Capítulo 37 — Segurança de TO, IoT e sistemas ciberfísicos: operações
Mapa da aula
Aula 37 publicada. Mapa, exemplo, EX109.
flowchart TD
N0["37.1 Conteúdo do runbook"]
N1["37.2 Passagem de turno"]
N2["37.3 Encerramento"]
N3["Nota prática"]
N4["37.1b Calendário e kits sobressalentes"]
N5["Nota de campo — kit offline"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX109"]
Desenho lógico
flowchart LR
N0["37.1 Conteúdo do runbook"]
N1["37.2 Passagem de turno"]
N2["37.3 Encerramento"]
N3["Nota prática"]
N4["37.1b Calendário e kits sobressalentes"]
N5["Nota de campo — kit offline"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX109"]
[37.1 Conteúdo do runbook]
|
v
[37.2 Passagem de turno]
|
v
[37.3 Encerramento]
|
v
[Nota prática]
|
v
[37.1b Calendário e kits sobressalentes]
|
v
[Nota de campo — kit offline]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX109]
Objetivos de aprendizagem
Você vai (1) escrever o runbook de uma janela; (2) fazer a passagem de turno; (3) conduzir o encerramento, incluindo a desativação de contas e o lacre das evidências.
37.1 Conteúdo do runbook
Contatos, ponteiro para a permissão de trabalho, versões das ferramentas, condições de parada, árvore de escalonamento, caminhos das evidências. Mantenha-o curto o bastante para ser usado sob estresse.
O runbook da ABP feito por Lena cabe em quatro páginas impressas. Ele nomeia o líder da janela e o engenheiro de controle, aponta para a permissão de trabalho e lista as versões permitidas de cada ferramenta. As condições de parada, incluindo o tempo de ciclo em 50 ms, estão na primeira página, seguidas pela árvore de escalonamento e pela localização da pasta de evidências. O runbook v1.4 acrescentou o caminho do arquivo de kill switch depois que o exercício de mesa descobriu que ele faltava, e toda mudança desde então é registrada no histórico de versões.
37.2 Passagem de turno
Log do turno: constatações abertas, últimos ids de eventos, aprovações pendentes, estado do kill switch, alarmes de processo durante a janela. Passagem verbal mais o log.
Na ABP, o líder que sai lê o log do turno em voz alta para o líder que entra, e os dois o rubricam. O log lista as constatações abertas com os donos, os últimos ids de eventos registrados pelo monitor, eventuais aprovações ainda pendentes, se o kill switch está armado e os alarmes de processo gerados durante a janela. Falar os itens em voz alta pega entradas que uma pessoa achava óbvias e a outra nunca tinha visto, como uma regra temporária aguardando remoção.
37.3 Encerramento
Desativar contas temporárias, trocar segredos, lacrar evidências, exportar métricas, agendar a retrospectiva. Um checklist vence a memória.
"""Lab: fit patch jobs into plant maintenance windows (synthetic, greedy by risk)."""
windows = [("W1 Sat 02-06", 4.0), ("W2 Sun 02-04", 2.0)]
jobs = [("HMI OS update", 1.5, 8), ("historian DB patch", 2.5, 5), ("PLC-A firmware", 3.0, 9),
("eng-WS AV update", 0.5, 3), ("switch firmware", 1.0, 6)] # name, hours, risk score
left = {w: h for w, h in windows}; plan = {w: [] for w, _ in windows}; deferred = []
for name, h, r in sorted(jobs, key=lambda j: -j[2]):
for w, _ in windows:
if left[w] >= h:
left[w] -= h; plan[w].append(name); break
else:
deferred.append(name)
for w, _ in windows:
print(w, plan[w], f"spare={left[w]:.1f}h")
print("deferred:", deferred)
Saída esperada:
W1 Sat 02-06 ['PLC-A firmware', 'switch firmware'] spare=0.0h
W2 Sun 02-04 ['HMI OS update', 'eng-WS AV update'] spare=0.0h
deferred: ['historian DB patch']
Caso sintético — Ashford Batch Plant. O encerramento pegou a correção adiada do historiador ainda sem data — escalada antes da retrospectiva.
