◇ OpenCyber Academy
Pós-graduação · Capítulo 12 · Português

Capítulo 12 — Revisão final e transferência

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 12 — Revisão final e transferência

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX056.

flowchart TD
  N0["12.1 A visão de portfólio"]
  N1["12.2 Transferência para outro setor"]
  N2["12.3 Briefing de transferência"]
  N3["12.4 Desenvolvimento contínuo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX056"]

Desenho lógico

flowchart LR
  N0["12.1 A visão de portfólio"]
  N1["12.2 Transferência para outro setor"]
  N2["12.3 Briefing de transferência"]
  N3["12.4 Desenvolvimento contínuo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX056"]

[12.1 A visão de portfólio]
    |
    v
[12.2 Transferência para outro setor]
    |
    v
[12.3 Briefing de transferência]
    |
    v
[12.4 Desenvolvimento contínuo]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX056]

Objetivos de aprendizagem

Você vai (1) revisar as decisões do curso como um portfólio; (2) transferir os métodos da BWRP para outro setor; (3) escrever um briefing de transferência para um sucessor; e (4) planejar o seu próprio desenvolvimento profissional contínuo em segurança de TO.

12.1 A visão de portfólio

Ao longo do curso, a BWRP tomou um conjunto de decisões: acesso intermediado de fornecedores (Cap. 1), prioridades das lacunas (Cap. 2), segmentação justificada pelo risco de cauda (Cap. 4), proteção escalonada das estações elevatórias (Cap. 5), conjunto de regras B (Cap. 6), RACI e métricas (Cap. 7), resposta na noite da tempestade (Cap. 8), o caso de garantia (Cap. 9) e o projeto de monitoramento (Cap. 11). Revisá-las juntas mostra se são consistentes: por exemplo, a integridade da dosagem aparece nos Capítulos 3, 9, 10 e 11 — sinal de que é a preocupação central da planta.

Procure tensões, além de consistência. Por exemplo, a decisão de segmentação e o projeto das estações elevatórias dependem ambos de mudanças de firewall e de conduítes, então seus cronogramas devem ser alinhados. A escolha do acesso de fornecedores e o caso de garantia dependem ambos das evidências do intermediador. Listar essas ligações mostra onde o atraso de uma decisão minaria outra.

12.2 Transferência para outro setor

Os métodos se transferem; os parâmetros, não. Ao passar para um operador de aquecimento urbano ou para uma fábrica de alimentos, o enquadramento de decisão, as distribuições de perdas, a avaliação controlada e a estrutura de garantia continuam valendo. O que muda: o modelo de consequências (perda de calor ou contaminação do produto em vez da qualidade do efluente), os reguladores, os protocolos dominantes e as normas de segurança em vigor.

Antes de transferir, anote os pressupostos que cada método assumiu na BWRP: probabilidades de incidente vindas de pares do setor de água, um custo por hora de parada e os comportamentos de ataque do replay. Cada um precisa ser substituído por números do novo setor. A estrutura de um registro de decisão ou de um caso de garantia se move sem mudanças; os números dentro deles, não.

12.3 Briefing de transferência

Um sucessor precisa de: as decisões em aberto e seus gatilhos de revisão, o caso de garantia com as evidências expiradas ou ausentes destacadas, as métricas e suas linhas de base, os relacionamentos (fornecedores, contatos no regulador, grupos setoriais de compartilhamento de informações) e os pontos fracos conhecidos. Duas páginas, com links para os registros completos.

Escreva o briefing para um leitor que nunca conheceu Daniel. Cada item em aberto deve nomear seu gatilho e sua data; cada métrica, seu denominador e sua linha de base; cada relacionamento, um contato e seu último uso. Aponte para os registros completos em vez de repeti-los e date o briefing na primeira linha.

12.4 Desenvolvimento contínuo

O campo se move: a NIST SP 800-82 foi revisada em 2023; as partes da IEC 62443 são atualizadas periodicamente; o MITRE ATT&CK for ICS acrescenta técnicas; a CISA publica alertas toda semana. Plano: acompanhar os alertas dos seus fornecedores, reler o resumo de mudanças de uma norma quando sair uma nova edição e apresentar um estudo de caso por ano aos pares.

