Capítulo 3 — Infraestrutura crítica e segurança setorial: sistemas, dados e dependências

Capítulo 3 — Infraestrutura crítica e segurança setorial: sistemas, dados e dependências

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX027.

flowchart TD
  N0["3.1 As cinco partes de um serviço"]
  N1["3.2 Um olhar tranquilo sobre a tecnologia operaciona"]
  N2["3.3 Os dados e o que pode dar errado"]
  N3["3.4 Dependências"]
  N4["3.5 Fornecedores e acesso remoto"]
  N5["Visual 3 — dependências da clínica sintético"]
  N6["3.7 Atividade prática"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX027"]

Desenho lógico

flowchart LR
  N0["3.1 As cinco partes de um serviço"]
  N1["3.2 Um olhar tranquilo sobre a tecnologia operaciona"]
  N2["3.3 Os dados e o que pode dar errado"]
  N3["3.4 Dependências"]
  N4["3.5 Fornecedores e acesso remoto"]
  N5["Visual 3 — dependências da clínica sintético"]
  N6["3.7 Atividade prática"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX027"]

[3.1 As cinco partes de um serviço]
    |
    v
[3.2 Um olhar tranquilo sobre a tecnologia operaciona]
    |
    v
[3.3 Os dados e o que pode dar errado]
    |
    v
[3.4 Dependências]
    |
    v
[3.5 Fornecedores e acesso remoto]
    |
    v
[Visual 3 — dependências da clínica sintético]
    |
    v
[3.7 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX027]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você será capaz de:

• descrever as cinco partes de um serviço essencial: pessoas, TI, tecnologia operacional, dados e fornecedores;
• explicar em palavras simples o que fazem os sensores, os controladores, as telas dos operadores e o SCADA, e como a TO difere da TI de escritório;
• nomear os principais tipos de dados de um setor e o dano que cada um poderia causar se fosse perdido, alterado ou vazado;
• distinguir dependências a montante, a jusante e compartilhadas;
• identificar um ponto único de falha e uma alternativa manual numa descrição simples.

O Capítulo 2 definiu os seus limites. Aqui você aprende a ver um serviço com clareza, de fora, o que prepara o laboratório guiado do Capítulo 4.

3.1 As cinco partes de um serviço

Os problemas de segurança podem começar em qualquer parte. Muitos começam pelas pessoas (um e-mail convincente) ou pelos fornecedores (uma conta de acesso remoto), e não por uma tecnologia engenhosa.

3.2 Um olhar tranquilo sobre a tecnologia operacional

Você não precisa configurar a TO para entendê-la. Uma imagem simplificada de uma estação de bombeamento de água:

• Sensores medem coisas: o nível de água num reservatório, a pressão num cano, a concentração de cloro.
• Atuadores fazem coisas: ligam uma bomba, abrem uma válvula, adicionam um produto químico.
• Um controlador — muitas vezes um CLP (controlador lógico programável), um pequeno computador robusto — lê os sensores e comanda os atuadores por regras simples ("se o reservatório estiver abaixo de 30%, ligue a bomba 2").
• Uma IHM (interface homem–máquina) é a tela do operador, que mostra níveis e alarmes e permite mudar as configurações.
• O SCADA (supervisão, controle e aquisição de dados) é o sistema mais amplo que reúne as leituras de muitos locais numa sala de controle.

O guia do NIST para a segurança da TO descreve esses componentes e por que a TO difere da TI (NIST SP 800-82 Rev. 3). Três diferenças importam para um iniciante:

É por isso que o Capítulo 2 proibiu "só dar uma conferida": os dispositivos de TO podem ser antigos e sensíveis, e o que eles controlam é real.

3.3 Os dados e o que pode dar errado

Observe a coluna do meio para os dados operacionais: uma leitura errada pode ser mais perigosa do que uma roubada, porque as pessoas tomam decisões com base nela.

3.4 Dependências

Nenhum serviço existe sozinho. Uma dependência é algo de que um serviço precisa para funcionar.

• Dependências a montante são aquilo de que o seu serviço precisa: energia, água, telefone, internet, pessoal, suprimentos.
• Dependentes a jusante são os que precisam do seu serviço: pacientes, residências, outros serviços.
• Dependências compartilhadas são usadas por muitos serviços ao mesmo tempo: uma rede de telefonia, um depósito de combustível, um fornecedor de software. A sua falha atinge muitos serviços juntos.

Um ponto único de falha é uma coisa cuja perda para o serviço porque não há alternativa. Um backup (um gerador, uma segunda linha de internet) ou uma alternativa manual (listas de consultas em papel, operadores lendo os medidores à mão) reduz o impacto. Mas um backup só é tão bom quanto as suas próprias dependências: um gerador a diesel precisa de entregas de combustível, que precisam de estradas e motoristas. O laboratório do Capítulo 4 torna isso visível.

