Capítulo 2 — Infraestrutura crítica e segurança setorial: contexto de serviço e de partes interessadas

Capítulo 2 — Infraestrutura crítica e segurança setorial: contexto de serviço e de partes interessadas

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 Um serviço é uma cadeia"]
  N1["2.2 A montante, a jusante, compartilhadas"]
  N2["2.3 Partes interessadas e os seus papéis"]
  N3["2.4 Como os setores diferem"]
  N4["2.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 Um serviço é uma cadeia"]
  N1["2.2 A montante, a jusante, compartilhadas"]
  N2["2.3 Partes interessadas e os seus papéis"]
  N3["2.4 Como os setores diferem"]
  N4["2.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX006"]

[2.1 Um serviço é uma cadeia]
    |
    v
[2.2 A montante, a jusante, compartilhadas]
    |
    v
[2.3 Partes interessadas e os seus papéis]
    |
    v
[2.4 Como os setores diferem]
    |
    v
[2.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• descrever um serviço crítico como uma cadeia de funções e dependências, a montante e a jusante;
• construir um mapa de partes interessadas que distinga quem decide, quem precisa ser informado e quem pode ajudar;
• reconhecer como os setores diferem — água, energia, saúde, transporte, finanças — no que "dano" significa e em quem os regula;
• identificar efeitos em cascata entre setores e a coordenação que eles exigem.

O Capítulo 1 definiu o serviço pela sua consequência. Este capítulo desenha as pessoas e as dependências ao redor dele.

2.1 Um serviço é uma cadeia

A água potável da Kestrel Water passa por uma cadeia: captação no rio, tratamento na KW-TW, dosagem química, bombeamento e armazenamento nas estações KW-01 a KW-12, distribuição, medição e faturamento. Cada elo depende de coisas que a empresa não controla totalmente: eletricidade da Kestrel Grid, produtos químicos entregues por rodovia, telecomunicações para a telemetria, um serviço de monitoramento no KVROC, software e manutenção de fornecedores, e pessoas com habilidades escassas.

As funções críticas nacionais da CISA descrevem essa visão no nível nacional: funções como "fornecer água" dependem de outras, como "fornecer eletricidade" e "fornecer conteúdo, informação e serviços de comunicação baseados na internet" (CISA, National Critical Functions Set). A versão do coordenador é local e concreta: um mapa de dependências de uma página que um novo gestor consiga ler em cinco minutos.

2.2 A montante, a jusante, compartilhadas

Três tipos de dependência importam para um coordenador:

• A montante — aquilo de que o serviço precisa: energia, produtos químicos, comunicações, fornecedores, pessoal.
• A jusante — quem precisa do serviço e quanto: residências, escolas, a unidade de esterilização e a diálise do hospital, hidrantes, empresas de alimentos.
• Compartilhadas — componentes ou pessoas de que várias funções dependem ao mesmo tempo: uma única operadora de telecomunicações para toda a telemetria, um único engenheiro do fornecedor que conhece todas as estações, um único centro de monitoramento compartilhado.

As dependências compartilhadas são onde eventos isolados se tornam interrupções amplas. A pergunta mais valiosa de um coordenador em qualquer reunião costuma ser: "O que mais usa isso?"

2.3 Partes interessadas e os seus papéis

Uma parte interessada é qualquer pessoa que afeta a segurança do serviço ou é afetada por ela. Para a coordenação, classifique cada uma pelo que você precisa dela:

Uma parte interessada pode estar em várias classes. O hospital "precisa ser informado" quando a qualidade ou a pressão da água estão em risco e também "é afetado"; ele também pode "ajudar", dizendo quais dos seus sistemas mais precisam de água.

2.4 Como os setores diferem

O padrão de coordenação é comum, mas o significado do dano e o cenário regulatório diferem:

• Água: a saúde pública é a consequência dominante; os operadores costumam manter locais pequenos, com pouco pessoal; a operação manual muitas vezes é possível por algum tempo. A CISA e parceiros publicaram alertas específicos para o setor de água depois de ataques a controladores expostos à internet (CISA AA23-335A).
• Eletricidade: equilíbrio em tempo real e falhas em cascata entre redes; as interrupções afetam todos os outros setores. Os ataques de 2015 a distribuidoras ucranianas causaram interrupções para os clientes e foram seguidos de restabelecimento manual (CISA IR-ALERT-H-16-056-01).
• Saúde: segurança do paciente e continuidade clínica; muitos dispositivos médicos conectados; a equipe clínica decide sobre desvio de pacientes e procedimentos de contingência.
• Transporte e dutos: segurança da movimentação e do abastecimento de combustível; sistemas de negócio podem forçar paralisações operacionais mesmo quando os sistemas de controle não foram tocados. No caso do ransomware DarkSide em 2021, a CISA e o FBI emitiram um alerta sobre ataques à rede de TI de uma empresa de infraestrutura crítica (CISA AA21-131A).
• Finanças: integridade das transações e confiança pública; forte regulação já existente sobre resiliência operacional.

A lição profissional: ao coordenar entre setores (água com energia, hospital com água), traduza a sua consequência para a deles. "Estação KW-02 fora do ar" não significa nada para o hospital; "pressão mais baixa no lado leste das 14:00 até cerca das 18:00, água segura para beber" significa.

2.5 Exemplo resolvido: a dependência do hospital (sintético)

O Kestrel General Hospital é abastecido pela zona leste, alimentada pelas estações KW-02 e KW-07. A coordenadora faz quatro perguntas e registra as respostas:

A coordenadora então marca "6 horas" como pressuposto, porque não viu o plano. Um pressuposto do qual uma decisão depende é uma tarefa: ela pede para ver a seção relevante. Esse padrão — registrar a fonte e o grau de confiança de cada fato de dependência — percorre todo o livro.

