Capítulo 12 — Projeto final: um relatório de risco dos sistemas prediais
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX056.
flowchart TD
N0["12.1 Estrutura"]
N1["12.2 Classificação"]
N2["12.3 Recomendações"]
N3["12.4 Apresentar"]
N4["12.5 Apêndice de evidências"]
N5["12.6 Depois da reunião"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX056"]
Desenho lógico
flowchart LR
N0["12.1 Estrutura"]
N1["12.2 Classificação"]
N2["12.3 Recomendações"]
N3["12.4 Apresentar"]
N4["12.5 Apêndice de evidências"]
N5["12.6 Depois da reunião"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX056"]
[12.1 Estrutura]
|
v
[12.2 Classificação]
|
v
[12.3 Recomendações]
|
v
[12.4 Apresentar]
|
v
[12.5 Apêndice de evidências]
|
v
[12.6 Depois da reunião]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX056]
Objetivos de aprendizagem
Você vai (1) reunir as constatações de inventário, exposição, acesso, segmentação e monitoramento num relatório de risco; (2) priorizar pela consequência clínica e pela probabilidade; e (3) apresentá-lo aos gestores do hospital.
12.1 Estrutura
Escopo e método; sistemas no escopo, com os responsáveis; constatações, cada uma com evidência; classificação de risco; ações recomendadas, com responsáveis e datas; risco residual que o hospital aceita. Mantenha-o em poucas páginas, com um apêndice para as evidências.
Escreva primeiro o escopo, nomeando quais sistemas foram revisados e quais não foram, para que os leitores saibam o que o relatório cobre. Cada constatação deve apontar para a sua evidência no apêndice, e cada ação para um responsável. A parte do risco residual deve dizer quem o aceitou, conforme decidido pelos gestores do hospital.
12.2 Classificação
Classifique a consequência (dano ao paciente, perda de serviço) e a probabilidade (exposição, facilidade, atividade conhecida) em escalas simples de três níveis, combinadas com a manutenção e os líderes clínicos. Uma probabilidade média com consequência grave para o paciente normalmente fica acima de uma probabilidade alta com consequência menor.
Combine as escalas antes de classificar qualquer constatação e escreva uma frase explicando cada nível, para que leitores diferentes as apliquem da mesma forma. No Millbrook, o controlador dos elevadores teve consequência alta e probabilidade média, o que o colocou no topo da lista. As classificações devem ser revistas quando as evidências mudarem.
12.3 Recomendações
Cada uma nomeia uma mudança específica, um responsável, uma data e como a conclusão será demonstrada. Inclua ganhos rápidos (fechar exposições, remover ferramentas remotas antigas) e projetos mais longos (substituir equipamentos sem suporte).
No Millbrook, as recomendações incluíram a substituição do LIFT-CTRL e uma verificação semanal das contas do gateway. Cada uma foi escrita com um responsável, uma data e a evidência que mostraria a conclusão, como um pedido de compra ou um relatório semanal de contas. Recomendações vagas e sem responsáveis raramente levam a mudanças. Separe na lista os ganhos rápidos dos projetos.
12.4 Apresentar
Comece pelos três principais riscos em termos de pacientes; mostre o que já melhorou; peça decisões, não admiração.
Mantenha a apresentação curta, com um slide por risco principal e um slide de melhorias. Leve o apêndice de evidências caso os gestores perguntem, mas não o apresente. Termine com as decisões específicas necessárias, como o financiamento para substituir o LIFT-CTRL, e confirme quem vai agir em cada decisão. Envie os slides depois, com o resumo, para que os gestores ausentes vejam as mesmas decisões e responsáveis.
12.5 Apêndice de evidências
Para cada constatação, guarde a fotografia, o trecho de registro ou o excerto de configuração que a sustenta, com a data e quem o coletou. Os gestores raramente leem o apêndice, mas os auditores e o próximo analista vão ler, e ele permite a qualquer pessoa verificar que a constatação era real.
