Capítulo 19 — Segurança de TO, IoT e sistemas ciberfísicos: escopo e teoria

Mapa da aula

Aula 19 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["19.1 Definições"]
  N1["19.2 A malha como ativo"]
  N2["19.3 Mapa das normas"]
  N3["19.4 Segurança física e segurança da informação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["19.1 Definições"]
  N1["19.2 A malha como ativo"]
  N2["19.3 Mapa das normas"]
  N3["19.4 Segurança física e segurança da informação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX055"]

[19.1 Definições]
    |
    v
[19.2 A malha como ativo]
    |
    v
[19.3 Mapa das normas]
    |
    v
[19.4 Segurança física e segurança da informação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) definir TO, IIoT, IoT de consumo e sistemas ciberfísicos, e onde eles se sobrepõem; (2) explicar a malha de realimentação como o objeto a ser protegido; (3) identificar as normas centrais de cada domínio; e (4) descrever por que a engenharia de segurança física e a de segurança da informação precisam ser coordenadas.

19.1 Definições

Tecnologia operacional é o hardware e o software que monitoram ou controlam dispositivos e processos físicos. O NIST SP 800-82r3 ampliou o seu escopo de "sistemas de controle industrial" para a TO em geral, incluindo automação predial e transporte. Dispositivos IoT são coisas conectadas à rede com sensoriamento ou atuação; o NIST IR 8259 enquadra as atividades de base que os fabricantes devem realizar para eles. Um sistema ciberfísico é a combinação de computação, rede e processo físico numa malha fechada. A LDHP contém os três: o PLC-H e o SIS-H são TO, os medidores de calor e os gateways são IoT, e a malha de temperatura de ida é um sistema ciberfísico.

19.2 A malha como ativo

O que um defensor de TO protege não é um computador, mas uma malha de realimentação: sensor → controlador → atuador → processo → sensor. Um atacante pode falsificar a leitura do sensor, alterar a lógica ou os parâmetros do controlador, sobrepor-se ao atuador ou interromper a comunicação que os liga. Cada uma dessas ações corresponde a táticas do ATT&CK for ICS, como Impair Process Control e Inhibit Response Function. A malha da LDHP de Maya é TT-101 → PLC-H → válvula de combustível FV-12 → caldeira → TT-101. Para cada elemento, ela nomeia um ataque e a salvaguarda independente dele: o SIS-H, com o seu próprio transmissor TT-101S, cabeado ao corte de combustível.

19.3 Mapa das normas

A IEC 62443 cobre sistemas de automação e controle industrial para proprietários de ativos, integradores e fornecedores de produtos. O NIST SP 800-82r3 é um guia para programas de segurança de TO. O NIST IR 8259 (e o 8259A) fixa linhas de base de capacidades de cibersegurança de dispositivos IoT para fabricantes. A ETSI EN 303 645 é a linha de base europeia para IoT de consumo. Elas se sobrepõem, mas respondem a perguntas diferentes: quem precisa fazer o quê, para que tipo de sistema. Para a LDHP: a IEC 62443 para o PLC-H e a zona de controle, o SP 800-82r3 para o programa, o IR 8259 e a EN 303 645 para os medidores e os gateways.

19.4 Segurança física e segurança da informação

A segurança funcional (IEC 61508; IEC 61511 para as indústrias de processo) pressupõe falhas aleatórias e sistemáticas; a segurança da informação pressupõe um adversário. Um sistema instrumentado de segurança precisa continuar independente, para que uma perturbação de processo induzida por ataque cibernético ainda termine num estado seguro. Tanto a IEC 62443 quanto a IEC 61511 orientam os profissionais a coordenar as duas análises. Na LDHP, o SIS-H corta o fornecimento de combustível em alta temperatura usando o TT-101S, um transmissor separado do TT-101 do PLC-H, e o trip é cabeado. Um ataque cibernético que leve o PLC-H a superaquecer a caldeira ainda encontra um trip independente, desde que nada na rede consiga alterar o ponto de trip do SIS-H.

Exemplo resolvido (LDHP sintética)

Maya mapeia a malha de temperatura de ida da LDHP: TT-101 → PLC-H → válvula de combustível FV-12 → caldeira → TT-101. Ela lista um ponto de ataque por elemento e a salvaguarda independente: o SIS-H, com o seu próprio transmissor de temperatura TT-101S, cabeado ao corte de combustível.

Caso sintético — Lakeside District Heating Plant. As tags da malha são inventadas.

Erros e limites

Rótulos como "TO" e "IoT" são conveniências; um sensor de gestão predial em Wi-Fi é as duas coisas. Não escolha uma norma pela familiaridade com a marca; escolha pelo papel e pelo tipo de sistema.

Exercícios

• EX055 — Quatro pontos de ataque numa malha. Nomeie um ponto de ataque para cada elemento da malha do TT-101.
  Mostrar critérios de avaliação

  Rubrica: 3 = quatro, um por elemento; 2 = três; 1 = dois; 0 = nada.
• EX056 — Associando normas a papéis. Qual documento serve para (a) a linha de base do produto do fabricante de medidores, (b) o próprio programa de segurança de TO da LDHP?
  Mostrar critérios de avaliação

  Rubrica: 3 = NIST IR 8259 ou ETSI EN 303 645 / IEC 62443-4-2; e SP 800-82r3 ou IEC 62443-2-1; 2 = um; 1 = a mesma resposta para os dois; 0 = nada.
• EX057 — Por que o TT-101S importa. Explique por que o SIS-H usa o seu próprio transmissor em vez de ler o TT-101 por meio do PLC-H.
  Mostrar critérios de avaliação

  Rubrica: 3 = um caminho TT-101/CLP falsificado ou com falha cegaria o SIS; independência; 2 = parcial; 1 = custo; 0 = nada.

Síntese

A segurança de TO, IoT e sistemas ciberfísicos protege malhas de realimentação; a norma certa depende do seu papel, e a independência da segurança física é inegociável.