OpenCyber Academy
Profissionalizante · Capítulo 1 · Português
Código do curso: OCA-045Capítulo 01: OCA-045-C001

Capítulo 1 — Sistemas prediais como sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O que faz funcionar um prédio hospitalar"]
  N1["1.2 Por que são ciberfísicos"]
  N2["1.3 Consequência para os pacientes"]
  N3["1.4 Quem é o dono deles"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O que faz funcionar um prédio hospitalar"]
  N1["1.2 Por que são ciberfísicos"]
  N2["1.3 Consequência para os pacientes"]
  N3["1.4 Quem é o dono deles"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX001"]

[1.1 O que faz funcionar um prédio hospitalar]
    |
    v
[1.2 Por que são ciberfísicos]
    |
    v
[1.3 Consequência para os pacientes]
    |
    v
[1.4 Quem é o dono deles]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) listar os sistemas prediais dos quais um hospital depende; (2) explicar como cada um se torna um sistema ciberfísico quando ligado em rede; e (3) descrever as consequências da sua falha para os pacientes.

1.1 O que faz funcionar um prédio hospitalar

Por trás das enfermarias ficam as unidades de tratamento de ar que mantêm os centros cirúrgicos com temperatura, umidade e pressão controladas; resfriadores (chillers) e caldeiras; painéis de alarme de gases medicinais que avisam quando a pressão do oxigênio cai; elevadores que levam pacientes entre andares; e o controle de acesso das portas de farmácias e maternidades. Um sistema de gerenciamento predial (BMS) liga muitos deles numa rede com uma estação de trabalho central.

A maioria desses sistemas é invisível para os pacientes e para muitos funcionários até falhar. No Millbrook, eles incluem as duas unidades de tratamento de ar dos centros cirúrgicos, um chiller, um painel de alarme de gases medicinais, o controlador dos elevadores e o servidor de controle de acesso, todos alcançados a partir de uma única estação de trabalho do BMS. Conhecer a lista é o primeiro passo para perguntar quem protege cada item.

1.2 Por que são ciberfísicos

Cada sistema lê sensores e aciona equipamentos no mundo físico por meio de controladores. Quando esses controladores são ligados em rede, uma mudança feita numa tela em qualquer ponto da rede pode mover um damper, parar uma bomba ou destrancar uma porta. O NIST SP 800-82r3 cobre explicitamente a automação predial dentro da tecnologia operacional exatamente por esse motivo.

No Millbrook, um valor de referência digitado na BMS-WS pode mudar o ar de um centro cirúrgico, e uma agenda no DOOR-SRV decide quais portas abrem. Nenhuma das mudanças exige que alguém esteja numa casa de máquinas. É isso que torna esses sistemas uma preocupação de segurança: quem alcança a tela alcança o equipamento por trás dela.

1.3 Consequência para os pacientes

Falhas de TI de escritório atrasam o trabalho. Falhas de sistemas prediais podem causar dano aos pacientes: um centro cirúrgico que perde a pressão positiva corre risco de infecção cirúrgica; um alarme de gás silenciado esconde uma queda real; um elevador parado atrasa uma transferência de emergência. O planejamento de segurança num hospital começa perguntando qual falha machucaria alguém, e com que rapidez.

Escreva a resposta para cada sistema numa frase que um clínico reconheceria, e anote por quanto tempo o hospital consegue se virar antes que o dano se torne provável. Um centro cirúrgico pode aguentar minutos antes de uma lista de cirurgias ser cancelada; uma enfermaria pode lidar com uma falha de porta por horas, usando chaves. Essas escalas de tempo decidem depois quais riscos vêm primeiro no planejamento e num incidente.

1.4 Quem é o dono deles

Os sistemas prediais muitas vezes pertencem às equipes de engenharia de manutenção ou de instalações, são mantidos por empreiteiros e ficam invisíveis para a equipe de segurança de TI do hospital. Fechar essa lacuna — combinar quem é responsável pela segurança de cada sistema — costuma ser a primeira vitória prática.

No Millbrook, a primeira reunião de Aisha é com o gerente de manutenção predial, e não com a equipe de TI, porque a manutenção opera o BMS e detém as relações com os empreiteiros. O resultado que ela quer é uma lista curta, com um responsável nomeado por sistema, aceita pelos dois lados. Sem ela, toda constatação posterior corre o risco de ser passada de uma equipe para outra sem que ninguém aja.

Exemplo resolvido (Millbrook sintético)

Aisha Bello, recém-contratada como analista de segurança júnior no Millbrook Hospital, reúne-se com o gerente de manutenção predial e lista os sistemas num quadro branco, com uma consequência para cada. "AHU-OT1: o centro cirúrgico 1 perde pressão — cirurgia adiada ou risco de infecção." "MGAS-PANEL: alarme de pressão de oxigênio silencioso — a equipe da enfermaria não fica sabendo da falha no suprimento."

Caso sintético — Millbrook Hospital Building Systems. O hospital, Aisha Bello e todos os números deste livro foram inventados para o ensino.

Erros e limites

As consequências precisam ser confirmadas com as equipes clínicas e de manutenção; o palpite de um analista é apenas um ponto de partida.

Exercícios

Síntese

Os sistemas prediais hospitalares movem ar, gases, pessoas e portas; a falha deles pode ferir pacientes, então a sua segurança precisa de um dono.

Respostas comentadas

EX001. As unidades de tratamento de ar controlam a temperatura, a umidade e a pressão dos centros cirúrgicos; os chillers fornecem água gelada; os painéis de alarme de gases medicinais avisam de falhas na pressão dos gases; os controladores dos elevadores movem as cabines entre andares; o controle de acesso tranca e destranca as portas restritas.

EX002. Quando o controlador da unidade de tratamento de ar entra na rede, qualquer pessoa que o alcance pode alterar velocidades dos ventiladores ou valores de referência a partir de uma tela longe da casa de máquinas. Um centro cirúrgico poderia perder o controle de pressão ou de temperatura sem que ninguém tocasse na unidade.

EX003. A pressão positiva mantém o ar não filtrado do corredor fora do campo estéril; perdê-la aumenta o risco de infecção do sítio cirúrgico e pode obrigar a adiar a cirurgia.

EX004. A equipe da enfermaria não saberia que a pressão do oxigênio caiu, então pacientes que dependem do oxigênio canalizado poderiam sofrer dano antes que alguém percebesse e passasse para os cilindros.

EX005. Os sistemas prediais muitas vezes ficam entre a manutenção, os empreiteiros e a TI, então ninguém corrige, monitora ou revisa os acessos; nomear um responsável torna possível cada controle posterior.