Guarde o apêndice com controles de acesso, porque ele contém detalhes sobre dispositivos, endereços e fraquezas. Ligue cada item ao número da sua constatação e registre onde a evidência original está guardada. Uma constatação sem item de apoio deve ser marcada como não confirmada até que a evidência seja coletada.
12.6 Depois da reunião
Registre as decisões tomadas, os responsáveis e as datas no registro de acompanhamento, envie um resumo de uma página aos participantes e agende a revisão de seis meses. O progresso das ações vira o slide de abertura da próxima vez, o que mantém a atenção na mudança, e não em novas constatações.
Verifique na revisão de seis meses se cada ação foi concluída e atualize as classificações onde as evidências mudaram. As ações que atrasaram precisam de uma nova data e de um motivo. Mantenha o resumo curto, para que os participantes o leiam, e arquive-o com o relatório.
Exemplo resolvido (Millbrook sintético)
O relatório de Aisha lista: (1) LIFT-CTRL sem suporte e com conexão celular — consequência alta (transferências de pacientes), probabilidade média; (2) contas residuais de empreiteiros não desabilitadas depois das sessões — consequência alta, probabilidade média; (3) registros de tendências guardados por apenas 14 dias — consequência média, probabilidade alta. Já corrigidos: exposição do BACnet à internet, BMS-WS em dupla conexão, senha padrão do DOOR-SRV. Os gestores aprovam o financiamento para substituir o LIFT-CTRL no próximo ano e uma verificação semanal das contas do gateway.
Caso sintético — Millbrook. O relatório e as classificações são inventados.
Erros e limites
Um relatório reflete as evidências disponíveis na sua data; agende uma revisão. Ele não é uma avaliação formal segundo a IEC 62443.
Exercícios
- EX056 — Seções do relatório. Liste as seis seções do relatório de risco. Rubrica: 3 = escopo/método, sistemas/responsáveis, constatações/evidências, classificação, ações, risco residual; 2 = quatro; 1 = duas; 0 = nenhum.
- EX057 — Ordenar dois riscos. Ordene "retenção de tendências do BMS de 14 dias" e "elevador sem suporte com conexão celular" e justifique. Rubrica: 3 = elevador primeiro; a consequência para a transferência de pacientes supera a da perda de evidências; 2 = ordem certa; 1 = invertida; 0 = nenhum.
- EX058 — Escrever uma recomendação. Escreva uma recomendação completa para as contas residuais de empreiteiros. Rubrica: 3 = mudança específica, responsável, data, evidência de conclusão; 2 = três; 1 = vaga; 0 = nenhum.
- EX059 — Abrir a apresentação. Escreva a frase de abertura da apresentação de Aisha aos gestores. Rubrica: 3 = risco principal em termos de pacientes, com o pedido; 2 = clara, mas técnica; 1 = jargão; 0 = nenhum.
- EX060 — Risco residual. Dê um risco residual que o Millbrook precisa aceitar até o próximo ano e explique por que ele é aceitável. Rubrica: 3 = LIFT-CTRL até a substituição, com os controles compensatórios nomeados; 2 = só o risco; 1 = nenhum aceito; 0 = nenhum.
Síntese
Um relatório curto, com evidências, ordenado pela consequência e com ações com dono transforma constatações em mudanças financiadas.
Continue estudando — capítulo 12 de 12
← Capítulo 11 · Índice de capítulos do curso · Resoluções →
Siga para a próxima lição escrita.
Resoluções
Respostas-modelo para EX001–EX060. O Millbrook Hospital Building Systems, Aisha Bello e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. As unidades de tratamento de ar controlam a temperatura, a umidade e a pressão dos centros cirúrgicos; os chillers fornecem água gelada; os painéis de alarme de gases medicinais avisam de falhas na pressão dos gases; os controladores dos elevadores movem as cabines entre andares; o controle de acesso tranca e destranca as portas restritas.
