Capítulo 2 — Infraestrutura crítica e segurança setorial: prática atual

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX007.

flowchart TD
  N0["2.1 O que prática atual significa para um especialis"]
  N1["2.2 Linhas de base transversais aos setores"]
  N2["2.3 Os regimes setoriais criam tipos diferentes de o"]
  N3["2.4 Por que a prática setorial difere"]
  N4["2.5 Declarado, documentado e verificado"]
  N5["2.6 Priorizar pela consequência"]
  N6["2.8 Atividade prática: cobertura declarada versus ve"]
  N7["2.9 Criticar uma prática comum"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX007"]

Desenho lógico

flowchart LR
  N0["2.1 O que prática atual significa para um especialis"]
  N1["2.2 Linhas de base transversais aos setores"]
  N2["2.3 Os regimes setoriais criam tipos diferentes de o"]
  N3["2.4 Por que a prática setorial difere"]
  N4["2.5 Declarado, documentado e verificado"]
  N5["2.6 Priorizar pela consequência"]
  N6["2.8 Atividade prática: cobertura declarada versus ve"]
  N7["2.9 Criticar uma prática comum"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX007"]

[2.1 O que prática atual significa para um especialis]
    |
    v
[2.2 Linhas de base transversais aos setores]
    |
    v
[2.3 Os regimes setoriais criam tipos diferentes de o]
    |
    v
[2.4 Por que a prática setorial difere]
    |
    v
[2.5 Declarado, documentado e verificado]
    |
    v
[2.6 Priorizar pela consequência]
    |
    v
[2.8 Atividade prática: cobertura declarada versus ve]
    |
    v
[2.9 Criticar uma prática comum]
    |
    v
[Exemplo resolvido] --> [Exercício EX007]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

1. Descrever as principais linhas de base e regimes, transversais e setoriais, que um operador de serviço essencial provavelmente encontrará, e que tipo de obrigação cada um cria.
2. Explicar por que setores que compartilham tecnologia ainda precisam de práticas diferentes: consequência, física, regulação e força de trabalho diferem.
3. Distinguir a implementação declarada, documentada e verificada de uma prática, e medir a lacuna.
4. Priorizar as lacunas pela consequência para o serviço essencial, e não pela contagem.
5. Criticar uma prática comum e propor uma alternativa mais bem fundamentada em evidências.

O Capítulo 1 deu a você um modo de escolher entre opções. Este capítulo fornece as opções que se espera que um especialista competente conheça e o padrão de evidências para dizer que elas estão implementadas. O Capítulo 3 pergunta, então, o que conta como evidência quando algo dá errado.

2.1 O que "prática atual" significa para um especialista

"Prática atual" não é uma lista única. É a sobreposição de três coisas: o que reguladores e normas exigem na sua jurisdição e no seu setor; o que orientações autorizadas recomendam com base em ataques observados; e o que operadores comparáveis efetivamente fazem e conseguem demonstrar. Um especialista precisa conhecer as três e precisa saber dizer quais afirmações de um programa de segurança vêm de qual fonte, porque elas têm pesos diferentes. Uma obrigação legal é uma restrição; o requisito de uma norma pode ser contratual ou certificável; uma orientação é um conselho a ser ponderado contra a sua própria análise de consequências.

A prática também envelhece. Alertas sobre o pré-posicionamento em redes de infraestrutura por atores patrocinados por Estados que usam ferramentas legítimas de administração (CISA, AA24-038A, 2024) mudaram o que "registro adequado" e "higiene adequada de credenciais" significam para operadores que tratavam essas coisas como faxina de TI. Uma linha de base que era atual há três anos pode agora ser um piso.

2.2 Linhas de base transversais aos setores

Quatro famílias de documentos se repetem entre os setores:

