstico. O alerta da CISA AA21-042A, sobre o comprometimento, em 2021, do sistema de controle de uma estação de tratamento de água nos EUA por meio de software de acesso remoto, recomendou autenticação multifator, senhas fortes para as credenciais de área de trabalho remota, auditoria das conexões remotas e fechamento das portas RDP não usadas. Um desenho mais seguro: um jump host na DMZ, autenticação multifator, sessões habilitadas pelo líder de turno por uma janela fixa, e gravação. O ponto de partida da LDHP lembrava o caso de 2021: uma ferramenta de área de trabalho remota sempre ligada para o fornecedor. O desenho de Maya a substituiu por sessões pelo jump host da DMZ, habilitadas por quatro horas por chamado, gravadas e revisadas semanalmente.
Exemplo resolvido (LDHP sintética)
Maya mapeia a prática atual: um login compartilhado na HMI, acesso do fornecedor por uma ferramenta de área de trabalho remota sempre ligada. O desenho dela: contas nominais em três papéis; envelope de quebra de vidro no cofre do líder de turno; sessões do fornecedor pelo jump host da DMZ, habilitadas por quatro horas por chamado, gravadas e revisadas semanalmente.
Caso sintético — Lakeside District Heating Plant. As contas e o fornecedor da LDHP são inventados; o alerta citado descreve um incidente real.
Erros e limites
MFA num console da sala de controle pode atrasar a resposta a emergências; use-a para acesso remoto e de engenharia, e confie na segurança física da sala de controle para a operação local onde isso se justificar.
Exercícios
- EX037 — Atribuindo um papel. Um terceirizado de manutenção da caldeira precisa verificar tendências de combustão durante uma semana. Que papel e que limite de tempo? Rubrica: 3 = só visualizar, expirando após a semana, conta nominal; 2 = papel certo; 1 = operar; 0 = engenharia.
- EX038 — Revisão da quebra de vidro. Liste três coisas a verificar depois que a conta de quebra de vidro foi usada. Rubrica: 3 = quem a usou e por quê, ações realizadas, credencial trocada; 2 = duas; 1 = uma; 0 = nada.
- EX039 — Lições do AA21-042A. Cite duas medidas de acesso remoto recomendadas no alerta sobre a estação de água que se aplicam à LDHP. Rubrica: 3 = duas medidas corretas; 2 = uma; 1 = genérico, "usar antivírus"; 0 = nada.
Síntese
Em TO, a identidade precisa tornar cada ação atribuível, fazer cada privilégio corresponder a uma função e tornar cada emergência sobrevivível.
Continue estudando — capítulo 13 de 40
← Capítulo 12 · Índice de capítulos do curso · Capítulo 14 →
Siga para a próxima lição escrita.