EX002. Quando o controlador da unidade de tratamento de ar entra na rede, qualquer pessoa que o alcance pode alterar velocidades dos ventiladores ou valores de referência a partir de uma tela longe da casa de máquinas. Um centro cirúrgico poderia perder o controle de pressão ou de temperatura sem que ninguém tocasse na unidade.
EX003. A pressão positiva mantém o ar não filtrado do corredor fora do campo estéril; perdê-la aumenta o risco de infecção do sítio cirúrgico e pode obrigar a adiar a cirurgia.
EX004. A equipe da enfermaria não saberia que a pressão do oxigênio caiu, então pacientes que dependem do oxigênio canalizado poderiam sofrer dano antes que alguém percebesse e passasse para os cilindros.
EX005. Os sistemas prediais muitas vezes ficam entre a manutenção, os empreiteiros e a TI, então ninguém corrige, monitora ou revisa os acessos; nomear um responsável torna possível cada controle posterior.
EX006. Reiniciar o controlador da AHU-OT1 para carregar uma correção durante uma lista de cirurgias pararia o suprimento de ar e o controle de pressão com um paciente aberto na mesa.
EX007. O oxigênio em cilindros substitui o suprimento canalizado de gases medicinais; as chaves manuais substituem o controle de acesso eletrônico; a refrigeração portátil substitui a climatização e os chillers.
EX008. A pessoa autorizada para gases medicinais, trabalhando dentro do sistema de permissões da manutenção, controla qualquer trabalho nos sistemas de gases medicinais, incluindo o painel de alarme.
EX009. Alcançar alguns controladores significa abrir painéis do forro ou da parede dentro ou perto de uma área limpa, o que pode soltar poeira e contaminar o centro cirúrgico, a menos que o controle de infecção combine o momento e as precauções.
EX010. Se os cilindros, as chaves manuais e a refrigeração portátil conseguem manter as enfermarias seguras, Aisha pode mostrar que desconectar a rede do BMS deixa os pacientes atendidos, o que torna a decisão aceitável para os gestores clínicos.
EX011. Na camada de campo, sensores e atuadores são ligados por fios aos controladores locais; na camada de supervisão, esses controladores se comunicam entre si e com o servidor e a estação de trabalho do BMS pela rede predial.
EX012. Normalmente consegue ler todos os pontos e muitas vezes escrever valores de referência ou comandos, porque as instalações clássicas de BACnet/IP não autenticam o remetente.
EX013. A BMS-WS liga a VLAN corporativa diretamente à VLAN 300 sem passar por um firewall, então um malware ou um atacante na estação de trabalho ganha alcance a todos os controladores prediais.
EX014. A BMS-WS em dupla conexão, a conexão de acesso remoto do empreiteiro e a conexão celular do fabricante dos elevadores.
EX015. Alguns controladores antigos falham quando sofrem varreduras, o que poderia parar a ventilação em áreas clínicas; e os desenhos, somados à configuração dos switches, dão o mesmo quadro sem tocar nos equipamentos em operação.
EX016. Sistema, nome do dispositivo, localização, responsável, versão do firmware, situação de suporte do fornecedor, endereço de rede e consequência clínica da falha.
EX017. Ele imprime UNSUPPORTED BOILER-2 system=HVAC installed=2010, e a linha de HVAC passa a ser HVAC 4 device(s): AHU-OT1, AHU-OT2, CHILLER-1, BOILER-2.
EX018. O fornecedor do chiller não vai publicar correções para as fraquezas descobertas daqui em diante, então o risco dele cresce com o tempo; precisamos protegê-lo de outras formas e planejar a sua substituição.
EX019. Colocar o LIFT-CTRL no seu próprio segmento de rede, alcançável apenas pelo seu gateway de manutenção; restringir ou remover a conexão celular, a menos que usada sob chamado; monitorar as suas conexões; programar a substituição no plano de bens de capital.
EX020. A pessoa autorizada para gases medicinais, porque o sistema de alarme de gases medicinais é dela.
