Capítulo 10 — Ética e segurança na engenharia

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 Autorização não é entusiasmo"]
  N1["10.2 Duplo uso"]
  N2["10.3 Condições de parada que protegem o processo"]
  N3["Nota prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 Autorização não é entusiasmo"]
  N1["10.2 Duplo uso"]
  N2["10.3 Condições de parada que protegem o processo"]
  N3["Nota prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX028"]

[10.1 Autorização não é entusiasmo]
    |
    v
[10.2 Duplo uso]
    |
    v
[10.3 Condições de parada que protegem o processo]
    |
    v
[Nota prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) recusar o acesso não autorizado a plantas e os pedidos de duplo uso; (2) aplicar condições de parada que protejam a segurança do processo; (3) documentar o consentimento de modo que uma revisão possa reconstruí-lo.

10.1 Autorização não é entusiasmo

Um gerente de planta dizendo "pode ir em frente" num corredor não é uma autorização escrita. O trabalho em TO precisa de um escopo assinado que nomeie as unidades, os métodos, as janelas, as condições de parada e um contato de segurança de processo capaz de parar a planta. Sem esse documento, o engenheiro para. A NIST SP 800-82 e a ISA/IEC 62443 pressupõem atividades autorizadas e planejadas — não improvisação engenhosa.

Lena mantém uma cópia do escopo assinado com cada pacote de trabalho e a confere antes de cada sessão. Se o escopo não cobre um passo planejado, ela para e pede um aditamento, em vez de interpretá-lo com generosidade. O telefone do contato de segurança de processo está na própria permissão de trabalho.

10.2 Duplo uso

Este programa ensina zoneamento, monitoramento, medição e relato. Ele não ensina o desenvolvimento de exploits contra CLPs, pilhas de protocolo transformadas em armas nem contornos de sistemas de segurança. Quando um colega pede "só a PoC contra a marca X", a resposta é a descrição da constatação e o canal de divulgação do fornecedor, não um ataque funcional.

As recusas de Lena são educadas e específicas e apontam o que ela pode oferecer no lugar: uma constatação com consequências delimitadas, uma referência ao processo de divulgação do fornecedor e uma mudança de projeto que elimina a exposição. O registro de cada pedido e de cada recusa é guardado com as anotações do projeto.

10.3 Condições de parada que protegem o processo

Pare se: disparar um alarme de processo inesperado; a latência ou o tempo de ciclo exceder o orçamento; um sistema de segurança indicar uma falha; o contato de segurança de processo disser para parar. Bloqueios rígidos no software ajudam, mas as pessoas sempre prevalecem. Nunca desabilite uma função de segurança para "fazer o teste funcionar".

Caso sintético — Ashford Batch Plant. Durante um teste de bancada do monitor serial, o tempo de ciclo subiu acima de 50 ms. Lena parou, removeu o dispositivo e testou de novo num tronco sobressalente antes de reservar qualquer janela na planta.

Essas condições são impressas na permissão de trabalho.

10.4 Erros e limites

A ética é uma restrição sobre todos os capítulos seguintes. O texto jurídico aqui é orientação, não aconselhamento. Plantas em operação nunca são alvos dos laboratórios do curso.

Todos os capítulos seguintes pressupõem esse limite. O trabalho de Lena na ABP acontece sob um escopo assinado, com condições de parada nomeadas e um contato de segurança de processo; nada no curso é jamais dirigido a uma planta em funcionamento. Quando uma questão toca a lei, como a proteção de dados ou os contratos com fornecedores, ela consulta o assessor jurídico do local, em vez de se apoiar nas anotações do curso, e registra a orientação recebida.

Nota prática

Imprima as condições de parada na permissão de trabalho pendurada no painel. Sob ruído e pressão de tempo, as pessoas lembram do que conseguem ver. Uma condição de parada enterrada na página 12 de um PDF é uma condição de parada que será esquecida.

10.5 Exemplo resolvido — uma permissão que diz não (ABP sintética)

Um prestador pede para executar uma varredura Modbus ativa no PLC-A durante um lote, "para terminar o inventário mais rápido". A revisão da permissão por Lena aplica três testes: a autorização escrita do dono é específica para esse host e essa técnica (não é); existe uma condição de parada que um operador possa acionar (nenhuma foi escrita); e existe uma alternativa passiva (uma captura por porta espelhada mais a exportação do projeto de engenharia dá o mesmo inventário). Ela recusa a varredura ativa, registra o motivo e emite uma permissão apenas para a captura passiva, com o líder do turno nomeado como a pessoa que pode parar o trabalho. A NIST SP 800-82r3 adverte que a varredura ativa pode perturbar os dispositivos de TO, que é a razão de engenharia por trás da razão ética.

Exercícios

• EX028 — Recusa. Recusa em duas frases a um pedido de um exploit funcional de CLP para um trabalho avaliado. Rubrica: 3 = recusa, oferece uma alternativa permitida, cita a segurança; 2 = só recusa; 1 = vago; 0 = fornece o exploit.
• EX029 — Parada. Liste quatro condições de parada para uma janela na ABP. Rubrica: 3 = quatro relevantes para o processo; 2 = três; 1 = uma; 0 = nada.
• EX030 — Campos. Seis campos que uma permissão de trabalho de TO assinada precisa conter. Rubrica: 3 = unidades, métodos, janela, limites de taxa/impacto, contatos, parada/retomada; 2 = quatro; 1 = dois; 0 = nada.

Síntese

Permissão escrita, condições de parada que põem o processo em primeiro lugar e o hábito da recusa são engenharia de segurança.