Capítulo 24 — Segurança de TO, IoT e sistemas ciberfísicos: controles

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Famílias de controles"]
  N1["24.2 Associando controles ao S-3"]
  N2["24.3 Controles que prejudicam"]
  N3["24.4 Legados e controles compensatórios"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Famílias de controles"]
  N1["24.2 Associando controles ao S-3"]
  N2["24.3 Controles que prejudicam"]
  N3["24.4 Legados e controles compensatórios"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX070"]

[24.1 Famílias de controles]
    |
    v
[24.2 Associando controles ao S-3]
    |
    v
[24.3 Controles que prejudicam]
    |
    v
[24.4 Legados e controles compensatórios]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) escolher controles preventivos, detectivos e corretivos para um cenário; (2) mapeá-los para os requisitos fundamentais da IEC 62443-3-3; (3) reconhecer controles que poderiam prejudicar a disponibilidade ou a segurança física; e (4) projetar controles compensatórios para dispositivos legados.

24.1 Famílias de controles

A IEC 62443-3-3 agrupa os requisitos de sistema em sete requisitos fundamentais: controle de identificação e autenticação (FR 1), controle de uso (FR 2), integridade do sistema (FR 3), confidencialidade dos dados (FR 4), fluxo de dados restrito (FR 5), resposta oportuna a eventos (FR 6) e disponibilidade de recursos (FR 7). Usá-los como títulos mantém um plano de controles equilibrado. A tabela de controles de Maya para o S-3 mostra o efeito: cinco controles distribuídos entre os FR 1, 3, 5, 6 e 7. Sem os títulos, um primeiro rascunho tende a listar três regras de firewall e nada para a recuperação, que é a preocupação do FR 7. As colunas vazias, aqui o FR 2 e o FR 4, não são automaticamente lacunas, mas cada uma precisa de uma frase explicando por que não se aplica a esse cenário.

24.2 Associando controles ao S-3

Para o cenário de manipulação de setpoint: restringir o fluxo de dados com uma lista de permissão no firewall (FR 5); exigir contas nominais na HMI-1 (FR 1); acrescentar à lógica do PLC-H limites de setpoint confirmados pelo operador (na prática, FR 3, e também um controle de processo); alertar sobre escritas de setpoint vindas de qualquer host que não seja a HMI-1 (FR 6); manter backups testados da lógica do CLP (FR 7). A tabela de Maya registra por completo a linha do limite de setpoint: o PLC-H rejeita setpoints de ida fora de 70–110 °C, a menos que o modo de engenharia esteja ativo, FR 3, preventivo, com o modo de falha de bloquear uma mudança legítima fora da faixa durante o comissionamento, mitigado pelo modo de engenharia registrado, sob responsabilidade da engenharia de controle.

24.3 Controles que prejudicam

Uma prevenção de intrusão ativa que descarta escritas Modbus "suspeitas" pode bloquear um comando de emergência legítimo. O bloqueio de conta após logins malsucedidos pode trancar um operador do lado de fora durante um incidente. Cada controle precisa de uma pergunta sobre o modo de falha: se ele disparar errado, o que acontece com o processo? A linha do limite de setpoint de Maya faz essa pergunta e a responde: durante o comissionamento, um setpoint legítimo fora de 70–110 °C seria recusado, então o modo de engenharia, com registro, existe para esse caso. A mesma pergunta aplicada a um dispositivo de prevenção de intrusão em linha com o PLC-H tem uma resposta pior: se ele descartar a escrita de emergência de um operador durante uma falha numa noite fria, o processo perde o seu único caminho rápido de recuperação. É por isso que a LDHP monitora de forma passiva e impõe com a lista de permissão do firewall, que bloqueia pela origem, e não tentando adivinhar a intenção.

24.4 Legados e controles compensatórios

O firmware do PLC-H não consegue autenticar clientes Modbus. A abordagem compensatória é cercá-lo: conduítes com lista de permissão, para que só a HMI-1 e o HIST-1 o alcancem, monitoramento passivo do tráfego e proteção da estação de engenharia que consegue alterar a sua lógica. A lista de permissão do Capítulo 27 torna a primeira medida testável: a HMI-1 pode escrever nos registradores 100–119, o HIST-1 só pode ler, e todas as outras origens são bloqueadas. O monitoramento é o sensor passivo no switch de controle, e a proteção da EWS-1 inclui encaminhar os seus eventos de carregamento de drivers, que Maya acrescenta depois de ler o AA22-103A no Capítulo 31. Nenhuma dessas medidas altera o PLC-H; juntas, elas decidem quem consegue alcançá-lo.

Exemplo resolvido (LDHP sintética)

A tabela de Maya tem as colunas: controle, FR, previne/detecta/corrige, modo de falha, responsável. A linha do limite de setpoint diz: "O PLC-H rejeita setpoints de ida fora de 70–110 °C, a menos que o modo de engenharia esteja ativo — FR 3 — previne — modo de falha: bloqueia uma mudança legítima fora da faixa durante o comissionamento; mitigado pelo modo de engenharia com registro — responsável: engenharia de controle."

Caso sintético — Lakeside District Heating Plant. Os limites e os responsáveis são inventados.

Erros e limites

Controles listados, mas não testados, não oferecem garantia. O mapeamento para os FRs mostra a cobertura das categorias, não que um requisito esteja atendido no nível de segurança-alvo.

Exercícios

• EX070 — Mapeando um controle da zona dos medidores. Dê um controle para cada um dos FR 1, FR 5 e FR 6 na zona dos medidores.
  Mostrar critérios de avaliação

  Rubrica: 3 = três controles relevantes mapeados corretamente; 2 = dois; 1 = um; 0 = nada.
• EX071 — Fazendo a pergunta do modo de falha. Qual é o modo de falha de bloquear contas da HMI após três senhas erradas, e qual é uma alternativa mais segura?
  Mostrar critérios de avaliação

  Rubrica: 3 = operador trancado do lado de fora numa emergência; alertar e atrasar, ou isentar os consoles da sala de controle protegidos fisicamente; 2 = um; 1 = vago; 0 = nada.
• EX072 — Compensando um dispositivo que não autentica. Liste três controles compensatórios para um gateway de medidores que não consegue mudar a sua senha padrão.
  Mostrar critérios de avaliação

  Rubrica: 3 = isolar, restringir a interface de gerenciamento, monitorar, planejar a substituição (quaisquer três); 2 = dois; 1 = um; 0 = nada.

Síntese

Um bom plano de controles de TO cobre os sete requisitos fundamentais, pergunta como cada controle falha e cerca aquilo que não pode ser corrigido.