EX021. Se essa única senha vazar, ou se um engenheiro que a conhecia sair em maus termos, todos os hospitais atendidos pelo integrador ficam abertos de uma vez.
EX022. O registro de auditoria ou de tendências do BMS registra qual conta nominal fez a mudança, então o hospital pode perguntar a essa pessoa o motivo e separar depressa um erro de um mau uso.
EX023. "Cada dispositivo sai de fábrica com uma senha única ou obriga a definir uma na configuração inicial?" "Vocês publicam uma política e um contato para divulgação de vulnerabilidades?" "Por quantos anos vocês fornecerão atualizações de segurança, e a comunicação é criptografada?"
EX024. Trocar todas as senhas que esse engenheiro conhecia, com os novos valores guardados no cofre; revisar quais contas e acessos remotos ele tinha e desabilitá-los; registrar a mudança.
EX025. IEC 62443-4-2, porque ela define requisitos de segurança para componentes de sistemas de automação e controle industrial, que é o que os controladores do BMS são.
EX026. Um empreiteiro redireciona uma porta para que a página web do BMS funcione de casa; uma regra de firewall de projeto continua ativa depois do fim do comissionamento.
EX027. 203.0.113.10:22 ... NOT APPROVED - report para o novo item, e o total passa a ser unapproved: 3, já que apenas a porta 443 desse endereço está aprovada.
EX028. T0883 Internet Accessible Device.
EX029. Relatar à equipe de redes e à manutenção; fazer o responsável fechá-la por meio de uma mudança emergencial; revisar os registros em busca de conexões externas; descobrir quem a abriu e por quê; dar a essa parte acesso pelo gateway em troca.
EX030. Ela não tem autorização para sistemas que não pertencem ao Millbrook; sondá-los poderia violar a lei e perturbar os equipamentos de outro hospital.
EX031. O gateway de acesso remoto do hospital; uma ferramenta de área de trabalho remota na BMS-WS; a conexão celular do elevador; o roteador do fornecedor do chiller.
EX032. Dar aos engenheiros do empreiteiro do BMS contas individuais no gateway com autenticação multifator e revisar os registros de sessão do gateway depois de cada visita de suporte.
EX033. Cada empreiteiro precisa apenas do seu próprio sistema; limitar a conta significa que uma senha roubada do empreiteiro do chiller não consegue abrir as portas da farmácia ou da maternidade.
EX034. Se a ferramenta antiga for removida primeiro e a conta do gateway falhar, o empreiteiro não poderia ajudar durante uma falha dos equipamentos; testar antes a substituta mantém o suporte contínuo.
EX035. Não — o monitoramento do alarme de incêndio é uma função de segurança da vida; documentar a conexão, confirmar com o responsável pela segurança contra incêndio que ela só alcança a central de monitoramento e revisá-la, em vez de desconectá-la.
EX036. Uma zona do BMS; uma zona do alarme de gases medicinais e uma zona dos elevadores (relevantes para a segurança física); uma zona de controle de acesso; uma DMZ; a zona corporativa.
EX037. "Servidor do BMS → servidor de dados da DMZ na porta de exportação combinada, permitir", com o "qualquer → qualquer negar" final pegando tudo o que não está listado.
EX038. Eles abrem um painel somente leitura no servidor de dados da DMZ ou, para mudanças, conectam-se pelo gateway a um host de salto dentro da zona do BMS.
EX039. Confirmar com a manutenção se os pontos perdidos afetam áreas clínicas, restaurar a configuração anterior se afetarem, identificar o conduto ausente (aqui, um servidor de horário) e acrescentá-lo sob o mesmo registro de mudança.
EX040. Ela não impede que alguém usando credenciais válidas do gateway, ou uma pessoa interna, cause dano dentro dos condutos permitidos.
EX041. O script só sinaliza uma mudança cujo horário cai fora das 08:00–10:00, e 09:00 está dentro dessa janela.
EX042. 03:00 setpoint 20.0->26.0 in window e 09:00 setpoint 26.0->21.0 OUTSIDE WINDOW - review.