2.6 Atividade prática

Desenhe um mapa de dependências para um serviço essencial com pelo menos cinco dependências a montante, três a jusante e uma compartilhada. Para cada uma, nomeie um contato e diga se você verificou a informação ou a pressupôs.

Use a tabela do hospital como modelo: para cada dependência, registre a resposta, a sua fonte e se você mesmo viu a evidência. Todo fato marcado como pressuposto deve virar uma tarefa, com uma pessoa a quem perguntar. Date o mapa e nomeie quem vai revisá-lo, porque fornecedores, contatos e tempos de autonomia mudam. Um mapa sem dependência compartilhada geralmente significa que você ainda não perguntou o que mais usa a operadora, o serviço de monitoramento ou o único engenheiro que conhece todas as estações.

2.7 Erros comuns e limites

• Mapear sistemas em vez de funções — uma lista de servidores não é um mapa de dependências.
• Esquecer as pessoas como dependências (um único especialista, um único gerente de plantão).
• Tratar as partes interessadas que "precisam ser informadas" como opcionais até um incidente.

• Mapas de dependências envelhecem; date-os e defina um responsável pela revisão.

• Aceitar o tempo de autonomia de um cliente crítico sem ver o plano de onde ele vem, como a coordenadora evitou com as seis horas do hospital.

• Descrever uma interrupção nos seus próprios termos para outro setor, em vez de dizer o que ela significa para ele, como pressão mais baixa das 14:00 até cerca das 18:00, com água segura para beber.

Exercícios — capítulo 2

EX006 — Classifique as partes interessadas. Objetivo: usar as cinco classes. Insumos: regulador, KVROC, HydroLogic Ltd, uma escola local, o diretor-presidente, a sala de controle da Kestrel Grid. Passos: classificar cada um, admitindo mais de uma classe. Evidência esperada: tabela com uma razão por linha. Rubrica: 3 = classes defensáveis, com várias classes onde se justifica (por exemplo, a Kestrel Grid como dependência a montante, "pode ajudar" e também "precisa ser informada" se a carga da empresa mudar); 2 = uma classe para cada; 1 = várias erradas; 0 = nada.

EX007 — Encontre a dependência compartilhada. Objetivo: identificar pontos únicos. Insumos: a telemetria das doze estações usa uma única operadora; o KVROC monitora três empresas; um único engenheiro da HydroLogic atende todas as estações. Passos: explicar a consequência de perder cada um e a pergunta de coordenação que você levantaria. Evidência esperada: três análises curtas. Rubrica: 3 = reconhece a perda de visão de todas as estações (operadora), o impacto compartilhado entre empresas e o monitoramento reduzido (KVROC), o risco de pessoa-chave (engenheiro); levanta "o que mais usa isso" e a contingência; 2 = dois de três; 1 = apenas lista; 0 = nada.

EX008 — Traduza a consequência. Objetivo: comunicar entre setores. Insumos: "A KW-07 operará em manual a partir das 10:00 por seis horas devido a um suposto comprometimento do enlace do fornecedor." Passos: reescrever para o gerente de infraestrutura predial do hospital. Evidência esperada: mensagem com menos de 80 palavras. Rubrica: 3 = declara o efeito no abastecimento nos termos do hospital (pressão, segurança, duração), o que o hospital deve fazer, o horário da próxima atualização e um contato; evita detalhes técnicos e especulação; 2 = falta a próxima atualização; 1 = encaminha a frase técnica; 0 = nada.

EX009 — Verifique um pressuposto. Objetivo: gerenciar o grau de confiança. Insumos: o pressuposto das "6 horas" na seção 2.5. Passos: descrever como você o verificaria e o que faria se o número real fosse 2 horas. Evidência esperada: plano e consequência. Rubrica: 3 = pedir a seção específica do plano ou uma reunião com a infraestrutura predial, registrar data e fonte; com 2 horas, a promessa de notificação em 2 horas se torna inadequada, então revisar o acordo e planejar um abastecimento alternativo (caminhões-pipa) com o hospital; 2 = apenas a verificação; 1 = aceita o pressuposto; 0 = nada.

EX010 — Diferença setorial. Objetivo: reconhecer o significado setorial do dano. Insumos: a mesma infecção por ransomware da TI de negócio em (a) uma empresa de água e (b) um operador de oleoduto. Passos: explicar por que cada um poderia paralisar as operações mesmo com os sistemas de controle limpos, citando o alerta público pertinente quando apropriado. Evidência esperada: dois parágrafos. Rubrica: 3 = explica a dependência das operações em relação às funções de negócio (faturamento, programação, monitoramento) e a cautela quanto à propagação, cita o AA21-131A apenas no nível em que foi publicado e evita afirmações além dele; 2 = genérico; 1 = pressupõe que a TO foi atingida; 0 = nada.

Síntese do capítulo

Um serviço crítico é uma cadeia de funções com dependências a montante, a jusante e compartilhadas, e um conjunto de partes interessadas que decidem, executam, precisam ser informadas, podem ajudar ou são afetadas. Os setores diferem no que o dano significa; por isso, o coordenador traduz as consequências para os termos do setor que as recebe. Registre a fonte e o grau de confiança de cada fato de dependência; um pressuposto não verificado por trás de uma decisão é uma tarefa.

Continue estudando — capítulo 02 de 12

← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →

Siga para a próxima lição escrita.