Capítulo 33 — Infraestrutura crítica e segurança setorial: segurança operacional e resiliência
Mapa da aula
Aula 33 publicada. Mapa, exemplo, EX034.
flowchart TD
N0["33.1 STPA"]
N1["33.2 Sistemas instrumentados de segurança e independ"]
N2["33.3 Resiliência"]
N3["33.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX034"]
Desenho lógico
flowchart LR
N0["33.1 STPA"]
N1["33.2 Sistemas instrumentados de segurança e independ"]
N2["33.3 Resiliência"]
N3["33.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX034"]
[33.1 STPA]
|
v
[33.2 Sistemas instrumentados de segurança e independ]
|
v
[33.3 Resiliência]
|
v
[33.5 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX034]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) aplicar a Análise de Processos Teórica de Sistemas (STPA) a uma estrutura de controle, incluindo causas relacionadas à segurança da informação; (2) descrever os sistemas instrumentados de segurança e por que eles precisam de independência; (3) definir e projetar a resiliência — antecipar, resistir, recuperar-se, adaptar-se; e (4) integrar segurança operacional, segurança da informação e resiliência numa única análise. Ele se apoia nos capítulos 10, 17, 23 e 32 e prepara os capítulos 34 e 47.
33.1 STPA
Leveson (2004) propôs o STAMP, um modelo de acidentes que trata a segurança operacional como um problema de controle: os acidentes surgem quando as restrições sobre o comportamento do sistema não são impostas. A STPA, o método de análise construído sobre ele, procede assim: (1) definir perdas e perigos; (2) modelar a estrutura de controle — controladores, ações de controle, realimentação; (3) identificar ações de controle inseguras (UCAs) de quatro tipos: não fornecida quando necessária, fornecida quando insegura, fornecida cedo/tarde demais ou na ordem errada, interrompida cedo demais ou aplicada por tempo demais; (4) identificar cenários de perda — por que cada UCA poderia ocorrer, incluindo realimentação falha, modelos de processo falhos e, para a segurança da informação (STPA-Sec), a ação de um adversário. A força da STPA é encontrar perigos que surgem de interações em que nenhum componente falhou — exatamente a situação de um ataque de dados falsos.
33.2 Sistemas instrumentados de segurança e independência
Um sistema instrumentado de segurança (SIS) leva um processo a um estado seguro quando uma condição perigosa é detectada, de forma independente do sistema básico de controle do processo. As normas de segurança funcional (IEC 61508 e suas derivadas setoriais) atribuem níveis de integridade de segurança. Independência significa sensores, lógica e elementos finais separados e, em termos modernos, redes e acesso de engenharia separados, porque uma estação de engenharia comprometida que consiga reprogramar tanto a lógica de controle quanto a de segurança elimina a independência. O TRITON visou diretamente controladores de SIS (relatório HatMan da CISA).
33.3 Resiliência
A NIST SP 800-160 Vol. 2 Rev. 1 estrutura a ciber-resiliência em torno dos objetivos de antecipar, resistir, recuperar-se e adaptar-se, com técnicas como diversidade, segmentação, redundância, não persistência e resposta adaptativa. Haimes (2009) argumenta que a resiliência precisa ser definida em relação a ameaças e estados do sistema específicos. Projetar a resiliência significa: projetar modos degradados (Capítulo 22), manter capacidade e reservas (armazenamento, baterias, peças de reposição), tornar a recuperação rápida e praticada (Capítulo 47) e aprender depois dos eventos. Para a LRWA, o tanque do hospital, as baterias dos gabinetes e as 72 horas de operação automática local são reservas; o ensaio de recuperação é a prática.