• Frameworks de resultados. O NIST CSF 2.0 organiza os resultados em Govern, Identify, Protect, Detect, Respond e Recover (Governar, Identificar, Proteger, Detectar, Responder e Recuperar) (NIST, 2024). O Cyber Assessment Framework do NCSC do Reino Unido estabelece quatro objetivos — gerir o risco de segurança, proteger contra ataques cibernéticos, detectar eventos de segurança cibernética e minimizar o impacto dos incidentes —, com indicadores de boa prática para cada princípio, e é desenhado em torno das funções essenciais (NCSC, CAF). Os frameworks de resultados dizem o que precisa ser alcançado, não como; são bons para estruturar um programa e fracos como roteiros de teste.
• Linhas de base priorizadas. As Cross-Sector Cybersecurity Performance Goals da CISA listam um pequeno conjunto de práticas com alto valor de redução de risco para organizações de qualquer porte (CISA, CPGs); o Departamento de Saúde e Serviços Humanos dos EUA publicou metas de desempenho específicas para a saúde no mesmo espírito (HHS, HPH CPGs, 2024). São úteis justamente por serem curtas; não são um programa completo.
• Catálogos de controles. A NIST SP 800-53 Rev. 5 é um catálogo abrangente de controles de segurança e privacidade (NIST); a NIST SP 800-82 Rev. 3 adapta as orientações à tecnologia operacional, incluindo overlays e as restrições particulares dos sistemas de controle (NIST, 2023).
• Normas industriais. A série ISA/IEC 62443 trata da segurança dos sistemas de automação e controle industrial para proprietários de ativos, integradores e fornecedores de produtos, incluindo zonas e conduítes, níveis de segurança e desenvolvimento seguro de produtos (visão geral da ISA). Sua parte de avaliação de riscos para o projeto de sistemas, a IEC 62443-3-2, é o ponto de partida usual de uma revisão de arquitetura de TO (página do catálogo da IEC).

2.3 Os regimes setoriais criam tipos diferentes de obrigação

Na escala da organização, a pergunta não é "qual framework é o melhor", mas "quais obrigações se aplicam a nós, e que evidências cada regulador vai esperar". Exemplos, todos a verificar de novo para a sua jurisdição e data:

Tabela da aula; deslize para ver todas as colunas →

Seguem-se duas lições. Primeiro, um operador que abrange vários setores — uma multiconcessionária, um porto com rede elétrica própria — pode estar sob vários regimes com relógios de notificação e estilos de evidência diferentes; harmonizá-los num único conjunto interno de controles com mapeamentos é uma tarefa central do especialista. Segundo, a conformidade é um piso e uma restrição, como o Capítulo 1 argumentou: dois operadores plenamente conformes com o mesmo regime podem ter resiliências muito diferentes.

2.4 Por que a prática setorial difere

A tecnologia compartilhada tenta as pessoas a copiar práticas entre setores. Quatro diferenças tornam isso inseguro:

1. Consequência e tempo. Os sistemas clínicos de um hospital falham em danos que chegam em minutos ou horas; um sistema de água com reservação pode ter de horas a dias; o dano de um sistema de pagamentos se acumula nas janelas de liquidação; o de um porto, no tempo de permanência da carga e nas cadeias de suprimento. O tempo até o dano define quanto recurso manual é necessário e quão rápida uma resposta precisa ser.
2. Física e segurança operacional. Na TO, uma ação de segurança pode ela mesma causar dano: uma varredura agressiva pode derrubar um controlador; isolar uma rede pode cegar os operadores. A NIST SP 800-82 enfatiza que as restrições de disponibilidade e de segurança operacional moldam quais controles de segurança são aceitáveis (NIST, 2023).
3. Regulação e cultura de evidências. A eletricidade na América do Norte trabalha com requisitos auditáveis e prescritivos; muitas concessionárias de água trabalham com avaliações certificadas periódicas; a saúde trabalha sob a legislação de privacidade e a governança de segurança clínica, além das regras de segurança.
4. Força de trabalho e fornecedores. Concessionárias pequenas podem não ter nenhuma equipe de segurança; hospitais dependem dos fabricantes de dispositivos médicos para aplicar correções; portos dependem dos fornecedores de sistemas operacionais de terminais e das companhias de navegação. Quem consegue de fato implementar uma prática determina se ela é real.

2.5 Declarado, documentado e verificado

A maioria das avaliações de linha de base são autoavaliações. São úteis, mas um especialista precisa saber quanto de um "sim" é verificado. Use três graus de evidência:

• Verificado (V): a prática foi observada funcionando por teste, inspeção ou conciliação — uma restauração foi realizada e cronometrada; a configuração do provedor de identidade foi exportada e conferida; os logs do intermediador foram conciliados com as sessões do firewall.
• Documentado (D): existe uma política, um projeto ou um procedimento que diz que a prática está implementada, mas ninguém testou se a realidade corresponde.
• Declaração (S): alguém disse que sim.

Os métodos de avaliação do catálogo do NIST distinguem examinar, entrevistar e testar pela mesma razão (NIST SP 800-53 Rev. 5). A lacuna entre a cobertura declarada e a verificada costuma ser o número mais importante de um relatório de linha de base, e o mais frequentemente omitido. É também onde os incidentes moram: backups offline que "existem", mas nunca foram restaurados; acesso de fornecedores que é "intermediado", exceto por aquele modem legado.

