OpenCyber Academy
Profissionalizante · Capítulo 8 · Português
Código do curso: OCA-046Capítulo 08: OCA-046-C008

Capítulo 8 — Infraestrutura crítica e segurança setorial: análise supervisionada de caso

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Por que os fornecedores importam tanto aqui"]
  N1["8.2 O ciclo de vida do fornecedor"]
  N2["8.3 A revisão de acesso"]
  N3["8.4 Caso resolvido: a revisão de maio sintético"]
  N4["8.5 Requisitos de contrato e de integração"]
  N5["8.6 Apresentação supervisionada"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Por que os fornecedores importam tanto aqui"]
  N1["8.2 O ciclo de vida do fornecedor"]
  N2["8.3 A revisão de acesso"]
  N3["8.4 Caso resolvido: a revisão de maio sintético"]
  N4["8.5 Requisitos de contrato e de integração"]
  N5["8.6 Apresentação supervisionada"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX036"]

[8.1 Por que os fornecedores importam tanto aqui]
    |
    v
[8.2 O ciclo de vida do fornecedor]
    |
    v
[8.3 A revisão de acesso]
    |
    v
[8.4 Caso resolvido: a revisão de maio sintético]
    |
    v
[8.5 Requisitos de contrato e de integração]
    |
    v
[8.6 Apresentação supervisionada]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

Este é o primeiro caso supervisionado do livro. Ele reúne risco (Capítulo 4), papéis (Capítulo 6) e verificação de controles (Capítulo 7).

8.1 Por que os fornecedores importam tanto aqui

Os serviços essenciais dependem de fornecedores para equipamentos, software, manutenção e monitoramento. O acesso remoto de fornecedores é conveniente — um especialista em bombas consegue resolver um problema a 200 quilômetros de distância, à noite — e é também uma via recorrente de comprometimento. As orientações da CISA sobre mitigações primárias para a TO incluem, entre as prioridades, reduzir a exposição e proteger o acesso remoto (CISA, Primary Mitigations to Reduce Cyber Threats to Operational Technology). As orientações do NIST sobre a cadeia de suprimentos tratam os fornecedores como parte do risco da organização e recomendam integrar a gestão de riscos da cadeia de suprimentos à governança e às aquisições (NIST SP 800-161 Rev. 1). A NIS2 inclui a segurança da cadeia de suprimentos entre as medidas de gestão de riscos que as entidades precisam adotar (Directive (EU) 2022/2555, Article 21).

8.2 O ciclo de vida do fornecedor

A governança de um fornecedor com acesso segue um ciclo de vida:

  1. Selecionar — perguntas de segurança na aquisição, proporcionais ao acesso solicitado.
  2. Contratar — obrigações de segurança: pessoas nomeadas, MFA, notificação de incidentes e de desligamentos de pessoal, direito de revisão, tratamento de dados, apoio à sua resposta a incidentes.
  3. Integrar — contas criadas por pessoa nomeada, acesso mínimo, processo de aprovação de sessões (Capítulo 6).
  4. Operar — sessões aprovadas, registradas e revistas; revisões periódicas de acesso.
  5. Mudar — novos funcionários, novos sistemas, fusões: nova revisão.
  6. Encerrar — contas removidas, dados devolvidos ou destruídos, confirmação registrada.

A maioria dos problemas reais fica nas junções: um contrato que terminou, mas cuja conta sobreviveu; um engenheiro que saiu do fornecedor, mas cuja senha não saiu.

8.3 A revisão de acesso

Uma revisão de acesso periódica concilia três fontes: a lista de contas (o que existe), o registro de contratos (o que deveria existir) e os registros de sessão (o que é usado). Constatações típicas e respostas proporcionais:

Tabela da aula; deslize para ver todas as colunas →

Constatação Por que importa Resposta proporcional
Conta de contrato encerrado Ninguém responde pelo seu uso Desabilitar agora; confirmar com o fornecedor
Sem uso há mais de 90 dias Exposição desnecessária Desabilitar; reabilitar a pedido, pelo processo
Conta compartilhada ou sem nome As ações não podem ser atribuídas Substituir por contas nomeadas; enquanto isso, restringir
Sem MFA Só a senha concede o acesso Corrigir ou registrar uma exceção com prazo
Uso muito acima do esperado Pode ser um projeto legítimo, mau uso ou comprometimento Perguntar ao fornecedor e ao dono interno; revisar os registros de sessão antes de concluir

A última linha exige cuidado. Volume incomum é uma pergunta, não uma acusação.