Mantenha um breve registro do que você leu e do que mudou por causa disso, como um pressuposto revisto ou uma nova pergunta para um fornecedor. Revise o registro uma vez por ano com um colega. Desenvolvimento que não muda nada na prática é leitura; desenvolvimento que deixa um rastro nas suas decisões é o que mantém a credibilidade de um líder.

Exemplo resolvido (BWRP sintética)

O briefing de transferência de Daniel começa assim: "Em aberto: D-2026-14, revisar se a estimativa de frequência de incidentes com fornecedores passar de 0,06 por ano ou após qualquer incidente de acesso remoto. Garantia: G1 sustentada desde fevereiro via E5; o simulado de restauração E4 expira em maio de 2027 — agendar agora. Métricas: inventário de RTUs 23/23 desde março; revisão de sessões de fornecedores 37/37. Ponto fraco: a correção do firmware dos roteadores das estações elevatórias não tem janela acordada com as operações."

Caso sintético — Bayside Water Reclamation Plant. Todo o conteúdo do briefing é inventado.

Erros e limites

Os briefings de transferência ficam desatualizados; date-os. As revisões de portfólio podem racionalizar escolhas passadas; procure contradições deliberadamente.

Exercícios

Síntese

O curso termina onde a prática começa: um portfólio consistente de decisões, métodos que se transferem entre setores, um briefing datado para quem vier depois e um plano para continuar aprendendo.

Continue estudando — capítulo 12 de 12

← Capítulo 11 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções

Respostas-modelo para EX001–EX060. A Bayside Water Reclamation Plant, Daniel Osei e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. 10.000 + 0,05 × 400.000 + 0,02 × 2.500.000 = 10.000 + 20.000 + 50.000 = 80.000 — ainda maior do que os 59.500 de B.

EX002. O cenário catastrófico pode ocorrer por caminhos que nenhuma opção de acesso remoto fecha, então gastar mais com acesso remoto não consegue reduzir o pior caso; o líder deve financiar uma salvaguarda independente (por exemplo, um limite alto de dosagem por fiação física) para mudar a cauda.

EX003. "Revisar se o fornecedor do intermediador relatar um incidente de segurança que afete o seu serviço de sessões, ou se o relatório de atestação do intermediador tiver mais de 12 meses."

EX004. Total de B = 35.000 + 400.000p + 0,005 × 2.500.000 = 47.500 + 400.000p. Igualando a 100.000, obtém-se p = 52.500 / 400.000 ≈ 0,131 por ano.

EX005. Se as estimativas críveis da probabilidade de incidente de A vão de 0,01 a 0,10 e a classificação entre A e B se inverte dentro dessa faixa, enquanto uma revisão de duas semanas dos registros de acesso dos fornecedores poderia estreitar a estimativa antes do prazo do contrato, adiar para fazer o estudo é melhor do que decidir agora.

EX006. Apenas documentada. Sem um registro de restauração, ela não pode ser contada como executada; peça o último registro de restauração ou agende um teste.

EX007. Nove RTUs não listadas não podem ser monitoradas, corrigidas nem incluídas na delimitação de incidentes, então a lacuna de inventário mina várias outras capacidades de uma vez, enquanto a lacuna do playbook afeta uma só; corrigir primeiro a habilitadora aumenta o valor de todo controle posterior.

EX008. Expectativa: as cópias de segurança de TO são restauráveis e testadas. Documentado: existe um procedimento de cópia de segurança. Executado: cópias semanais da lógica, sem teste de restauração. Lacuna: a restauração nunca foi demonstrada. Consequência: depois de um ransomware ou de uma corrupção da lógica, o tempo de recuperação é desconhecido e pode ser de dias. Responsável: engenheiro de sistemas de controle, teste até o fim do trimestre.

EX009. Quando a BWRP precisa demonstrar conformidade com um requisito contratual ou regulatório formulado com base na IEC 62443 (por exemplo, um esquema de certificação do programa de segurança do proprietário de ativos), ou quando integradores e fornecedores já usam os termos da 62443, a parte 2-1 alinha a comparação com essas obrigações.

EX010. Ela indica onde as lacunas são prováveis e dá exemplos concretos à liderança, mas não é uma opinião de garantia sobre o programa inteiro: as cinco práticas foram escolhidas por Daniel, podem não ser representativas, e as práticas não amostradas podem ser mais fracas ou mais fortes.