2.6 Priorizar pela consequência

A importância de uma prática depende de quanto ela limita a perda do serviço essencial. Pondere as práticas pela consequência — não por quantas referências de frameworks elas mapeiam — e priorize as lacunas em que o peso é alto e a pontuação verificada é baixa. Os pesos são julgamentos; registre quem os definiu (Capítulo 1). Para Merrow Bay, o fórum concordou que MFA no acesso remoto, segmentação TI/TO, backups offline testados e acesso intermediado de fornecedores têm o maior peso, porque cada um limita diretamente um caminho para a perda do fornecimento observado em incidentes públicos — o comprometimento do acesso remoto de um sistema de tratamento de água foi objeto de um alerta conjunto de 2021 (CISA, AA21-042A), ainda que o relato desse evento específico tenha sido contestado depois (WUSF, 2023); a fraqueza de acesso remoto que o alerta descreveu continua sendo uma preocupação de projeto válida em qualquer caso.

2.7 Exemplo resolvido: as autoavaliações de quatro operadores (sintético)

O Merrow Bay Resilience Forum pediu a quatro operadores que autoavaliassem oito práticas, pontuando 0 (ausente), 1 (parcial) ou 2 (implementada), e que graduassem as evidências como V, D ou S. A tarefa do especialista é transformar as respostas num retrato regional sem ofender ninguém nem acreditar em tudo. Em vez de "rejeitar" as declarações, o Laboratório 2 lhes dá crédito provisório zero até que sejam testadas, e meio crédito aos documentos. Esses créditos são uma escolha de política; o EX007 testa seu efeito.

Duas convenções moldam os resultados. Os pesos de cada prática foram acordados pelo fórum, então o retrato regional reflete o julgamento dele sobre quais práticas limitam a perda do fornecimento. E os operadores são nomeados neste exemplo apenas porque ele é sintético; um relatório real do fórum normalmente mostraria a cada operador a sua própria linha e daria aos demais apenas o resumo regional. O especialista deve enviar a cada operador seu resultado em privado antes da reunião do fórum, para que ninguém descubra uma lacuna desconfortável diante dos pares.

2.8 Atividade prática: cobertura declarada versus verificada

# Lab 2 - claimed versus verified baseline coverage, weighted by consequence (offline, standard library only)
# Synthetic: four Merrow Bay operators self-assess eight baseline practices (0 = absent, 1 = partial, 2 = in place)
# and say what evidence backs each answer: V = verified by test or inspection, D = document only, S = statement only.
PRACTICES = {  # practice -> consequence weight (how much it limits loss of the essential service; invented)
    "MFA on remote access": 3, "asset inventory incl. OT": 2, "IT/OT segmentation": 3,
    "offline backups restored in test": 3, "central logging retained 90d": 1,
    "incident plan exercised in 12 months": 2, "vendor access brokered and recorded": 3,
    "default credentials removed": 2,
}
ANSWERS = {  # operator -> list of (score, evidence) in PRACTICES order
    "Merrow Water":     [(2,"V"),(1,"D"),(2,"D"),(2,"S"),(1,"V"),(2,"V"),(1,"S"),(2,"S")],
    "Merrow Health":    [(2,"V"),(1,"D"),(1,"D"),(2,"V"),(2,"V"),(2,"D"),(1,"D"),(1,"S")],
    "Merrow Energy":    [(2,"V"),(2,"V"),(2,"V"),(1,"D"),(2,"V"),(2,"V"),(2,"D"),(2,"D")],
    "Port of Merrow":   [(2,"S"),(0,"S"),(1,"S"),(2,"S"),(1,"D"),(1,"S"),(0,"S"),(2,"S")],
}
CREDIT = {"V": 1.0, "D": 0.5, "S": 0.0}  # how much of a claimed score we accept without further testing
W = list(PRACTICES.values()); maxw = 2 * sum(W)
print(f"{'operator':16s} claimed  verified  gap(weighted points)")
gaps = []
for op, ans in ANSWERS.items():
    claimed = sum(w * s for w, (s, e) in zip(W, ans))
    verified = sum(w * s * CREDIT[e] for w, (s, e) in zip(W, ans))
    print(f"{op:16s} {claimed/maxw:6.0%}   {verified/maxw:6.0%}   {maxw-verified:5.1f}")
    for (name, w), (s, e) in zip(PRACTICES.items(), ans):
        unverified = w * (2 - s * CREDIT[e])
        if w == 3 and unverified >= 3:
            gaps.append((unverified, op, name, s, e))
print("\nHigh-consequence practices with >= 3 unverified weighted points:")
for u, op, name, s, e in sorted(gaps, reverse=True):
    print(f"  {u:4.1f}  {op:16s} {name}  (claimed {s}, evidence {e})")