33.4 Exemplo resolvido: STPA no controle de nível de Hollin Hill (sintético)
Perda L1: hospital sem água; L2: transbordamento do reservatório e inundação. Perigos: H1 nível abaixo do mínimo enquanto a demanda continua; H2 nível acima do transbordamento. Estrutura de controle: operador do SCADA → controlador PI (velocidade da bomba da PS3) → bomba → reservatório; realimentação pelo transmissor de nível. UCAs: UCA1 "o controlador reduz a vazão de entrada quando o nível está baixo" (fornecida quando insegura → H1); UCA2 "o operador não intervém quando o nível cai" (não fornecida → H1); UCA3 "o controlador aumenta a vazão de entrada quando o nível está alto" (→ H2). Cenário para a UCA1: o modelo de processo do controlador acredita que o nível está alto porque a realimentação de nível foi falsificada (Laboratório 7). Cenário para a UCA2: a tela do operador mostra o mesmo nível falsificado. Restrições: medição de nível independente com alarme (EX034); desligamento da bomba por nível alto, com fiação dedicada, para H2; alarme de nível baixo ao operador a partir da medição independente. A STPA chegou ao mesmo controle que o detector de resíduos, mas partindo do perigo, e não do ataque.
33.5 Atividade prática
Estenda a §33.4 com a malha de dosagem: perdas, perigos, estrutura de controle, pelo menos quatro UCAs (uma de cada tipo) e um cenário de perda para cada, um deles adversarial. Comece com perdas como danos aos consumidores por superdosagem ou subdosagem, e perigos como o cloro residual fora de seus limites. Desenhe a estrutura de controle: o operador, o controlador de dosagem, a bomba dosadora e o analisador que realimenta o residual. Use os limites no lado do controlador e o alarme do analisador independente dos controles de dosagem do TMRP ao derivar as restrições, e faça do seu cenário adversarial um em que a realimentação do controlador é falsificada.
33.6 Erros comuns e limites
- Análise de perigos que ignora adversários, ou análise de segurança da informação que ignora perigos.
- "Independência" do SIS com estação de engenharia ou rede compartilhada.
- Resiliência definida como "uptime".
- STPA reduzida a uma checklist sem estrutura de controle.
O EX066 mostra o segundo erro em Fenwick, onde o sistema de desligamento por vazamento de gás cloro compartilha a estação de engenharia e o switch de rede com os controladores de processo. A análise de Hollin Hill do TMRP evita o primeiro erro incluindo a realimentação de nível falsificada como cenário de perda ao lado das falhas aleatórias, e trata a resiliência como serviço entregue ao longo do tempo, e não como uptime dos servidores.
Exercícios — capítulo 33
EX065 — Tabela de UCAs. Objetivo: identificar ações de controle inseguras. Entradas: §33.5. Passos: produza a tabela de UCAs com os quatro tipos e os cenários. Evidência esperada: tabela. Rubrica: 3 = quatro tipos corretamente aplicados, cenários incluem realimentação falha e ação de adversário, restrições derivadas; 2 = tipos confundidos; 1 = lista de falhas, e não de ações de controle; 0 = nada.
EX066 — Auditoria de independência. Objetivo: testar a independência do SIS. Entradas: o sistema de desligamento por vazamento de gás cloro de Fenwick compartilha a estação de engenharia e o switch de rede com os controladores de processo. Passos: identifique as violações de independência e proponha uma arquitetura que restaure a independência, com os riscos residuais. Evidência esperada: meia página. Rubrica: 3 = estação e switch compartilhados identificados, acesso de engenharia separado com chave física ou estação separada, rede separada ou fiação dedicada, residual declarado; 2 = uma violação não percebida; 1 = genérico; 0 = nada.
Síntese do capítulo
A STPA trata as perdas como falhas de controle e encontra ações de controle inseguras que surgem de interações, incluindo as adversariais. Os sistemas instrumentados de segurança precisam ser independentes em sensores, lógica, redes e acesso de engenharia. A resiliência — antecipar, resistir, recuperar-se, adaptar-se — precisa ser definida diante de ameaças específicas e projetada por meio de modos degradados, reservas e recuperação praticada.
Continue estudando — capítulo 33 de 50
← Capítulo 32 · Índice de capítulos do curso · Capítulo 34 →
Siga para a próxima lição escrita.