EX011. Uma escrita de setpoint no PLC-D aparece na captura ou na trilha de auditoria da IHM às 14:02 menos (ou mais) uma defasagem de relógio medida, e a mesma defasagem explica outros eventos pareados ao longo da manhã.

EX012. Moderada, no máximo: uma única fonte de registros sustenta um login, mas ele pode estar mal atribuído (conta compartilhada), ter sido alterado por um invasor ou estar errado no horário; a corroboração pelo jump host ou pela gravação da sessão elevaria a confiança.

EX013. Pergunte exatamente quais versões de firmware foram analisadas, se elas contêm a biblioteca afetada (e em qual versão, segundo o SBOM) e por que a função vulnerável é inalcançável — pedindo a análise ou as evidências de teste, e não apenas a conclusão.

EX014. "Nenhuma escrita na captura" só sustenta "nenhuma escrita pela rede" se a captura viu todos os pacotes; zero pacotes descartados na porta de monitoramento mostra que a ausência tem significado, e não que é uma falha de coleta.

EX015. Quem ou o que causou a mudança: o historiador registra o valor e o horário, não o usuário, o host ou a ação no painel que a iniciou.

EX016. A segmentação reduz principalmente a frequência dos incidentes (15 % → 6 %), mas, quando um acontece, sua duração ainda pode ser longa (até 48 h), então a cauda condicional encolhe menos do que a média, que é dominada pela frequência dos incidentes.

EX017. Não. O percentil 99 da linha de base é 814.425, então mais de 1 % dos anos simulados excede 600.000 — a tolerância é violada.

EX018. Os moradores perto do ponto de lançamento, os contribuintes que pagam os custos de recuperação e o ecossistema da baía (e os negócios que dependem dele, como os coletores de mariscos) — o regulador e os usuários de água a jusante também são aceitáveis.

EX019. (a) Público — mostra a governança. (b) Somente interno (compartilhado com o regulador, sob pedido, com confidencialidade) — é um mapa para o atacante. (c) Público — uma contagem agregada sustenta a prestação de contas sem revelar técnicas.

EX020. Uma cauda mais pesada acrescenta paradas raras e muito longas: a média sobe um pouco, mas o percentil 99 sobe muito mais, porque os anos extremos que definem o p99 se tornam mais extremos.

EX021. "Rejeitada: alternativa 3 (apenas monitoramento). Motivo: os registros das operações mostram que partidas remotas de bombas evitaram três transbordamentos no último ano; remover os comandos remotos elevaria o risco de transbordamento nas estações de alta consequência. Reconsiderar se o tempo de resposta das equipes cair abaixo de 20 minutos ou se o controle de nível local for atualizado com sensores redundantes."

EX022. Que a operadora mantém o tráfego do APN privado da BWRP isolado dos outros clientes e da internet, controla quais SIMs podem se juntar a ele e que a sua própria equipe e os seus sistemas não estão comprometidos.

EX023. Renovar e revogar os certificados de dispositivo dos 23 pontos de extremidade dos túneis e corrigir o firmware dos roteadores do lado das RTUs e do concentrador na DMZ.

EX024. As seis estações à beira da praia têm a pior consequência de transbordamento (saúde pública, interdições), então justificam o custo e o ônus de gestão mais altos da criptografia controlada pela BWRP, enquanto o APN privado dá uma redução de risco adequada para as estações de menor consequência.

EX025. Cada estação elevatória é a sua própria zona; o seu conduíte é um túnel IPsec do roteador da estação até um concentrador na zona da DMZ da BWRP, com autenticação mútua por certificados e um firewall que permite apenas o protocolo de varredura do SCADA seguir até a zona do SCADA.

EX026. 0,069 × 160 ≈ 11, então A gerou 11 alertas falsos nas 160 janelas normais (11/160 = 0,06875).

EX027. Os dados são compatíveis com B não ser melhor do que A em revocação: 40 janelas de ataque são poucas demais para excluir uma melhora nula, mesmo que a melhor estimativa seja 0,20 maior.