Saída esperada:

operator         claimed  verified  gap(weighted points)
Merrow Water        84%      39%    23.0
Merrow Health       74%      53%    18.0
Merrow Energy       92%      75%     9.5
Port of Merrow      58%       1%    37.5

High-consequence practices with >= 3 unverified weighted points:
   6.0  Port of Merrow   vendor access brokered and recorded  (claimed 0, evidence S)
   6.0  Port of Merrow   offline backups restored in test  (claimed 2, evidence S)
   6.0  Port of Merrow   MFA on remote access  (claimed 2, evidence S)
   6.0  Port of Merrow   IT/OT segmentation  (claimed 1, evidence S)
   6.0  Merrow Water     vendor access brokered and recorded  (claimed 1, evidence S)
   6.0  Merrow Water     offline backups restored in test  (claimed 2, evidence S)
   4.5  Merrow Health    vendor access brokered and recorded  (claimed 1, evidence D)
   4.5  Merrow Health    IT/OT segmentation  (claimed 1, evidence D)
   4.5  Merrow Energy    offline backups restored in test  (claimed 1, evidence D)
   3.0  Merrow Water     IT/OT segmentation  (claimed 2, evidence D)
   3.0  Merrow Energy    vendor access brokered and recorded  (claimed 2, evidence D)

Interpretação. A cobertura declarada vai de 58% a 92%; a verificada, de 1% a 75%. A posição da própria Merrow Water — 84% declarados, 39% verificados — é desconfortável para seu especialista: as duas lacunas de maior peso são declarações de que os backups offline são restauráveis e de que o acesso de fornecedores é intermediado. O 1% do Port of Merrow não significa que o porto não tenha segurança; significa que nada foi demonstrado. A lista priorizada é um plano de verificação antes de ser um plano de remediação: cada um dos onze itens se apoia numa declaração ou num documento, então a primeira ação para cada um é testar a alegação — barato em comparação com comprar controles, e às vezes suficiente para fechar a lacuna. A Merrow Energy, com evidências majoritariamente verificadas, é a melhor fonte de método prático da região — um ativo para o fórum, e não apenas uma pontuação.

2.9 Criticar uma prática comum

Espera-se que os especialistas questionem práticas que persistem por hábito. Tome o "teste de intrusão de TO" anual escrito em muitos contratos. Ele frequentemente produz uma lista de constatações sobre uma amostra de sistemas numa janela curta, usando técnicas que precisam ser contidas para evitar perturbar o processo, e costuma ter um escopo que evita os ativos de maior consequência. Alternativas com melhor valor de evidência incluem: uma revisão orientada pela consequência que parte do pior resultado físico crível e volta até os caminhos digitais que poderiam causá-lo (Idaho National Laboratory, CCE); a conciliação contínua dos registros de acesso remoto e de mudanças; e testes num ambiente de bancada representativo em vez da planta em operação (Capítulo 6). A crítica não é "nunca teste"; é "escolha o método de evidência que responde à pergunta que o conselho está de fato fazendo".

2.10 Erros comuns e limites

• Tratar um mapeamento de framework como evidência de implementação.
• Relatar apenas a cobertura declarada, ou fazer a média entre a declarada e a verificada num único número.
• Copiar a prática de outro setor sem verificar o tempo até o dano e as restrições de segurança operacional.
• Tratar a linha de base mais curta como o programa inteiro, ou o catálogo mais longo como uma lista de tarefas.
• Supor que o regulador de um setor aceitará evidências desenhadas para outro.
• Ponderar as práticas por quantas normas as mencionam, e não pela consequência.

O limite de qualquer linha de base é que ela descreve defesas que são comuns porque os ataques foram comuns. Ela diz pouco sobre caminhos raros, direcionados ou novos, e é por isso que os Capítulos 4 e 5 acrescentam a análise orientada pela consequência.

