Capítulo 15 — Fundamentos de segurança
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX043.
flowchart TD
N0["15.1 CID mais segurança física"]
N1["15.2 Vulnerabilidade, exposição, risco"]
N2["15.3 Pontuações vazias"]
N3["Nota prática"]
N4["15.1b Da propriedade ao teste"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX043"]
Desenho lógico
flowchart LR
N0["15.1 CID mais segurança física"]
N1["15.2 Vulnerabilidade, exposição, risco"]
N2["15.3 Pontuações vazias"]
N3["Nota prática"]
N4["15.1b Da propriedade ao teste"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX043"]
[15.1 CID mais segurança física]
|
v
[15.2 Vulnerabilidade, exposição, risco]
|
v
[15.3 Pontuações vazias]
|
v
[Nota prática]
|
v
[15.1b Da propriedade ao teste]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX043]
Objetivos de aprendizagem
Você vai (1) mapear a CID e a segurança física para as perguntas de uma avaliação de TO; (2) distinguir vulnerabilidade, exposição e risco de processo; (3) recusar pontuações de segurança vazias.
15.1 CID mais segurança física
Confidencialidade: quem pode ler as receitas ou as tendências? Integridade: quem pode mudar setpoints ou a lógica? Disponibilidade: o que para o lote? Segurança física: quais camadas de proteção continuam independentes? Toda constatação deve dizer quais propriedades são afetadas e se uma função de segurança está no escopo.
Lena acrescenta a cada constatação do CNHP uma linha que nomeia as propriedades afetadas e se o SIS-B está no escopo. Na ABP, uma constatação sobre uma escrita não autenticada no PLC-A afeta a integridade e, pelo nível do tanque, possivelmente a segurança física; uma constatação sobre a réplica do historiador afeta a confidencialidade. Nomear a propriedade diz aos leitores qual equipe precisa responder.
15.2 Vulnerabilidade, exposição, risco
Uma escrita Modbus não autenticada é uma vulnerabilidade. Num CLP alcançável a partir do L2, ela é uma exposição. O risco de processo acrescenta a probabilidade e a consequência para a planta — o que exige o modelo do engenheiro de segurança, e não uma história universal baseada só no CVSS. Os tickets guardam os limites de consequência e as camadas de proteção separadamente; a aceitação do risco fica com o dono da planta.
O modelo de ticket de Lena tem campos separados para cada um, para que nenhum se perca. Lena registra a exposição, como a alcançabilidade a partir do L2, separadamente da vulnerabilidade, para que a correção de qualquer uma das duas possa ser acompanhada. O gerente da planta assina qualquer aceitação de risco residual.
15.3 Pontuações vazias
Um único "risco de TO = 42" esconde se a independência do SIS se mantém. Prefira medidas concretas: constatações abertas de alta consequência, condutos para o SIS, taxa de alarmes falsos do detector na taxa de base da planta, idade dos adiamentos de correções. Se mostrar uma pontuação, mostre o modelo e as entradas.
Caso sintético — Ashford Batch Plant. Lena parou de pôr uma pontuação composta nos slides do CNHP. A apresentação agora mostra: SIS alcançável a partir do L4? Não. Críticas abertas: 1. Alarmes por hora de operador: 1,05. Correções de alto risco adiadas: 0.
Cada medida do CNHP tem uma definição e uma fonte, para que possa ser recalculada.
15.4 Erros e limites
Os fundamentos são vocabulário; não são uma análise de perigos completa. Siga para a análise de ameaças e de falhas para um estudo estruturado.
O vocabulário ajuda as pessoas a descrever as constatações de forma coerente, mas não substitui a análise de perigos do processo da planta. Lena liga as constatações do CNHP à análise de perigos onde elas tocam um perigo e deixa os juízos de consequência para o engenheiro de segurança de processo. A análise de ameaças e de falhas, mais adiante no programa, dá o método estruturado. Cada constatação se liga ao perigo pertinente. O engenheiro de segurança revisa essas ligações.
Nota prática
Quando alguém pedir um painel de semáforos, ofereça três luzes que signifiquem algo: independência do SIS intacta (sim/não), constatações críticas abertas (contagem), correções adiadas além da data (contagem). Recuse uma quarta luz chamada "cibernética geral".
15.1b Da propriedade ao teste
Se uma constatação alega impacto na integridade, o plano de validação precisa incluir uma verificação de integridade (quem ainda consegue escrever). Se alega impacto na disponibilidade, como um CLP que deixa de responder às consultas, a validação usa um canário ou uma sondagem sintética na bancada — não um novo ataque à linha. Lena escreve a propriedade, a constatação e o método de novo teste num único parágrafo do ticket do CNHP, ao lado do número da permissão de trabalho. O resultado do novo teste vai para o mesmo ticket da constatação original, com a data e a verificação usada, para que o encerramento possa ser auditado depois.
Na ABP, a constatação FW-12 alegava uma exposição de integridade, então o seu novo teste verificou que a zona do escritório não conseguia mais alcançar o SCADA, usando o mesmo método de alcançabilidade.
Exercícios
- EX043 — Mapa. Mapeie a escrita de setpoint não autenticada no PLC-A para C/I/D/segurança física, com uma frase para cada. Rubrica: 3 = as quatro delimitadas; 2 = três; 1 = uma; 0 = nada.
- EX044 — Termos. Distinga vulnerabilidade, exposição e risco de processo para essa escrita. Rubrica: 3 = divisão clara; 2 = duas claras; 1 = confuso; 0 = nada.
- EX045 — Recusa da pontuação. Uma parte interessada quer uma pontuação de "hackeabilidade" de 0 a 100. Recuse com alternativas. Rubrica: 3 = recusa + medidas concretas; 2 = só recusa; 1 = vago; 0 = inventa a pontuação.
Síntese
Nomeie a propriedade, separe a exposição do risco de processo, prefira medidas que você possa recalcular.
Continue estudando — capítulo 15 de 50
← Capítulo 14 · Índice de capítulos do curso · Capítulo 16 →
Siga para a próxima lição escrita.