Capítulo 34 — Infraestrutura crítica e segurança setorial: integração
Mapa da aula
Aula 34 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["34.1 Integração incremental"]
N1["34.2 Comportamento emergente"]
N2["34.3 Integração com as operações"]
N3["34.4 Interfaces organizacionais"]
N4["34.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["34.1 Integração incremental"]
N1["34.2 Comportamento emergente"]
N2["34.3 Integração com as operações"]
N3["34.4 Interfaces organizacionais"]
N4["34.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX067"]
[34.1 Integração incremental]
|
v
[34.2 Comportamento emergente]
|
v
[34.3 Integração com as operações]
|
v
[34.4 Interfaces organizacionais]
|
v
[34.6 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) planejar a integração de sistemas de forma incremental, com testes de interface; (2) integrar os controles de segurança às operações — alarmes, procedimentos, monitoramento e resposta a incidentes; (3) gerenciar interfaces organizacionais com fornecedores, operadoras e outras concessionárias; e (4) reconhecer comportamentos emergentes que só aparecem quando os componentes se combinam. Ele vem depois dos capítulos 31 a 33 e prepara o Ateliê de projeto II (Capítulo 35).
34.1 Integração incremental
Integre em pequenos incrementos, com testes de interface a cada passo: gateway com RTU; gateway com SCADA; SCADA com a réplica do historiador; sensores de monitoramento com o coletor de logs. Cada passo usa o documento de controle de interface (Capítulo 16) como sua especificação de teste. Quando um teste de integração falha, a especificação da interface diz qual lado está errado — ou revela que a especificação era ambígua. A ordem do TMRP segue os documentos de controle de interface: primeiro o gateway com a RTU na PS2, depois o gateway com o SCADA, depois a réplica na DMZ.
34.2 Comportamento emergente
Combinar componentes corretos pode produzir sistemas incorretos. Exemplos: um gateway de autenticação que armazena mensagens durante a perda do enlace e depois libera uma rajada na reconexão, inundando o poller do SCADA; o failover do par SCADA que zera os contadores contra repetição; um detector de anomalias que sinaliza cada retransmissão do gateway como um ataque. Os testes de integração precisam incluir cenários do sistema inteiro — perda e recuperação do enlace, failover, modo de manutenção —, e não apenas a conformidade das interfaces. O TMRP encontrou o primeiro exemplo nos testes de integração, como descreve o exemplo resolvido abaixo. Cada um precisa de um teste de cenário.
34.3 Integração com as operações
Um controle não está integrado até que as operações consigam usá-lo: alarmes com significado, prioridade e procedimentos de resposta claros; painéis que mostram o estado de segurança ao lado do estado do processo; playbooks que ligam os alarmes de segurança às decisões operacionais (passar para o manual local? chamar o gerente de plantão?); e treinamento. A prática de gestão de alarmes — racionalizar os alarmes para que cada um exija uma ação do operador — importa porque inundações de alarmes sem sentido escondem os reais. Na LRWA, o playbook para uma mudança inesperada de setpoint é o modo como os alarmes do gateway chegam às decisões operacionais. Cada novo alarme é racionalizado antes da liberação.
34.4 Interfaces organizacionais
A segurança da infraestrutura depende de organizações que você não controla: a operadora LTE, o fornecedor das RTUs, o integrador, a distribuidora de eletricidade, as concessionárias vizinhas para ajuda mútua. Torne as interfaces explícitas em contratos e acordos: deveres de notificação de incidentes e vulnerabilidades, condições de acesso, tempos de resposta do suporte e exercícios conjuntos. Um incidente na operadora também é um incidente seu. Para a LRWA, a operadora LTE é o exemplo mais claro, já que todo o conduto de campo do TMRP passa pela rede dela. O contrato deve fixar tempos de notificação e exercícios conjuntos com termos mensuráveis.
34.5 Exemplo resolvido: a rajada de reconexão (sintético)
Durante os testes de integração, a equipe desconecta a central LTE por 30 minutos. Na reconexão, cada um dos 42 gateways libera de uma vez 180 leituras armazenadas. O front-end do SCADA, dimensionado para o regime permanente, enfileira a rajada; os alarmes prioritários atrasam mais de dois minutos, violando R7. O modelo de filas do Laboratório 13 explica por quê: uma utilização acima de 0,9 faz o atraso explodir. Correção: os gateways encaminham imediatamente apenas o valor mais recente e quaisquer alarmes, e depois preenchem o histórico a uma taxa limitada no historiador, e não no poller do SCADA. A correção é registrada como uma mudança de interface (revisão do ICD) e um teste de regressão.
34.6 Atividade prática
Projete um teste de integração que combine o failover do SCADA com a proteção contra repetição, declarando o comportamento esperado, as observações e o critério de aprovação. Descreva a sequência: um servidor SCADA faz failover para seu parceiro enquanto os gateways continuam enviando mensagens autenticadas. O comportamento esperado é que o lado receptor continue rejeitando repetições depois do failover, o que significa que o último contador aceito de cada estação precisa ser compartilhado ou persistido. Observe se alguma mensagem antiga é aceita e se os alarmes ainda chegam em até 60 segundos. O critério de aprovação é zero repetições aceitas e nenhuma lacuna na entrega de alarmes.
34.7 Erros comuns e limites
- Integração "big bang" no final.
- Apenas testes de interface, sem cenários do sistema inteiro.
- Alarmes de segurança sem procedimentos operacionais.
- Contratos omissos sobre notificação de incidentes e divulgação de vulnerabilidades.
- Tratar problemas emergentes como bug de um único componente, e não como questão de interface.
A rajada de reconexão mostra o segundo e o último erros: cada componente passou em seus testes de interface, mas juntos atrasaram os alarmes, e a correção foi uma mudança de interface, e não um bug isolado. A integração na LRWA avança uma interface por vez. Cada passo tem seu próprio teste de interface.
Exercícios — capítulo 34
EX067 — Aritmética da rajada. Objetivo: quantificar a rajada de reconexão. Entradas: 42 gateways × 180 leituras liberadas em 10 s; o front-end do SCADA processa 50 mensagens/s. Passos: calcule o tempo para escoar a rajada supondo que ela chegue toda de uma vez; calcule quanto espera um alarme prioritário no fim da fila; compare com R7. Evidência esperada: números. Rubrica: 3 = 7.560 mensagens / 50 por s = 151,2 s, viola os 60 s, explica a fila com prioridade ou a correção do valor mais recente; 2 = aritmética certa, sem correção; 1 = aritmética errada; 0 = nada.
EX068 — Acordo com a operadora. Objetivo: especificar uma interface organizacional. Entradas: o contrato da operadora LTE. Passos: liste seis cláusulas relevantes para a segurança, com termos mensuráveis. Evidência esperada: lista. Rubrica: 3 = tempo de notificação de incidentes, divulgação de vulnerabilidades, notificação de manutenção, prioridades de restauração, registro de acessos, exercício conjunto, com números; 2 = sem números; 1 = genérico; 0 = nada.
Síntese do capítulo
Integre de forma incremental, com testes de interface e cenários do sistema inteiro, porque o comportamento emergente só aparece na combinação. Integre os controles às operações por meio de alarmes com significado, playbooks e treinamento. Torne as interfaces organizacionais explícitas e mensuráveis; sua segurança depende de organizações que você não controla.
Continue estudando — capítulo 34 de 50
← Capítulo 33 · Índice de capítulos do curso · Capítulo 35 →
Siga para a próxima lição escrita.