EX028. Os dois conjuntos de regras veem exatamente o mesmo tráfego, então as diferenças nos alertas vêm das regras, e não de semanas, clima ou modos de operação diferentes; a comparação pareada também permite que o bootstrap reamostre janelas com os dois resultados associados.

EX029. Daniel projetou B pensando em parte nesses tipos de ataque; janelas escritas por outra pessoa reduzem a chance de que o conjunto de teste seja inconscientemente moldado às forças de B.

EX030. B produz menos alertas falsos nos mesmos dados e muito provavelmente pega mais ataques; se na verdade for igual em revocação, a organização perde pouco e pode reverter, então o valor esperado da troca é positivo enquanto mais dados são reunidos.

EX031. Uma RACI precisa ter exatamente um Aprovador por processo. Mantenha o diretor da planta como Aprovador da declaração de um incidente de TO e torne a segurança de TI Consultada.

EX032. (1) Esta mudança vai permitir que algum dispositivo converse com um dispositivo com o qual não conseguia conversar antes? (2) Esta mudança vai acrescentar, remover ou alterar alguma conta de usuário ou senha? (3) Esta mudança vai instalar ou atualizar software ou firmware em algum dispositivo de controle?

EX033. As equipes podem parar de procurar problemas, registrar constatações como "aceitas" sem correção ou dividi-las em itens vagos, de modo que o painel mostra zero enquanto a exposição real cresce.

EX034. (14 + 41) / (23 + 41) = 55 / 64 ≈ 85,9 % — relatado junto com o número específico das RTUs, 14/23 (60,9 %), para que a lacuna não fique escondida pelos ativos da planta.

EX035. O diretor da planta controla as prioridades operacionais e as janelas de manutenção, então as recomendações do líder de segurança de TO chegam à pessoa que pode agendá-las, e as decisões são tomadas tendo em vista as consequências para o processo.

EX036. Cortar o caminho também remove o controle remoto das bombas pelos operadores; com as vazões de tempestade, perdê-lo poderia causar transbordamentos nas estações à beira da praia, então o controle local precisava estar estabelecido primeiro para manter o processo seguro.

EX037. (1) Confirmar que o setpoint de dosagem está no valor correto e que o processo está dentro dos limites; (2) preservar as evidências — comparação do programa do CLP, registro da chave seletora do painel, exportação do historiador com hashes; (3) envolver o RH e o jurídico antes de falar com as pessoas, tratando o caso como um desvio até que os fatos sejam estabelecidos.

EX038. Um registro, por host, das versões de software SCADA instaladas e um histórico de onde e quando cada atualização foi obtida (origem, data, hash) — juntos, mostram se uma versão adulterada foi instalada.

EX039. "Às 23:40, a BWRP detectou uma conexão de saída inesperada a partir do seu servidor SCADA; o tratamento e o bombeamento operam normalmente, sob controle local em seis estações. Ainda não sabemos se algum dado ou configuração foi alterado. A conexão externa foi fechada às 00:35, há uma investigação em andamento e enviaremos uma atualização até as 09:00."

EX040. Encerrar quando o caminho de acesso do invasor estiver confirmadamente fechado e o servidor SCADA tiver sido reconstruído a partir de mídia íntegra conhecida ou o seu software tiver sido verificado contra os hashes do fornecedor, com a aprovação do diretor da planta e do líder de segurança de TO.

EX041. Com E5 sob G6, G6 fica sustentada, então G3 (G5 e G6 ambas sustentadas) fica sustentada, e G1 imprime "supported", porque G2, G3 e G4 chegam todas a evidências.

EX042. Regra: extrair a data do rótulo de cada evidência e tratar um item como inválido se ele for de mais de 18 meses antes da data da avaliação. E4 (simulado de restauração, 2025-11) é a mais antiga e expiraria primeiro, em maio de 2027, fazendo falhar G4 e, portanto, G1.

EX043. Uma lista de verificação pode exigir uma política de firewall documentada e uma política de segurança de TO, ambas presentes na BWRP, sem perguntar se as escritas no controlador de dosagem são monitoradas; a BWRP está em conformidade enquanto G3, a alegação sobre a integridade da dosagem, continua sem evidências.

EX044. Um teste de intrusão da TI corporativa não diz nada sobre se os setpoints do PLC-D estão protegidos; ele cobre sistemas e ameaças diferentes, então associá-lo faria G3 parecer sustentada por evidências que não têm relação com a alegação.

