Capítulo 2 — Segurança de TO, IoT e sistemas ciberfísicos: prática atual
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 O que as orientações atuais esperam"]
N1["2.2 Documentado versus executado"]
N2["2.3 Montando a lista de lacunas"]
N3["2.4 Priorizando"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 O que as orientações atuais esperam"]
N1["2.2 Documentado versus executado"]
N2["2.3 Montando a lista de lacunas"]
N3["2.4 Priorizando"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX006"]
[2.1 O que as orientações atuais esperam]
|
v
[2.2 Documentado versus executado]
|
v
[2.3 Montando a lista de lacunas]
|
v
[2.4 Priorizando]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) comparar o programa de segurança de TO de uma organização com os temas da NIST SP 800-82r3 e da IEC 62443-2-1; (2) distinguir a prática documentada da prática executada; (3) produzir uma lista de lacunas com evidências; e (4) priorizar as lacunas para a liderança.
2.1 O que as orientações atuais esperam
A NIST SP 800-82r3 organiza um programa de segurança de TO em torno de governança, gestão de riscos, arquitetura e das capacidades de segurança aplicadas aos sistemas de TO, e mapeia as considerações de TO nas funções do NIST Cybersecurity Framework. A IEC 62443-2-1 especifica requisitos para o programa de segurança de um proprietário de ativos. Nenhuma das duas é uma lista de verificação a marcar; ambas descrevem capacidades que um programa maduro demonstra.
Numa revisão, use cada documento para gerar perguntas, e não uma pontuação. Na BWRP, isso significa perguntar, por exemplo, como o acesso remoto é governado, como os ativos são inventariados e como seriam tratados incidentes no sistema de dosagem. As respostas então entram na lista de lacunas com evidências, de modo que a revisão relata o que a planta consegue mostrar, e não quantas cláusulas ela alega cumprir.
2.2 Documentado versus executado
Uma política que diz "o acesso remoto é revisado mensalmente" é prática documentada. Um registro mostrando as três últimas revisões mensais, com as constatações encerradas, é prática executada. Os avaliadores de pós-graduação procuram a segunda. Na BWRP, Daniel amostra evidências de cada prática alegada, em vez de aceitar as respostas das entrevistas.
A amostragem precisa ser escolhida antes de olhar, ou ela deriva para os casos que parecem bons. Daniel escolhe cinco práticas que ficam em caminhos para consequências e pede, para cada uma, o artefato mais recente que prove que ela foi realizada. Uma resposta de entrevista pode apontar para uma evidência, mas nunca a substitui na lista de lacunas.
2.3 Montando a lista de lacunas
Para cada capacidade: o que a orientação espera, o que a BWRP documenta, o que as evidências mostram que é executado, a lacuna, a consequência da lacuna e um responsável proposto. As estações elevatórias remotas conectadas por RTUs celulares são um ponto cego comum: aparecem no registro de ativos como "estações de bombeamento", mas não como pontos de rede.
Cada linha deve ser específica o suficiente para que o seu responsável consiga agir. Para a lacuna de inventário da BWRP, isso significa nomear as nove RTUs de estações elevatórias ainda não listadas, a consequência de que elas não podem ser monitoradas nem corrigidas e a pessoa que vai acrescentá-las. Uma linha que só diz "inventário incompleto" não dá tarefa a ninguém.
2.4 Priorizando
Priorize as lacunas que ficam em caminhos para consequências (dosagem, qualidade do efluente) e as que são baratas de fechar. A falta de inventário das RTUs celulares bloqueia várias outras capacidades — monitoramento, correções, delimitação de incidentes —, então ela fica no topo, mesmo sendo "só documentação".
Escreva a classificação com a sua razão, para que o diretor da planta veja por que uma tarefa de inventário supera uma nova ferramenta. Na BWRP, a revisão do acesso remoto vem em seguida, porque não é executada desde março e os fornecedores conseguem chegar ao PLC-D. O teste de restauração da lógica dos CLPs vem depois, pois cópias de segurança cuja restauração nunca foi testada podem falhar quando forem necessárias.
Exemplo resolvido (BWRP sintética)
A amostra de cinco práticas de Daniel: inventário de ativos (documentado, executado em parte — 14 de 23 RTUs das estações elevatórias listadas); revisão do acesso remoto (documentada, não executada desde março); cópia de segurança da lógica dos CLPs (executada, restauração nunca testada); plano de resposta a incidentes (documentado, sem playbook específico de TO); correções (executadas nas IHMs Windows, não no firmware das RTUs).
Caso sintético — Bayside Water Reclamation Plant. As contagens e datas são inventadas.
Erros e limites
Uma comparação com um único documento pode deixar de fora a regulação setorial. Amostrar cinco práticas dá uma visão, não uma opinião de auditoria.
Exercícios
- EX006 — Classificar uma prática alegada. "Testamos as restaurações anualmente" é declarado, mas não existe registro. Documentada ou executada? Rubrica: 3 = apenas documentada; pedir evidências; 2 = só o rótulo; 1 = executada; 0 = nenhum.
- EX007 — Classificar a lacuna de inventário das RTUs. Justifique por que a lacuna de inventário das RTUs fica acima da falta de playbook. Rubrica: 3 = bloqueia monitoramento, correções e delimitação; habilitadora; 2 = parcial; 1 = "mais importante"; 0 = nenhum.
- EX008 — Uma linha da lista de lacunas. Escreva a linha completa da lista de lacunas para "restauração nunca testada". Rubrica: 3 = expectativa, documentado, executado, lacuna, consequência, responsável; 2 = quatro campos; 1 = só a lacuna; 0 = nenhum.
- EX009 — Escolher o documento de referência. Quando a IEC 62443-2-1 seria uma referência de comparação melhor do que a SP 800-82r3 para a BWRP? Rubrica: 3 = quando se aplicam requisitos de certificação ou contratuais sobre o programa do proprietário de ativos; 2 = parcial; 1 = "ela é melhor"; 0 = nenhum.
- EX010 — Cobertura da amostra. O que pode e o que não pode ser concluído a partir da amostra de cinco práticas? Rubrica: 3 = lacunas indicativas; não é uma opinião de garantia completa; viés de amostragem; 2 = um lado; 1 = alega demais; 0 = nenhum.
Síntese
As revisões da prática atual comparam evidências do que é feito, e não do que está escrito, e classificam as lacunas pelo seu efeito sobre as consequências e sobre as outras capacidades.
Continue estudando — capítulo 02 de 12
← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →
Siga para a próxima lição escrita.