Capítulo 23 — Segurança de TO, IoT e sistemas ciberfísicos: métodos I
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Começar pela consequência"]
N1["23.2 O fluxo de trabalho da 62443-3-2 em linhas gera"]
N2["23.3 Matrizes e as suas armadilhas"]
N3["23.4 Risco residual"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Começar pela consequência"]
N1["23.2 O fluxo de trabalho da 62443-3-2 em linhas gera"]
N2["23.3 Matrizes e as suas armadilhas"]
N3["23.4 Risco residual"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX067"]
[23.1 Começar pela consequência]
|
v
[23.2 O fluxo de trabalho da 62443-3-2 em linhas gera]
|
v
[23.3 Matrizes e as suas armadilhas]
|
v
[23.4 Risco residual]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) realizar uma avaliação de risco orientada a consequências para uma zona; (2) usar com responsabilidade uma matriz de probabilidade–consequência; (3) relacionar a avaliação com o fluxo de trabalho da IEC 62443-3-2; e (4) registrar o risco residual com um responsável.
23.1 Começar pela consequência
Em TO, a avaliação começa perguntando o que o processo pode fazer que seria inaceitável — perda de calor no inverno, sobrepressão, escaldamento — e só depois quais caminhos cibernéticos poderiam causá-lo. Começar pelas vulnerabilidades produz longas listas de achados de baixo impacto; começar pela consequência concentra o esforço nas malhas que importam. Na LDHP, os resultados inaceitáveis são a perda de calor para 4.000 casas no inverno e a sobretemperatura na ida. O primeiro tem caminhos cibernéticos pelo registrador 100 e pela EWS-1; o segundo também tem um caminho, mas o trip independente do SIS-H limita a sua consequência. Começar por aí diz a Maya que ela deve examinar os conduítes do PLC-H antes das interfaces web dos gateways de medidores, embora os gateways fossem produzir mais achados numa varredura.
23.2 O fluxo de trabalho da 62443-3-2 em linhas gerais
A IEC 62443-3-2 descreve identificar o sistema em consideração, realizar uma avaliação de risco inicial de alto nível, dividi-lo em zonas e conduítes, realizar uma avaliação de risco detalhada por zona e documentar os requisitos de segurança e os níveis de segurança-alvo. Você não precisa da norma completa para praticar o raciocínio, mas cite-a corretamente. Aplicado à LDHP, o sistema em consideração é a planta da caldeira com os seus medidores. A avaliação inicial identifica a perda de calor como a consequência dominante. A divisão produz a zona de controle da caldeira, a zona dos medidores e o SIS-H como uma zona própria. A avaliação detalhada por zona produz, respectivamente, o SL-T 3, o SL-T 2 e a ausência de conduítes roteáveis propostos por Maya.
23.3 Matrizes e as suas armadilhas
Uma matriz 5 × 5 multiplica uma nota de probabilidade por uma nota de consequência. Ela é uma ferramenta de comunicação, não aritmética: "3 × 4 = 12" não significa duas vezes pior que 6. Erros de inversão de ordem acontecem quando as categorias são largas. Mantenha sempre o cenário narrativo ao lado da nota. Na LDHP, um cenário com nota 3 × 4 para a tomada de um gateway de medidores e outro com 2 × 5 para uma escrita de setpoint no PLC-H produzem 12 e 10, o que poria o gateway em primeiro lugar. As narrativas contam outra história: o gateway afeta o faturamento e a configuração de uma rua, a escrita de setpoint afeta o calor de todas as casas. Manter a narrativa ao lado do número é o que permite a um revisor pegar essa inversão, como faz a classificação de consequências de Maya no Capítulo 26 ao pôr a repetição de leituras por um morador abaixo da tomada de um gateway.
23.4 Risco residual
Depois dos controles, algum risco permanece. Ele precisa ter um responsável que o aceite por escrito, uma data de revisão e as suposições em que se apoia. Para o S-3, manipulação de setpoint, o risco residual após os controles do Capítulo 24 tem duas partes: um insider com acesso de engenharia, e uma escrita feita pela própria HMI-1, a origem que está na lista de permissão. O trabalho de conclusão de Maya mostra depois que a segunda é real: a única falha de detecção restante do seu monitor foi uma escrita originada na HMI. O responsável seria o gerente da planta da LDHP, como no exemplo resolvido abaixo, que o aceita por escrito supondo que as contas nominais tornam essas escritas atribuíveis, com data de revisão seis meses depois, ou antes, se a correlação do monitor com os logins dos operadores for construída.
Exemplo resolvido (LDHP sintética)
Cenário S-3: um malware no escritório alcança o PLC-H pela regra 14 e baixa o setpoint de ida (ATT&CK for ICS T0836). Consequência 4 (perda de calor em todo o distrito por horas, sem feridos, porque o SIS-H trata a sobretemperatura, mas não a subtemperatura). Probabilidade 3 antes dos controles. Depois de remover a regra 14 e acrescentar uma lista de permissão, probabilidade 1. Residual: permanece o insider com acesso de engenharia; responsável: gerente da planta; revisão em seis meses.
Caso sintético — Lakeside District Heating Plant. As notas são ilustrativas.
Erros e limites
A probabilidade de ataques direcionados é um julgamento, não uma frequência; declare quem a julgou e com que base. Não deixe uma nota baixa esconder uma consequência catastrófica.
Exercícios
- EX067 — Consequência primeiro. Escreva uma consequência inaceitável para a zona dos medidores IoT e o caminho cibernético que poderia causá-la. Rubrica: 3 = consequência concreta mais caminho; 2 = um; 1 = lista de vulnerabilidades; 0 = nada.
- EX068 — Interpretando notas da matriz. O cenário A tem nota 2 × 5 = 10 e o B, 5 × 2 = 10. Eles são igualmente urgentes? Rubrica: 3 = não; A tem consequência catastrófica e precisa de tratamento diferente; julgar pela narrativa; 2 = só "não"; 1 = sim; 0 = nada.
- EX069 — Registro de risco residual. Escreva a declaração de risco residual do S-3 depois dos controles. Rubrica: 3 = caminho restante, responsável, data de revisão, suposição; 2 = três; 1 = "risco aceito"; 0 = nada.
Síntese
Avaliação orientada a consequências, uso honesto de matrizes e risco residual com responsável fazem de um registro de riscos de TO uma ferramenta de decisão, e não uma planilha.
Continue estudando — capítulo 23 de 40
← Capítulo 22 · Índice de capítulos do curso · Capítulo 24 →
Siga para a próxima lição escrita.