3.5 Fornecedores e acesso remoto

Muitos serviços essenciais permitem que fornecedores se conectem remotamente para manter software e equipamentos. Isso é útil — e é uma porta. As orientações da CISA para os donos de TO incluem, entre as mitigações primárias, reduzir a exposição à internet, trocar as senhas padrão e proteger o acesso remoto (CISA, Primary Mitigations to Reduce Cyber Threats to Operational Technology). Os Cross-Sector Cybersecurity Performance Goals da CISA também estabelecem práticas de base, como autenticação multifator e inventário de ativos, que se aplicam a todos os setores (CISA CPGs). Como iniciante, você não vai gerenciar essas contas, mas deve reconhecer o risco quando ouvir "o fornecedor entra quando quer, com uma senha compartilhada".

O ataque de ransomware de 2021 a uma empresa de oleodutos dos EUA, descrito pela CISA e pelo FBI no seu alerta, também é uma lição de dependência: um ataque aos sistemas de TI de negócio afetou a operação de um abastecimento de combustível do qual muitos outros dependiam a jusante (CISA AA21-131A).

3.6 Exemplo resolvido: de que a clínica depende? (sintético)

H. Novak pede a Sam que liste, para uma reunião da equipe, o que a clínica precisa para abrir as portas. Sam percorre uma manhã normal e escreve:

Sam marca três perguntas, e não conclusões: a LinkNet é um ponto único de falha? Existe uma alternativa em papel para a MedBook? Quem mais conhece o alarme da geladeira? Elas vão para H. Novak — a dona —, que decide o que mudar, se for o caso.

Visual 3 — dependências da clínica (sintético)

flowchart LR
    P[Energia da rede] --> C[Clínica]
    G[Gerador a diesel] -. reserva apenas de energia .-> C
    F[Entrega de combustível] --> G
    N[Telefonia e internet LinkNet] --> C
    W[Água potável] --> C
    M[Agenda MedBook] --> C
    S[Equipe da clínica] --> C
    C --> T[Pacientes e farmácia]

Alternativa textual: energia, LinkNet, água, MedBook e equipe alimentam a clínica, que atende pacientes e a farmácia. O gerador é reserva somente de energia e precisa de combustível. As reservas das demais dependências ainda são perguntas; o desenho não demonstra que uma clínica real falharia da mesma maneira.

3.7 Atividade prática

Escolha um serviço essencial público perto de você (ou a estação da Larkfield Water descrita acima). Usando apenas informações públicas e bom senso, desenhe um esboço simples de dependências: o serviço no meio, as dependências a montante à esquerda, os dependentes a jusante à direita. Circule tudo o que for compartilhado, marque com uma estrela qualquer possível ponto único de falha e escreva uma pergunta que você faria ao dono. Não contate nem sonde o serviço.

Compare o seu esboço com a tabela de dependências da clínica feita por Sam: você se lembrou das pessoas e dos fornecedores, além da energia e da água? Se escolheu a Larkfield Water, o seu esboço deve mostrar a clínica e as residências do lado a jusante e deve tratar a LinkNet como compartilhada. Escreva a sua pergunta ao dono de modo que possa ser respondida com sim ou não.

3.8 Erros comuns e limites

• Pensar só nos computadores e esquecer as pessoas, os fornecedores e os prédios.
• Tratar a TO como a TI de escritório ("é só reiniciar").
• Listar as dependências a montante, mas esquecer as pessoas a jusante que são prejudicadas.
• Pressupor que um backup funciona sem perguntar do que ele depende.
• Afirmar palpites como fatos; neste capítulo, uma lista de dependências é um conjunto de perguntas para o dono.
• Esquecer que uma pessoa pode ser um ponto único de falha, como a única enfermeira que conhece o alarme da geladeira da clínica.
• Contatar você mesmo um fornecedor ou uma empresa de serviços para verificar uma dependência, em vez de passar a pergunta ao dono.
• Limites: as arquiteturas reais de TO são muito mais variadas do que a imagem simples da seção 3.2.

Exercícios — capítulo 3

EX027 — Cinco partes. Objetivo: classificar as partes de um serviço. Insumos: (a) o controlador da geladeira de vacinas da clínica; (b) a MedBook; (c) a enfermeira que conhece o alarme da geladeira; (d) as receitas; (e) a LinkNet. Passos: atribuir cada um a pessoas, TI, TO, dados ou fornecedores. Evidência esperada: cinco atribuições. Rubrica: 3 = a TO, b TI (e fornecedor), c pessoas, d dados, e fornecedor; 2 = quatro; 1 = duas ou três; 0 = menos.

EX028 — Componentes de TO. Objetivo: explicar os termos de TO em palavras simples. Insumos: sensor, atuador, CLP, IHM, SCADA. Passos: dar uma definição simples de uma linha e um exemplo numa estação de água para cada um. Evidência esperada: cinco linhas. Rubrica: 3 = todos corretos, com exemplos; 2 = quatro; 1 = dois ou três; 0 = menos.