Exercícios — capítulo 2

EX006 — Mapeie uma prática entre frameworks. Objetivo: ligar uma prática a obrigações e orientações sem confundi-las. Insumos: "acesso de fornecedores intermediado e registrado" na Merrow Water. Restrições: usar apenas as fontes citadas nas §2.2–2.3; não citar textos de normas pagas. Passos: (1) identificar a(s) função(ões) do CSF 2.0 e o objetivo do CAF que ela apoia; (2) declarar se ela aparece como meta transversal da CISA; (3) explicar como a ideia de zonas e conduítes da IEC 62443 a enquadra; (4) declarar, sem dar aconselhamento jurídico, se ela é uma obrigação legal para uma concessionária de água na sua jurisdição e como você verificaria isso. Evidência esperada: uma tabela curta de mapeamento e um parágrafo. Rubrica: 3 = mapeamentos corretos no nível de função e objetivo, obrigações mantidas separadas das orientações, um caminho de verificação por meio de aconselhamento jurídico declarado; 2 = um mapeamento errado; 1 = trata orientação como lei; 0 = nada.

EX007 — Mude a política de evidências. Objetivo: testar como uma política de pontuação muda o retrato. Insumos: Laboratório 2. Restrições: mudar o crédito de uma declaração de 0,0 para 0,25 e nada mais. Passos: (1) reexecutar e relatar a cobertura verificada de cada operador; (2) dizer quais conclusões da §2.8 sobrevivem; (3) defender uma política de crédito para o relatório do fórum. Evidência esperada: saídas e argumento de 200 palavras. Rubrica: 3 = números corretos, reconhecimento de que a ordem do ranking e a prioridade de testar as declarações sobrevivem, uma política defendida a partir do uso do relatório; 2 = números certos, argumento fraco; 1 = não executado; 0 = nada.

EX008 — Plano de verificação. Objetivo: transformar as maiores lacunas em testes. Insumos: os três itens de maior peso da Merrow Water na lista do Laboratório 2. Restrições: os testes precisam ser seguros para a planta em operação; nomear as evidências que contariam como V. Passos: para cada item, dar o método (teste, inspeção, conciliação), o responsável, as condições de segurança, o critério de aprovação e o custo esperado em dias de trabalho. Evidência esperada: tabela. Rubrica: 3 = os métodos testam genuinamente a realidade (por exemplo, a restauração cronometrada de um sistema nomeado num host isolado; a conciliação dos logs do intermediador com as sessões do firewall ao longo de 30 dias), condições de segurança explícitas, critérios de aprovação mensuráveis; 2 = um método apenas documental; 1 = "revisar a política"; 0 = nada.

EX009 — Operador sob vários regimes. Objetivo: planejar as evidências para regimes sobrepostos. Insumos: uma multiconcessionária sintética na UE que fornece água, opera uma pequena rede de distribuição de eletricidade e tem uma subsidiária de pagamentos. Restrições: identificar os regimes da §2.3 que podem se aplicar, sem decidir o escopo jurídico. Passos: (1) listar os regimes candidatos e por que cada um poderia se aplicar; (2) desenhar um único conjunto interno de controles com mapeamentos; (3) identificar os relógios de notificação de incidentes que precisam ser conciliados; (4) declarar o que você perguntaria ao jurídico. Evidência esperada: plano de uma página. Rubrica: 3 = regimes candidatos plausíveis, um conjunto de controles com mapeamentos, relógios de notificação identificados como um problema de projeto, perguntas jurídicas específicas; 2 = mapeamentos vagos; 1 = apresenta conclusões jurídicas como fato; 0 = nada.

EX010 — Critique uma prática. Objetivo: defender um método de evidência melhor. Insumos: o contrato da Merrow Health exige um "teste de intrusão externo anual da rede clínica". Restrições: 300 palavras; respeitar a segurança dos pacientes. Passos: (1) declarar a pergunta que o conselho quer ver respondida; (2) dizer o que o teste anual responde e o que não responde; (3) propor um portfólio alternativo de evidências; (4) declarar seus limites. Evidência esperada: memorando. Rubrica: 3 = pergunta explícita, limites dos testes pontuais identificados (amostra, janela, contenção das técnicas, dispositivos excluídos), alternativas ajustadas à pergunta, limites honestos; 2 = crítica sem alternativa; 1 = rejeita os testes por completo; 0 = nada.

Síntese do capítulo

A prática atual é a sobreposição entre obrigação, orientação e prática demonstrada pelos pares, e cada uma tem um peso diferente. Conheça os frameworks de resultados, as linhas de base priorizadas, os catálogos de controles e as normas industriais, e saiba quais regimes obrigam a sua organização e que evidências cada um espera. Não copie práticas entre setores sem verificar o tempo até o dano, a física, a regulação e a força de trabalho. Gradue as evidências como verificadas, documentadas ou declarações, relate a lacuna com honestidade, pondere as práticas pela consequência e transforme as maiores lacunas em verificação antes da remediação. Questione as práticas habituais perguntando a qual pergunta suas evidências respondem.