8.4 Caso resolvido: a revisão de maio (sintético)

Depois das lacunas de controle do Capítulo 7, a coordenadora conduz a primeira revisão de acesso de fornecedores em 4 de maio de 2026, sob uma autorização de A. Mensah que permite a exportação somente leitura da lista de contas e do log de sessões do gateway. O Laboratório 8 reproduz a conciliação.

Laboratório 8 (salve como lab08.py e execute com python3 lab08.py):

# Lab 8 - third-party remote-access review (offline, standard library only; all data synthetic)
import datetime as dt
TODAY = dt.date(2026, 5, 4)
# account, supplier, named person, MFA, contract end, last session, sessions in 90 days
ACCOUNTS = [
    ("v-hydro1",  "HydroLogic Ltd",  "P. Novak",  True,  "2027-03-31", "2026-04-28", 6),
    ("v-hydro2",  "HydroLogic Ltd",  "",          True,  "2027-03-31", "2026-04-30", 11),
    ("v-scadaco", "ScadaCo",         "M. Ilic",   False, "2026-12-31", "2026-03-15", 2),
    ("v-pumps",   "Vale Pumps",      "D. Ruiz",   True,  "2025-11-30", "2026-02-10", 1),
    ("v-meter",   "MeterWorks",      "K. Sato",   True,  "2026-09-30", "2025-10-02", 0),
    ("v-integr",  "Northgate Integration", "S. Brandt", True, "2026-08-31", "2026-05-01", 19),
]
SESSIONS_EXPECTED = {"HydroLogic Ltd": 8, "ScadaCo": 4, "Vale Pumps": 2, "MeterWorks": 2, "Northgate Integration": 4}
for acct, sup, person, mfa, end, last, n90 in ACCOUNTS:
    f = []
    if not person: f.append("shared/unnamed account")
    if not mfa: f.append("no MFA")
    if dt.date.fromisoformat(end) < TODAY: f.append("contract ended - disable")
    if (TODAY - dt.date.fromisoformat(last)).days > 90: f.append("unused >90 days - disable")
    if n90 > 2 * SESSIONS_EXPECTED[sup]: f.append(f"{n90} sessions vs ~{SESSIONS_EXPECTED[sup]} expected - ask why")
    print(f"{acct:10s} {sup:22s} {'OK' if not f else '; '.join(f)}")

Saída esperada (Python 3.13.5):

v-hydro1   HydroLogic Ltd         OK
v-hydro2   HydroLogic Ltd         shared/unnamed account
v-scadaco  ScadaCo                no MFA
v-pumps    Vale Pumps             contract ended - disable
v-meter    MeterWorks             unused >90 days - disable
v-integr   Northgate Integration  19 sessions vs ~4 expected - ask why

A análise da coordenadora, rotulada:

O caso mostra a disciplina do coordenador: agir depressa sobre falhas claras de governança, perguntar antes de acusar, escalar a atividade residual não explicada pelo caminho adequado e registrar o que é pressuposto.

8.5 Requisitos de contrato e de integração

A partir do caso, a coordenadora redige cláusulas-padrão para novos contratos de fornecedores com acesso remoto: apenas pessoas nomeadas; MFA; sessões apenas pelo gateway da empresa, aprovadas por sessão ou por janela programada; o fornecedor deve notificar a empresa em até 24 horas sobre o desligamento de funcionários e prontamente sobre qualquer incidente de segurança que possa afetar a empresa; registros de trabalho disponíveis a pedido; cooperação na resposta a incidentes; exclusão dos dados da empresa ao fim do contrato, confirmada por escrito. A ISA/IEC 62443 inclui requisitos para prestadores de serviços e integradores que podem embasar essas cláusulas (visão geral da ISA/IEC 62443). A redação jurídica cabe à sua equipe jurídica; o seu trabalho é especificar o resultado de segurança.