O checklist de encerramento de Lena é executado por duas pessoas, e o seu resultado é guardado com um hash. Uma correção do historiador tinha sido adiada durante a janela sem data, então o checklist a sinalizou, e a correção recebeu um dono e uma data antes da reunião de retrospectiva.
37.4 Erros e limites
Runbooks em wikis que ninguém consegue acessar da sala de controle falham; mantenha uma cópia offline.
Na ABP, a sala de controle perdeu o acesso de rede à wiki durante uma janela, e o líder precisava da árvore de escalonamento imediatamente. Desde então, o runbook mais recente é impresso e guardado numa pasta ao lado da HMI-1, e uma cópia fica na estação de engenharia para uso offline. Cada cópia impressa traz o seu número de versão, e o checklist de encerramento confirma que a cópia em papel confere com a versão atual, para que um procedimento antigo não seja seguido por engano durante um incidente.
Nota prática
O plantão das ferramentas do CNHP não é licença para alargar condutos. Os acionamentos tratam da segurança das ferramentas e da imposição da permissão; os incidentes de processo seguem pelo caminho de resposta a incidentes e de segurança de processo da planta.
37.1b Calendário e kits sobressalentes
As janelas ficam num calendário compartilhado, com a versão da permissão de trabalho na descrição. A sobreposição acidental de dois métodos ruidosos no mesmo tronco é uma falha de operação. Os kits de operação incluem imagens sobressalentes do host de salto, cartões de contato impressos e cópias offline da permissão para quando o SSO estiver fora do ar.
O encerramento não é marcado como concluído até que os dois signatários do checklist sejam registrados pelo nome. A passagem de turno inclui ler em voz alta, para o líder que entra, as últimas dez negações do monitor.
Lena confere o calendário em cada passagem de turno. As sobreposições são registradas como constatações.
Nota de campo — kit offline
O SSO falhou durante uma janela de domingo. A cópia offline do runbook e os cartões de contato impressos permitiram que a equipe parasse de forma limpa e notificasse a segurança de processo. Desde então, o kit é conferido em todo encerramento.
As métricas de operação incluem os acionamentos por janela e o tempo médio para reconhecer as paradas; métricas de vaidade, como hosts tocados, ficam fora do painel de operações.
37.5 Exemplo resolvido — uma passagem de turno com conteúdo de segurança (ABP sintética)
A folha de passagem de turno da ABP ganha três linhas: alertas abertos do CNHP e quem é dono deles; qualquer sessão remota de fornecedor habilitada ou agendada; e qualquer regra temporária ou desvio em vigor, com o horário de expiração. Em 14 de março, o turno da noite registrou uma regra temporária de firewall para um diagnóstico de fornecedor, expirando às 06:00; o turno do dia conferiu às 06:15, encontrou-a ainda presente e a removeu com a concordância do engenheiro. Sem a linha na passagem de turno, a regra teria se tornado um conduto permanente. O encerramento de cada ordem de serviço de segurança exige o ponteiro da evidência e a confirmação de que as mudanças temporárias foram revertidas.
Exercícios
- EX109 — Checklist. Seis passos de encerramento. Rubrica: 3 = seis sensatos; 2 = quatro; 1 = dois; 0 = nada.
- EX110 — Passagem de turno. Três campos que o log do turno precisa incluir. Rubrica: 3 = constatações/eventos/aprovações (ou equivalente); 2 = dois; 1 = um; 0 = nada.
- EX111 — Laboratório. Qual trabalho foi adiado e o que o encerramento precisa registrar? Rubrica: 3 = correção do historiador + risco residual + data da próxima janela; 2 = só o nome; 1 = vago; 0 = errado.
Síntese
Opere com runbooks, passagens de turno e um encerramento implacável.
Continue estudando — capítulo 37 de 50
← Capítulo 36 · Índice de capítulos do curso · Capítulo 38 →
Siga para a próxima lição escrita.