Capítulo 7 — Segurança de TO, IoT e sistemas ciberfísicos: integração organizacional
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["7.1 O problema da responsabilidade"]
N1["7.2 Uma RACI para três processos"]
N2["7.3 Gestão de mudanças"]
N3["7.4 Métricas"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["7.1 O problema da responsabilidade"]
N1["7.2 Uma RACI para três processos"]
N2["7.3 Gestão de mudanças"]
N3["7.4 Métricas"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]
[7.1 O problema da responsabilidade]
|
v
[7.2 Uma RACI para três processos]
|
v
[7.3 Gestão de mudanças]
|
v
[7.4 Métricas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) desenhar papéis e responsabilidades de segurança de TO entre TI, operações e engenharia; (2) montar uma matriz RACI para os principais processos de segurança de TO; (3) integrar a segurança de TO à gestão de mudanças; e (4) definir métricas que induzam o comportamento certo.
7.1 O problema da responsabilidade
Em muitas concessionárias, a TI é dona da rede até um firewall, as operações são donas do processo, a engenharia é dona dos controladores e ninguém é dono do espaço onde eles se encontram. A NIST SP 800-82r3 recomenda uma equipe multifuncional para a segurança de TO, com autoridade claramente atribuída. Integrar significa escrever quem decide, e não apenas quem aconselha.
Na BWRP, esse espaço inclui o firewall da DMZ, o intermediador de sessões dos fornecedores e os enlaces celulares com as estações elevatórias. Cada um precisa de um responsável nomeado, com autoridade para aprovar mudanças e para agir num incidente. Pôr isso por escrito muitas vezes revela que duas equipes acreditavam que a outra era a dona, que é exatamente a lacuna que um atacante ou uma falha explora.
7.2 Uma RACI para três processos
Para a aprovação de acesso remoto: o supervisor de turno é Responsável (R) por habilitar as sessões; o líder de segurança de TO é Aprovador (A) da política; o gestor de fornecedores é Consultado (C); a segurança de TI é Informada (I) de cada sessão. Para a mudança da lógica de um CLP: engenheiro de controle R, gerente de engenharia A, operações C, segurança de TO I e alertada. Para a declaração de incidente de TO: supervisor de turno R por levantá-lo, diretor da planta A, segurança de TO e TI C, regulador I quando os limiares forem atingidos.
Verifique se cada linha tem exatamente um Aprovador e pelo menos uma pessoa que executa o trabalho. Compartilhe a tabela com todos os papéis que ela nomeia e pergunte se concordam; um papel que descobre pela tabela que é Aprovador de algo ainda não aceitou essa responsabilidade. Revise a RACI depois de mudanças organizacionais e depois de qualquer incidente que a tenha posto à prova.
7.3 Gestão de mudanças
Toda mudança num sistema de TO passa por um comitê de mudanças que já existe para segurança física e confiabilidade. Acrescentar três perguntas de segurança ao seu formulário — esta mudança acrescenta um conduíte, altera uma conta ou modifica um firmware? — integra a segurança sem uma burocracia paralela.
Cada resposta "sim" então dispara uma ação definida: um novo conduíte precisa de uma regra de firewall e de um responsável; uma conta alterada precisa de uma revisão de quem pode usá-la; um firmware modificado precisa de uma verificação contra os alertas do fornecedor e de uma cópia de segurança feita antes. O comitê já entende perguntas de segurança física e de confiabilidade, então as perguntas de segurança devem ser formuladas da mesma maneira.
7.4 Métricas
Meça aquilo de que você quer mais. "Número de vulnerabilidades" recompensa não olhar. Melhor: porcentagem de ativos de TO no inventário com versões de firmware conhecidas; mediana de dias para aplicar correções de TO de alto risco dentro das janelas disponíveis; porcentagem de sessões de fornecedores com gravações revisadas. Cada métrica nomeia um denominador.
Cada métrica também precisa de uma linha de base e de uma data-alvo. O painel da BWRP parte de 14 de 23 RTUs no inventário e de 0 de 37 sessões de fornecedores revisadas desde março, de modo que o progresso fica visível desde o primeiro relatório. Revise cada definição com as pessoas que ela mede, para que a métrica mude o comportamento, e não apenas o relato.
Exemplo resolvido (BWRP sintética)
Plano de integração de Daniel: o líder de segurança de TO se reporta ao diretor da planta, com linha pontilhada para o CISO; o formulário do comitê de mudanças ganha três perguntas; o painel trimestral mostra a completude do inventário (hoje, 14/23 RTUs mais 41/41 ativos da planta), a taxa de revisão das sessões de fornecedores (hoje, 0/37 sessões revisadas desde março) e a atualidade dos testes de restauração.
Caso sintético — Bayside Water Reclamation Plant. A estrutura e os números são inventados.
Erros e limites
As tabelas RACI falham se duas partes forem Aprovadoras ao mesmo tempo. As métricas podem ser manipuladas; revise as definições anualmente.
Exercícios
- EX031 — Detectar um erro na RACI. Um rascunho lista tanto a segurança de TI quanto o diretor da planta como Aprovadores da declaração de incidente. O que está errado e como corrigir? Rubrica: 3 = apenas um Aprovador; diretor A, TI C; 2 = só o problema; 1 = aceita; 0 = nenhum.
- EX032 — Três perguntas para o comitê de mudanças. Reescreva as três perguntas de segurança de modo que um não especialista consiga respondê-las com sim/não. Rubrica: 3 = três perguntas claras de sim/não; 2 = duas; 1 = jargão; 0 = nenhum.
- EX033 — Uma métrica que sai pela culatra. Explique como "zero constatações de TO em aberto" poderia sair pela culatra. Rubrica: 3 = desestimula relatar/encontrar; incentiva encerrar sem corrigir; 2 = parcial; 1 = vago; 0 = nenhum.
- EX034 — Número da completude do inventário. Calcule a completude combinada do inventário da BWRP. Rubrica: 3 = 55/64 ≈ 85,9 %; 2 = fração correta; 1 = só 14/23; 0 = nenhum.
- EX035 — Escolha da linha de reporte. Dê uma vantagem de o líder de segurança de TO se reportar ao diretor da planta, e não ao CISO. Rubrica: 3 = autoridade sobre as decisões de operações, contexto do processo; 2 = vago; 1 = tentativa mínima; 0 = nenhum.
Síntese
Integração é autoridade explícita, perguntas de mudança incorporadas ao processo e métricas com denominadores que recompensam encontrar e corrigir.
Continue estudando — capítulo 07 de 12
← Capítulo 06 · Índice de capítulos do curso · Capítulo 08 →
Siga para a próxima lição escrita.