Capítulo 39 — Segurança de TO, IoT e sistemas ciberfísicos: manutenibilidade
Mapa da aula
Aula 39 publicada. Mapa, exemplo, EX115.
flowchart TD
N0["39.1 Rotatividade"]
N1["39.2 Adaptadores finos"]
N2["39.3 Titularidade"]
N3["Nota prática"]
N4["39.1b Planos de descontinuação e de exclusão"]
N5["Nota de campo — bloqueio por férias"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX115"]
Desenho lógico
flowchart LR
N0["39.1 Rotatividade"]
N1["39.2 Adaptadores finos"]
N2["39.3 Titularidade"]
N3["Nota prática"]
N4["39.1b Planos de descontinuação e de exclusão"]
N5["Nota de campo — bloqueio por férias"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX115"]
[39.1 Rotatividade]
|
v
[39.2 Adaptadores finos]
|
v
[39.3 Titularidade]
|
v
[Nota prática]
|
v
[39.1b Planos de descontinuação e de exclusão]
|
v
[Nota de campo — bloqueio por férias]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX115]
Objetivos de aprendizagem
Você vai (1) reservar orçamento para atualizações de políticas e de dependências; (2) manter os adaptadores finos; (3) documentar a titularidade, incluindo a cobertura de férias.
39.1 Rotatividade
As técnicas do ATT&CK for ICS, os firmwares dos CLPs e as matrizes de suporte das IHMs dos fornecedores mudam. Reserve tempo de calendário para as atualizações; fixe as versões e acompanhe os avisos de segurança.
Na ABP, Lena mantém uma página de dependências que lista a versão do ATT&CK for ICS usada pelo mapeador, as revisões de firmware do PLC-A e do SIS-B e as versões suportadas pelo fornecedor da IHM. Uma assinatura dos avisos dos fornecedores alimenta uma revisão semanal, e cada versão fixada tem uma data de revisão. Quando a lista de técnicas muda, o plano de cobertura é reconstruído a partir da nova versão antes da avaliação seguinte, para que as 44 técnicas planejadas nunca se refiram em silêncio a um catálogo desatualizado.
39.2 Adaptadores finos
Isole os SDKs de terceiros atrás de interfaces, para que as atualizações não reescrevam o núcleo do repositório de constatações.
A equipe de Lena aprendeu isso com o adaptador de alarmes por raspagem de tela, que quebrava a cada atualização da IHM e tocava código muito além do seu propósito. O CNHP agora coloca toda biblioteca de fornecedor atrás de uma pequena interface de que a equipe é dona, com testes de contrato que usam saídas gravadas do fornecedor. Quando um fornecedor muda a sua biblioteca, só o adaptador e os seus testes mudam; a função permit, o repositório de constatações e o código do dossiê ficam intocados, e as notas de versão podem dizer exatamente qual parte mudou.
39.3 Titularidade
Todo serviço tem uma equipe dona nomeada e um substituto. O CODEOWNERS impõe a revisão. A falta de cobertura de férias bloqueia a versão.
Caso sintético — Ashford Batch Plant. O mapeador do ATT&CK for ICS é um adaptador; atualizar a lista de técnicas é um PR de dados, não uma reescrita.
Na ABP, a página de cada serviço do CNHP nomeia um dono e um substituto como pessoas, não como um alias de equipe. Antes de uma versão, as páginas são conferidas contra o calendário de férias, e uma versão sem cobertura durante a janela seguinte fica retida até que alguém seja treinado.
39.4 Erros e limites
Ferramentas órfãs apodrecem em museus de falha aberta.
O adaptador de alarmes por raspagem de tela da ABP é o exemplo que Lena usa: um engenheiro o entendia, ele precisou de onze correções em um ano e falhava em silêncio sempre que a IHM mudava. Uma ferramenta sem dono deixa de receber correções e, quando quebra, ninguém percebe se ela está falhando fechada ou aberta. A regra de Lena é que uma ferramenta sem dono e sem substituto seja adotada por uma pessoa nomeada em até um mês ou aposentada com uma data de exclusão publicada.
Nota prática
Escreva uma nota de fator ônibus: quem pode publicar versões, quem entende a permit(), quem pode restaurar o repositório lacrado. Se a resposta for uma única pessoa, agende treinamento cruzado antes da próxima temporada.
39.1b Planos de descontinuação e de exclusão
Anuncie as descontinuações da API com datas; mantenha períodos de execução dupla. A manutenibilidade inclui saber como aposentar uma ferramenta: exportar os dossiês, revogar as credenciais, arquivar o código. O calendário do CNHP reserva um mês anual de atualização de dependências, fora da parada geral da planta, para que as fixações por CVE não esperem por uma emergência.
As sessões de treinamento cruzado usam os mesmos dados de teste sintéticos do Laboratório I, para que um substituto pratique com as entradas pelas quais a versão será julgada; depois de uma sessão, o substituto treinado rodou o Laboratório I sozinho e a versão retida foi publicada.
Lena aplica esse plano a toda ferramenta do CNHP, inclusive ao adaptador substituído. A sua aposentadoria foi anunciada com antecedência.
Nota de campo — bloqueio por férias
Uma versão foi bloqueada porque a única pessoa que entendia a permit() estava de férias sem um substituto treinado. O treinamento cruzado com os dados de teste do Laboratório I, na semana seguinte, liberou o bloqueio. A manutenibilidade é, sobretudo, sobre as pessoas poderem tirar férias.
Os códigos de motivo descontinuados continuam legíveis pelos consumidores por uma versão completa depois que os produtores deixam de emiti-los.
A data de exclusão é anunciada na página do serviço com pelo menos uma versão de antecedência.
39.5 Exemplo resolvido — removendo um adaptador frágil (ABP sintética)
O CNHP tinha um adaptador sob medida que lia a exportação de alarmes do fornecedor da IHM por raspagem de tela. Cada atualização da IHM o quebrava, e só um engenheiro o entendia. A revisão de manutenibilidade de Lena mede a rotatividade (11 correções em um ano), a titularidade (uma pessoa) e o raio de impacto (estatísticas de alarmes de toda a planta). Ela o substitui pela interface de alarmes OPC UA suportada pelo fornecedor, mantém o adaptador somente de leitura por uma versão como contingência, publica uma data de exclusão e escreve o runbook para que um segundo engenheiro possa operar o novo caminho. Menos peças sob medida significam menos falhas silenciosas nas evidências de segurança.
Exercícios
- EX115 — Fixação. Como você fixa o monitor para uma janela e ainda permite correções de segurança? Rubrica: 3 = fixação de versão + mini Laboratório I para a correção urgente; 2 = parcial; 1 = sempre a mais recente; 0 = nada.
- EX116 — Adaptador. Um método numa interface StoragePort. Rubrica: 3 = por exemplo, put_evidence(hash,bytes); 2 = vago; 1 = chamada concreta do SDK; 0 = nada.
- EX117 — Dono. Linha de titularidade do monitor serial. Rubrica: 3 = equipe + substituto + contato; 2 = equipe; 1 = "o time"; 0 = nada.
Síntese
Fixações, adaptadores e donos nomeados mantêm as ferramentas vivas com segurança.
Continue estudando — capítulo 39 de 50
← Capítulo 38 · Índice de capítulos do curso · Capítulo 40 →
Siga para a próxima lição escrita.