EX043. O registro de auditoria do BMS, o registro do gateway de acesso remoto e o registro do firewall da zona do BMS.
EX044. O centro cirúrgico estaria fora da sua faixa de temperatura quando a lista da manhã começasse, então a cirurgia poderia ser adiada até as condições se recuperarem, e o conforto da equipe e as condições de esterilidade ficariam comprometidos.
EX045. Exigir que toda mudança fora da janela seja escrita no livro do turno com o motivo e configurar um alarme do BMS para o engenheiro de plantão quando um valor de referência crítico mudar fora da janela.
EX046. Temos o produto? Estamos rodando uma versão afetada? A fraqueza pode ser alcançada da forma que o alerta descreve?
EX047. Registrar que se aplica e não pode ser corrigido, manter o LIFT-CTRL isolado apenas com a sua rota de manutenção, monitorar as suas conexões e aumentar a prioridade da sua substituição no plano de bens de capital.
EX048. Durante a interrupção de 30 minutos, as agendas eletrônicas das portas podem não funcionar, então os gerentes das enfermarias precisam de chaves para manter as portas da farmácia e da maternidade ao mesmo tempo seguras e utilizáveis.
EX049. "Alerta: contorno de autenticação na web do DOOR-SRV, v4.1 (a nossa). Decisão: mitigar e depois corrigir. Mitigação: interface limitada à estação de trabalho da sala de segurança. Correção 4.2 no domingo às 06:00, com chaves manuais. Responsável: líder de sistemas de segurança da manutenção. Revisar depois da correção."
EX050. Pedir ao dono da rede que mostre a regra e, num teste combinado, confirmar que a página web abre a partir da estação de trabalho da sala de segurança e falha a partir de outro host da zona de controle de acesso.
EX051. "Alguma área clínica está insegura agora?" — respondida pelo gestor clínico de plantão junto com a manutenção, antes de qualquer ação técnica.
EX052. Os controladores de campo guardam os seus próprios programas e agendas e continuam operando as unidades de tratamento de ar sem o servidor ou a estação de trabalho do BMS; o firewall só impediu os comandos vindos de fora da zona.
EX053. Rondas da manutenção de hora em hora lendo os mostradores locais nas casas de máquinas, e as equipes das enfermarias e dos centros cirúrgicos observando os alarmes locais, incluindo os painéis de gases medicinais.
EX054. Depois da reconstrução, a equipe de redes reabilita um conduto de cada vez, e a manutenção compara cada ponto crítico do BMS com as leituras locais antes de o próximo conduto ser restaurado.
EX055. Alguns controladores voltam a padrões como ventiladores em velocidade fixa ou dampers fechados quando perdem o servidor, o que poderia perturbar a pressão do centro cirúrgico, então a recomendação precisa levar esse comportamento em conta.
EX056. Escopo e método; sistemas no escopo e responsáveis; constatações com evidências; classificação de risco; ações recomendadas com responsáveis e datas; risco residual aceito.
EX057. O elevador vem primeiro: se for mal utilizado ou falhar, as transferências de pacientes entre andares atrasam, um dano clínico direto, enquanto a retenção curta das tendências enfraquece principalmente as investigações.
EX058. "As contas do gateway são desabilitadas automaticamente ao fim de cada sessão com chamado; responsável: líder da equipe de redes; até o fim do próximo mês; evidência: relatório semanal mostrando nenhuma conta de empreiteiro habilitada fora de chamados abertos."
EX059. "Os nossos elevadores levam pacientes entre os centros cirúrgicos e as enfermarias, e o controlador deles já não pode ser corrigido; pedimos que vocês financiem a sua substituição no próximo ano."
EX060. O LIFT-CTRL continua em serviço até a substituição; isso é aceitável porque ele está isolado na sua própria zona, a sua conexão celular está restrita à central de serviços do empreiteiro, sob chamados, e as suas conexões são monitoradas.