Capítulo 8 — Segurança de TO, IoT e sistemas ciberfísicos: casos difíceis

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Quando a contenção põe o processo em risco"]
  N1["8.2 Ameaças internas"]
  N2["8.3 Comprometimento de fornecedor"]
  N3["8.4 Comunicar sob incerteza"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Quando a contenção põe o processo em risco"]
  N1["8.2 Ameaças internas"]
  N2["8.3 Comprometimento de fornecedor"]
  N3["8.4 Comunicar sob incerteza"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX036"]

[8.1 Quando a contenção põe o processo em risco]
    |
    v
[8.2 Ameaças internas]
    |
    v
[8.3 Comprometimento de fornecedor]
    |
    v
[8.4 Comunicar sob incerteza]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) liderar uma resposta quando a contenção e a segurança do processo entram em conflito; (2) lidar com um cenário de ameaça interna com justiça e evidências; (3) gerenciar o comprometimento de um fornecedor que afeta vários sites; e (4) comunicar-se sob incerteza com reguladores e com o público.

8.1 Quando a contenção põe o processo em risco

Suponha que as evidências sugiram um invasor no servidor SCADA da BWRP durante uma tempestade, quando as estações elevatórias precisam de partidas remotas das bombas para evitar transbordamentos. Desconectar o SCADA detém o invasor e, junto, o controle remoto dos operadores. O trabalho do líder é escolher a opção menos ruim: manter o SCADA conectado sob vigilância reforçada, com verificação manual de cada comando; despachar equipes para as estações de alta consequência para assumir o controle local; depois isolar. A NIST SP 800-82r3 enfatiza que a resposta a incidentes de TO precisa pesar o impacto das ações de resposta sobre a segurança física e a operação.

8.2 Ameaças internas

Uma mudança local inexplicada num painel de dosagem (o exemplo do Capítulo 3) pode ser um ajuste bem-intencionado de um técnico ou uma sabotagem. Trate-a primeiro como um desvio de processo, colete evidências sem acusar, envolva os recursos humanos e o jurídico antes das entrevistas e lembre-se de que culturas de culpa fazem as pessoas esconderem erros, o que é pior para a segurança.

Na BWRP, as evidências já apontavam para uma mudança local durante um período em que o painel estava em modo local. O próximo passo é conferir as escalas e as ordens de serviço daquela janela e perguntar ao técnico o que ele estava fazendo, conduzindo a conversa como uma revisão de processo. Só se a explicação não se encaixar é que o caso se torna uma questão disciplinar ou jurídica.

8.3 Comprometimento de fornecedor

Se um fornecedor de SCADA anuncia que seu servidor de atualizações distribuiu software adulterado, toda concessionária que o usa precisa determinar sua exposição. Os líderes precisam de um inventário das versões instaladas e de um registro da origem das atualizações. O compartilhamento de informações no setor ajuda; uma relação já existente com a equipe de segurança do fornecedor também.

Na BWRP, a primeira pergunta seria quais servidores SCADA e estações de engenharia receberam atualizações da fonte afetada, e quando. Isso exige registros mantidos antes do anúncio, e é por isso que o trabalho de inventário da lista de lacunas importa. Os contatos com a equipe de segurança do fornecedor e com o grupo setorial de compartilhamento devem ser estabelecidos antes de uma crise, não durante.

8.4 Comunicar sob incerteza

Diga aos reguladores o que você sabe, o que não sabe, o que está fazendo e quando vai atualizar. Evite tanto as garantias que você não consegue sustentar quanto as especulações sobre autoria.

Na BWRP, a declaração preliminar da 01:00 na noite da tempestade seguiu esse padrão: uma sessão desconhecida a partir do servidor SCADA, equipes nas estações à beira da praia, o caminho externo cortado e o horário da próxima atualização. Ela não fez nenhuma alegação sobre quem era o responsável. Prepare modelos para essas declarações com antecedência, para que possam ser emitidas depressa sem redação descuidada.

Exemplo resolvido (BWRP sintética)

Noite de tempestade, 23:40: o monitoramento alerta para uma sessão de saída desconhecida a partir do servidor SCADA. Daniel e o supervisor de turno concordam: equipes nas seis estações à beira da praia até 00:30 para o controle local; o SCADA continua conectado, com verificação por duas pessoas de cada comando remoto; às 00:35, com o controle local confirmado, o caminho externo do SCADA é cortado no firewall da DMZ. O regulador recebe uma declaração preliminar à 01:00, conforme os termos de notificação da licença.

Caso sintético — Bayside Water Reclamation Plant. O evento e os horários são inventados.

Erros e limites

A verificação por duas pessoas desacelera as operações; é uma medida temporária. As declarações preliminares não devem ser atrasadas para aperfeiçoá-las.

Exercícios

• EX036 — Sequenciar a resposta na noite da tempestade. Explique por que as equipes foram despachadas antes de cortar o caminho externo.
  Mostrar critérios de avaliação

  Rubrica: 3 = manter a prevenção de transbordamentos por controle local antes de perder o controle remoto; 2 = parcial; 1 = rapidez; 0 = nenhum.
• EX037 — Primeiros passos diante de uma possível ameaça interna. Liste as três primeiras ações depois da mudança inexplicada no painel.
  Mostrar critérios de avaliação

  Rubrica: 3 = colocar o processo em estado seguro/verificar o setpoint, preservar as evidências, envolver RH/jurídico antes das entrevistas; 2 = duas; 1 = acusar; 0 = nenhum.
• EX038 — A pergunta da exposição ao fornecedor. Quais dois registros permitem à BWRP responder "fomos afetados pela atualização adulterada?"
  Mostrar critérios de avaliação

  Rubrica: 3 = versão instalada por host e histórico da origem/data das atualizações; 2 = um; 1 = lista de fornecedores; 0 = nenhum.
• EX039 — Uma declaração preliminar. Redija uma declaração preliminar de três frases para o regulador.
  Mostrar critérios de avaliação

  Rubrica: 3 = o que se sabe, o que não se sabe, as ações e o horário da próxima atualização; 2 = três dos quatro; 1 = especulativa; 0 = nenhum.
• EX040 — Encerrar a verificação por duas pessoas. Declare um critério para encerrar a medida temporária.
  Mostrar critérios de avaliação

  Rubrica: 3 = caminho do invasor fechado e integridade do SCADA verificada (por exemplo, reconstrução limpa ou hashes verificados), com aprovação do responsável; 2 = parcial; 1 = só baseado em tempo; 0 = nenhum.

Síntese

Os casos difíceis exigem um sequenciamento que mantenha o processo seguro, justiça com as pessoas, inventários que respondam às perguntas sobre fornecedores e comunicação honesta.