8.6 Apresentação supervisionada

Apresente o caso ao seu supervisor (aqui, E. Varga) em cinco partes: o que foi revisto e sob qual autoridade; constatações com evidências; decisões já tomadas e por quem; decisões solicitadas ao supervisor (orçamento para a MFA do lado da ScadaCo, aprovação das cláusulas contratuais); e perguntas em aberto, com donos e datas.

Mantenha cada parte curta e rotulada, para que o supervisor possa interrompê-lo em qualquer ponto e ainda saber o que está decidido e o que está sendo pedido. Na revisão de maio, as duas sessões inexplicadas da Northgate pertencem às perguntas em aberto, com o seu dono, e não às constatações. Leve a saída do Laboratório 8 e a autorização como anexos, e declare com clareza o que foi pressuposto, como a completude da exportação do gateway. Termine repetindo as decisões solicitadas e a data até a qual são necessárias.

8.7 Erros comuns e limites

Exercícios — capítulo 8

EX036 — Leia o Laboratório 8. Objetivo: interpretar os resultados da revisão. Insumos: a saída do Laboratório 8. Passos: para cada conta, declarar a constatação, o risco e a resposta proporcional, com dono. Evidência esperada: seis linhas. Rubrica: 3 = coincide com a seção 8.4, incluindo a contenção em relação a v-integr e uma alternativa para v-scadaco; 2 = ações corretas, mas acusatório quanto a v-integr; 1 = desabilita tudo; 0 = nada.

EX037 — Estenda a revisão. Objetivo: acrescentar uma fonte. Insumos: Laboratório 8. Passos: acrescentar uma data de "última confirmação de pessoal" por conta e sinalizar as contas cujo fornecedor não confirma a sua lista de pessoal há 180 dias; mostrar a saída. Evidência esperada: código e saída. Rubrica: 3 = campo acrescentado em todas as linhas, com valores de teste que disparam e que não disparam, saída mostrada, explica por que a confirmação de pessoal importa (desligamentos); 2 = sem explicação; 1 = apenas a regra; 0 = nada.

EX038 — Redija cláusulas contratuais. Objetivo: especificar as obrigações do fornecedor. Insumos: seção 8.5. Passos: escrever cinco cláusulas verificáveis em linguagem simples. Evidência esperada: cláusulas. Rubrica: 3 = cada cláusula tem uma obrigação mensurável e uma forma de verificação (por exemplo, aviso de desligamento de pessoal em até 24 horas, verificado na revisão trimestral); 2 = não verificáveis; 1 = "o fornecedor será seguro"; 0 = nada.

EX039 — Trate as duas sessões noturnas. Objetivo: escalar adequadamente uma atividade inexplicada. Insumos: seção 8.4. Passos: escrever a mensagem ao líder de segurança e a decisão de que você precisa. Evidência esperada: mensagem. Rubrica: 3 = fatos com horários em UTC e fonte, o que se sabe (17 de 19 explicadas), o que não se sabe, pedido de revisão dos registros de sessão pelo caminho de escalonamento, orientação para ainda não alertar o fornecedor, tratamento sensível (TLP:RED ou AMBER+STRICT), horário da próxima verificação; 2 = sem orientação de tratamento; 1 = "favor investigar a Northgate"; 0 = nada.

EX040 — Apresente o caso. Objetivo: apresentação supervisionada. Insumos: seção 8.6. Passos: escrever o briefing em cinco partes em menos de 300 palavras. Evidência esperada: briefing. Rubrica: 3 = as cinco partes, decisões solicitadas explicitamente, incerteza rotulada, nenhuma acusação sem fundamento; 2 = faltam as decisões solicitadas; 1 = apenas narrativa; 0 = nada.

