Capítulo 32 — Segurança de TO, IoT e sistemas ciberfísicos: interfaces interdisciplinares
Mapa da aula
Aula 32 publicada. Mapa, exemplo, EX094.
flowchart TD
N0["32.1 Engenheiros de segurança de processo"]
N1["32.2 Compras"]
N2["32.3 Operação e manutenção"]
N3["32.4 Direito e regulação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX094"]
Desenho lógico
flowchart LR
N0["32.1 Engenheiros de segurança de processo"]
N1["32.2 Compras"]
N2["32.3 Operação e manutenção"]
N3["32.4 Direito e regulação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX094"]
[32.1 Engenheiros de segurança de processo]
|
v
[32.2 Compras]
|
v
[32.3 Operação e manutenção]
|
v
[32.4 Direito e regulação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX094]
Objetivos de aprendizagem
Você vai (1) explicar como o trabalho de segurança faz interface com a segurança de processo, a operação, as compras e o direito; (2) escrever requisitos de segurança para uma especificação de compra; (3) participar de uma revisão conjunta de segurança física e segurança da informação; e (4) comunicar-se com profissionais que não são de segurança usando os termos deles.
32.1 Engenheiros de segurança de processo
As equipes de segurança de processo conduzem estudos de perigos e operabilidade (HAZOP) e determinam os níveis de integridade de segurança das funções instrumentadas de segurança segundo a IEC 61511. Um engenheiro de segurança da informação entra para perguntar, para cada perigo, se uma causa cibernética poderia iniciá-lo ou desabilitar a camada de proteção. O resultado é compartilhado: um registro de perigos que lista as causas cibernéticas ao lado das falhas de equipamento. A contribuição de Maya para o HAZOP da LDHP é o exemplo deste capítulo: "setpoint manipulado por escrita de rede não autorizada", acrescentado como causa para o nó de alta temperatura de ida, ao lado da falha do controlador e de uma válvula travada aberta.
32.2 Compras
O momento mais barato para corrigir a segurança é antes da compra. Uma especificação pode exigir capacidades da IEC 62443-4-2 num nível de segurança declarado, conformidade com a ETSI EN 303 645 para dispositivos do tipo consumo, um SBOM, um processo de divulgação de vulnerabilidades, um período de suporte definido e firmware assinado. Sem essas cláusulas, a planta herda o que quer que o fornecedor entregue. Para a próxima compra de medidores da LDHP, essas cláusulas teriam barrado o MTR-C antes da entrega: ele não tem mecanismo de atualização, contato de divulgação nem comunicação segura, três falhas que agora custam uma substituição dentro de 12 meses.
32.3 Operação e manutenção
Os operadores julgam qualquer mudança pelo seu efeito no turno. Apresente as mudanças de segurança nos termos deles: "esta mudança no firewall significa que a tela de tendências do historiador atualiza a cada 10 s, em vez de a cada 2 s." Os técnicos de manutenção precisam de procedimentos que caibam nas suas ferramentas; exigir um laptop que eles não carregam falha em silêncio. Na LDHP, a mudança na lista de permissão do Capítulo 27 seria apresentada à equipe de turno assim: "a HMI-1 continua escrevendo os mesmos setpoints; o historiador não consegue mais escrever nada; se uma escrita legítima for recusada, chame o engenheiro de controle, que pode vê-la no log do firewall". Essa frase responde à pergunta dos operadores, o que muda esta noite, sem uma palavra sobre códigos de função.
32.4 Direito e regulação
Dependendo da jurisdição, o aquecimento distrital pode ser regulado como infraestrutura crítica, com deveres de notificação de incidentes. A equipe de segurança precisa conhecer os prazos de notificação e quem notifica. Este livro dá orientação, não aconselhamento jurídico. Para um estudante de segurança na LDHP, o passo prático é descobrir com o próprio responsável de conformidade da planta qual regime se aplica, o que conta como incidente notificável e quem o notifica. No exercício de mesa do Capítulo 29, uma escrita de setpoint a partir da VLAN do escritório que cortou o calor por cinco minutos poderia muito bem atingir um limiar de notificação. Saber disso às 02:18 muda quais evidências o analista preserva e para quem o líder de turno liga em seguida.
Exemplo resolvido (LDHP sintética)
Na revisão HAZOP da LDHP para "alta temperatura de ida", as causas existentes eram falha do controlador e válvula travada aberta. Maya acrescenta "setpoint manipulado por escrita de rede não autorizada" como causa, com a salvaguarda existente do trip de alta temperatura do SIS-H (transmissor independente, cabeado) e uma salvaguarda adicional recomendada: os limites de setpoint do PLC-H (Capítulo 24).
Caso sintético — Lakeside District Heating Plant. O nó do HAZOP e as recomendações são inventados.
Erros e limites
Um engenheiro de segurança da informação não está qualificado para alterar determinações de SIL; recomende e deixe a equipe de segurança de processo decidir. As cláusulas de compra precisam ser verificadas na entrega.
Exercícios
- EX094 — Três cláusulas de compra. Escreva três cláusulas de segurança para a próxima compra de gateways de medidores da LDHP. Rubrica: 3 = três cláusulas específicas e verificáveis; 2 = duas; 1 = "deve ser seguro"; 0 = nada.
- EX095 — Uma causa cibernética no HAZOP. Para o nó "baixa vazão de circulação", acrescente uma causa cibernética e a sua salvaguarda. Rubrica: 3 = causa cibernética plausível mais salvaguarda independente; 2 = só a causa; 1 = falha de equipamento; 0 = nada.
- EX096 — Explicando uma mudança aos operadores. Explique em termos de operador a imposição da lista de permissão na HMI-1. Rubrica: 3 = o que eles veem, o que fazer se algo for bloqueado, para quem ligar; 2 = dois; 1 = jargão; 0 = nada.
Síntese
A segurança de TO tem sucesso por meio de outras disciplinas: revisões de segurança de processo, cláusulas de compra, mudanças centradas nos operadores e consciência dos deveres legais.
Continue estudando — capítulo 32 de 40
← Capítulo 31 · Índice de capítulos do curso · Capítulo 33 →
Siga para a próxima lição escrita.