EX045. "A BWRP ainda não pode alegar que o seu risco de TO é aceitável, porque as escritas no controlador de dosagem não são monitoradas; o monitoramento estará implantado em janeiro, e traremos a revisão do primeiro mês à reunião de fevereiro."

EX046. Atores com muitos recursos fazem reconhecimento e podem obter a documentação do fornecedor ou exportações de configuração; projetar para um atacante que conhece o detector evita uma segurança que depende do sigilo dos limiares e dá estimativas conservadoras para um processo de saúde pública.

EX047. Por exemplo: "Selecionamos o limiar que maximizou o F1 nos traços de teste" — ajustar e avaliar nos mesmos traços significa que o desempenho relatado é otimista.

EX048. O tratamento biológico tem constantes de tempo longas e respostas não lineares (horas, não segundos), então detectores baseados em resíduos ajustados em malhas rápidas de bancada podem ver os ataques só depois que o dano se acumula, e os modelos são mais difíceis de ajustar.

EX049. Apropriado: usá-lo para mapear as abordagens de detecção e localizar artigos primários e fragilidades comuns de avaliação. Inapropriado: citá-lo como prova de que um detector em particular funciona na BWRP, porque um levantamento relata as alegações de outros sem testá-las de novo.

EX050. Reproduzir os dados de dosagem da BWRP com um viés lento simulado e medir o maior desvio de dosagem que permanece abaixo dos limiares de alarme atuais ao longo de um período definido — o orçamento de impacto que um atacante não detectado tem hoje.

EX051. Revocação de 33/40 = 0,825 atende à meta de ≥ 0,8; 4/160 = 2,5 % de alertas falsos excede o limite de 2 %, então uma das duas medidas ainda não foi atingida.

EX052. Alguns controladores e RTUs da rede de dosagem são antigos e podem falhar com tráfego inesperado, e uma falha ali afeta a dosagem química da água tratada; uma captura passiva por porta espelhada dá a mesma visibilidade sem nenhuma chance de perturbar os dispositivos.

EX053. As primeiras semanas revelam regras ruidosas; se os operadores receberem esses alertas falsos, aprendem a ignorar o monitor. Encaminhar primeiro para a segurança de TO permite o ajuste, de modo que os operadores só vejam alertas que mereçam a sua confiança.

EX054. Acordo do responsável e escopo; configuração do ponto de coleta e da captura, com as medições de perda; conjunto de regras e sua versão; relatório da avaliação controlada com contagens e intervalos; questões em aberto, runbook e aprovação da passagem de responsabilidade.

EX055. "Definimos 2 % antes de ver os resultados, e mudar isso agora tornaria a medida de sucesso sem significado para o caso de garantia. A falha vem principalmente de uma regra; vou corrigi-la e executar de novo o replay independente, e relataremos o resultado de qualquer forma."

EX056. O Capítulo 5 acrescenta roteadores VPN em seis estações à beira da praia, mas as métricas de inventário e de correções do Capítulo 7 contam apenas as RTUs e os ativos da planta, então os novos roteadores poderiam ficar fora tanto do denominador do inventário quanto da métrica de latência de correções.

EX057. "Integridade dos parâmetros de temperatura de cozimento e de receita nos controladores da linha, porque uma manipulação poderia liberar produto contaminado e desencadear um recall" — substituindo a qualidade do efluente pela segurança dos alimentos.

EX058. E4 é de novembro de 2025, então, com uma validade de 18 meses, expira em maio de 2027; o simulado precisa ser repetido e documentado antes disso.

EX059. O ponto fraco da correção dos roteadores das estações elevatórias, porque é o único item sem nenhum processo acordado; as decisões em aberto já têm gatilhos e responsáveis, enquanto uma lacuna de correções sem dono cresce em silêncio.

EX060. (1) Revisar todo alerta de ICS da CISA que cite os fornecedores da BWRP até uma semana após a publicação. (2) Ler o resumo de mudanças de cada nova parte da IEC 62443 ou revisão da NIST SP 800-82 quando forem lançadas e atualizar a lista de lacunas. (3) Apresentar por ano um estudo de caso anonimizado da BWRP numa reunião setorial de compartilhamento de informações.