Síntese do capítulo

O acesso de fornecedores é governado ao longo de um ciclo de vida — selecionar, contratar, integrar, operar, mudar, encerrar —, e a maioria das falhas fica nas junções. Uma revisão de acesso concilia contas, contratos e sessões; responda de forma proporcional, trate as anomalias como perguntas e escale o que continuar inexplicado pelo caminho adequado. Transforme as lições em requisitos contratuais verificáveis e apresente os casos com as decisões solicitadas e a incerteza rotulada.

Respostas comentadas

EX036. v-hydro1: sem constatação; manter. v-hydro2: conta sem nome — ações não atribuíveis; substituir por conta nomeada em até 14 dias, com sessões supervisionadas enquanto isso (A. Mensah). v-scadaco: sem MFA — só a senha concede o acesso; a ScadaCo deve habilitá-la em até 30 dias ou haverá exceção com medidas compensatórias; manter uma alternativa supervisionada para suporte urgente (A. Mensah). v-pumps: contrato encerrado — desabilitar agora e confirmar com a Vale Pumps. v-meter: sem uso há > 90 dias — desabilitar; reabilitar a pedido. v-integr: 19 contra ~4 sessões — perguntar a J. Tan e à Northgate; um projeto explica 17; escalar as duas sessões noturnas inexplicadas ao líder de segurança. Nenhuma acusação.

EX037. Acrescentar um campo staff_confirmed (data em que o fornecedor confirmou pela última vez a sua lista de pessoas com acesso), por exemplo "2026-04-01" para a HydroLogic e "2025-09-15" para a Northgate. Regra: if (TODAY - dt.date.fromisoformat(conf)).days > 180: f.append("staff list unconfirmed >180 days"). A saída então mostra a sinalização em v-integr e não em v-hydro1. Isso importa porque os desligamentos de pessoal nos fornecedores são uma forma comum de credenciais válidas sobreviverem aos seus donos.

EX038. (1) Só as pessoas nomeadas no Anexo A podem acessar; mudanças notificadas por escrito antes do acesso (verificado em cada revisão trimestral). (2) Toda sessão remota usa o gateway da empresa com autenticação multifator (verificado pela configuração e pelos logs do gateway). (3) O fornecedor notifica a empresa em até 24 horas quando uma pessoa da lista sai ou perde um dispositivo usado para o acesso (verificado pela confirmação trimestral da lista de pessoal). (4) O fornecedor entrega os registros de trabalho de qualquer sessão em até 2 dias úteis após o pedido (verificado por amostragem). (5) Ao fim do contrato, o fornecedor confirma por escrito, em até 14 dias, que os dados da empresa foram apagados (verificado pelo registro na biblioteca).

EX039. "TLP:AMBER+STRICT. L. — a revisão de acesso de fornecedores encontrou 19 sessões da Northgate em 90 dias. J. Tan e o registro de trabalho da Northgate explicam 17 (comissionamento da telemetria da KW-11, aprovado em março). Duas estão inexplicadas: 12 de abril e 19 de abril, ambas começando às 02:00, horário local (01:00 UTC); origem e destino na exportação do gateway anexa. Desconhecido: quem se conectou e o que foi feito. Peço que você revise os registros de sessão pelo caminho de escalonamento de incidentes e oriente se devemos restringir a conta. Por favor, não contate a Northgate até decidir. Volto a falar com você às 16:00."

EX040. (1) Revisado: as seis contas de fornecedores no gateway de acesso remoto, 4 de maio, exportação somente leitura autorizada por A. Mensah. (2) Constatações: uma conta sem nome, uma sem MFA, uma de contrato encerrado, uma sem uso, uma com volume incomum (evidências anexas). (3) Decidido por A. Mensah: duas contas desabilitadas; substituta nomeada em até 14 dias. (4) Solicitado a você: aprovar as cláusulas contratuais-padrão para as renovações; aprovar orçamento para a MFA da ScadaCo, se ela não puder custeá-la; confirmar revisões mensais. (5) Em aberto: duas sessões noturnas inexplicadas da Northgate — com o líder de segurança, atualização na sexta-feira; pressuposto de que o gateway é o único caminho de acesso — comparação com o firewall até junho (J. Tan).