Capítulo 5 — Comunicação em engenharia
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX013.
flowchart TD
N0["5.1 Três públicos"]
N1["5.2 Consequências delimitadas"]
N2["5.3 Estrutura de um relatório curto"]
N3["5.3b Palavras a evitar e palavras a usar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX013"]
Desenho lógico
flowchart LR
N0["5.1 Três públicos"]
N1["5.2 Consequências delimitadas"]
N2["5.3 Estrutura de um relatório curto"]
N3["5.3b Palavras a evitar e palavras a usar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX013"]
[5.1 Três públicos]
|
v
[5.2 Consequências delimitadas]
|
v
[5.3 Estrutura de um relatório curto]
|
v
[5.3b Palavras a evitar e palavras a usar]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX013]
Objetivos de aprendizagem
Você vai (1) escrever constatações de segurança de TO sobre as quais operadores e engenheiros de segurança de processo possam agir; (2) separar observação, consequência e recomendação; (3) evitar linguagem alarmista ou sem limites.
5.1 Três públicos
Um operador da sala de controle precisa saber o que observar. Um engenheiro de segurança de processo precisa saber se uma função de segurança é afetada. Um gerente precisa de custo e de tempo de parada. Uma constatação pode servir aos três se declarar: o ativo e a zona; o que foi observado e como; a consequência plausível para o processo; o estado da camada de segurança; a correção e a janela de manutenção necessária.
Lena escreve cada constatação uma vez, nessa ordem, para que cada leitor encontre rapidamente a sua parte. Uma constatação à qual falte qualquer uma dessas partes volta ao autor antes da revisão.
5.2 Consequências delimitadas
"Um atacante poderia explodir a planta" não é verdadeiro nem útil. Uma declaração delimitada diz: "Uma estação no L2 consegue escrever registradores de setpoint no PLC-A sem autenticação. Uma mudança do setpoint de nível do T-1 poderia fazer o tanque transbordar em cerca de 40 minutos; o trip independente de nível muito alto no SIS-B pararia a bomba de alimentação antes do transbordamento." Isso nomeia o caminho, o tempo e a camada de proteção que continua de pé.
Lena confere cada declaração delimitada com o engenheiro de segurança de processo antes do envio, já que os minutos até o transbordamento e o trip que segura vêm da análise de segurança, não da equipe de segurança cibernética.
5.3 Estrutura de um relatório curto
Resumo (três frases); escopo e método; constatações ordenadas por consequência; risco residual, com as camadas de proteção nomeadas; apêndice com referências às evidências. Diagramas de zonas valem mais do que páginas de tabelas de regras.
Os relatórios de Lena para o CNHP cabem em duas páginas mais o apêndice. O resumo nomeia a constatação mais grave e diz se alguma função de segurança é afetada. Cada constatação cita a sua evidência pelo hash e declara a janela de manutenção necessária para a correção, para que os planejadores possam agendá-la. Um diagrama de zonas com o conduto afetado destacado costuma explicar a constatação mais rápido do que o texto.
5.3b Palavras a evitar e palavras a usar
Evite "trivial", "catastrófico" e "totalmente comprometido": nenhuma dessas pode ser verificada. Use grandezas medidas — minutos até o transbordamento, número de zonas alcançáveis, camadas de proteção intactas — e nomeie a evidência. Um engenheiro de segurança confia muito mais numa constatação que diz "o SIS-B continua independente" do que numa que diz "tudo está em risco".
Caso sintético — Ashford Batch Plant. O primeiro rascunho de Lena de uma constatação dizia que a rede SCADA era "totalmente insegura". A versão revisada: "A regra de visualização remota L4→L2 permite que hosts do escritório alcancem os servidores SCADA (regra FW-12, observada na exportação de configuração de 3 de março). Recomenda-se a remoção; a visualização passa a ser feita pela réplica do historiador na DMZ. Tempo de parada: nenhum."
5.4 Erros e limites
Nunca inclua procedimentos de ataque funcionais nos relatórios; faça referência ao repositório de evidências. Não alegue uma consequência de segurança sem a revisão do engenheiro de segurança.
Evidências como as exportações de configuração ficam no repositório lacrado, e o relatório as cita pelo hash, de modo que qualquer pessoa com acesso possa verificá-las sem que o relatório carregue detalhes sensíveis. Lena envia toda constatação que mencione o SIS-B ou um trip ao engenheiro de segurança de processo para revisão antes da liberação e registra no relatório o nome do revisor. Uma consequência que o engenheiro não confirmou é escrita como pergunta, não como alegação.
Exercícios
- EX013 — Reescrita. Reescreva "o CLP pode ser hackeado" como uma frase de constatação delimitada para o PLC-A. Rubrica: 3 = caminho, zona, observação, limite da consequência, camada de proteção; 2 = falta um; 1 = ainda vago; 0 = inalterado.
- EX014 — Público. Para a constatação FW-12, escreva uma frase para cada um: operador, engenheiro de segurança e gerente. Rubrica: 3 = três frases sob medida; 2 = duas; 1 = uma; 0 = nada.
- EX015 — Risco residual. Depois da remoção da FW-12, declare um risco residual com honestidade. Rubrica: 3 = caminho remanescente específico (por exemplo, estação de engenharia, acesso remoto de fornecedor) e o seu controle; 2 = genérico; 1 = "nenhum"; 0 = nada.
Síntese
Boas constatações de TO são delimitadas, nomeiam as camadas de proteção e dão a cada público o que ele precisa para decidir.
Continue estudando — capítulo 05 de 50
← Capítulo 04 · Índice de capítulos do curso · Capítulo 06 →
Siga para a próxima lição escrita.