EX029 — TI versus TO. Objetivo: comparar. Insumos: seção 3.2. Passos: dar duas diferenças e dizer por que cada uma importa para a segurança. Evidência esperada: dois pares. Rubrica: 3 = duas diferenças corretas (continuidade, consequência física, vida útil) com implicações de segurança (mudanças exigem planejamento, o dano pode ser físico, dispositivos antigos podem não ter proteções); 2 = diferenças sem implicações; 1 = uma; 0 = nada.

EX030 — Leitura errada. Objetivo: ver o risco de integridade na TO. Insumos: a IHM de uma estação de água mostra o reservatório 80% cheio, mas na verdade ele está com 10%. Passos: descrever o que o operador poderia fazer e a consequência possível. Evidência esperada: duas ou três frases. Rubrica: 3 = o operador não liga as bombas, o reservatório seca, perde-se pressão ou abastecimento para os clientes, incluindo a clínica; observa que uma verificação manual o revelaria; 2 = consequência sem a ação do operador; 1 = vago; 0 = nada.

EX031 — Danos aos dados. Objetivo: aplicar a visão CID aos dados. Insumos: "registros de receitas". Passos: descrever um dano para cada caso: vazado, alterado e indisponível. Evidência esperada: três danos. Rubrica: 3 = dano à privacidade/obrigação legal; medicamento ou dose errados; pacientes não conseguem receber medicamentos; 2 = dois; 1 = um; 0 = nada.

EX032 — A montante, a jusante, compartilhada. Objetivo: classificar dependências. Insumos: para a Larkfield Water: (a) Larkfield Power; (b) residências; (c) o fornecedor de produtos químicos; (d) a clínica; (e) a LinkNet, também usada pela clínica e pelo banco. Passos: classificar cada um. Evidência esperada: cinco respostas. Rubrica: 3 = a a montante (compartilhada), b a jusante, c a montante, d a jusante, e a montante e compartilhada; 2 = quatro; 1 = duas ou três; 0 = menos.

EX033 — Ponto único de falha. Objetivo: identificá-lo. Insumos: a tabela da seção 3.6. Passos: nomear o item com maior probabilidade de ser um ponto único de falha e explicar. Evidência esperada: resposta e razão. Rubrica: 3 = LinkNet: nenhum backup conhecido, e derruba a MedBook, os telefones e os pagamentos de uma vez; anotado como pergunta a confirmar; 2 = item correto sem cautela; 1 = escolhe um item com backup; 0 = nada.

EX034 — O backup do backup. Objetivo: rastrear as dependências de um backup. Insumos: o gerador da clínica, com duas horas de combustível. Passos: listar do que o gerador depende para uma interrupção de 24 horas. Evidência esperada: lista. Rubrica: 3 = entrega de combustível, que precisa de estradas, de um fornecedor e de motoristas, além de alguém que saiba operar e testar o gerador; 2 = só o combustível; 1 = "nada"; 0 = nada.

EX035 — Alternativa manual. Objetivo: reconhecer alternativas. Insumos: a dependência da MedBook. Passos: propor uma alternativa manual e uma condição para que ela funcione. Evidência esperada: alternativa e condição. Rubrica: 3 = uma lista diária impressa de consultas (ou um formulário de agendamento em papel) que esteja atualizada, guardada em segurança e que a equipe saiba usar; 2 = alternativa sem condição; 1 = "consertar a MedBook"; 0 = nada.

EX036 — A porta do fornecedor. Objetivo: reconhecer o risco do acesso remoto. Insumos: D. Brandt diz "o fornecedor das bombas entra de casa quando quer; todo mundo usa a mesma senha". Passos: escrever uma frase de risco e nomear duas práticas de base das orientações citadas da CISA relacionadas a ela. Evidência esperada: frase e duas práticas. Rubrica: 3 = frase de causa-evento-consequência sobre o controle não autorizado das bombas; práticas como proteger o acesso remoto, MFA, trocar senhas padrão/compartilhadas, limitar a exposição à internet; 2 = frase e uma prática; 1 = só a prática; 0 = nada.

EX037 — Lição do oleoduto. Objetivo: tirar uma lição sobre dependência. Insumos: CISA AA21-131A. Passos: explicar em duas frases por que um ataque aos sistemas de negócio de uma empresa importou para muitas outras. Evidência esperada: duas frases. Rubrica: 3 = o abastecimento de combustível pelo oleoduto é uma dependência a montante compartilhada por muitos usuários a jusante, então a perturbação se espalhou para além da vítima; 2 = menciona só a perturbação; 1 = só detalhe técnico; 0 = nada.

EX038 — Perguntas, não conclusões. Objetivo: comunicar a incerteza. Insumos: as três perguntas de Sam na seção 3.6. Passos: reescrever uma delas como uma mensagem curta a H. Novak, marcando o que se sabe e o que se pressupõe. Evidência esperada: mensagem. Rubrica: 3 = educada, factual, separa o sabido (nenhuma linha de backup listada) do pressuposto (que nenhuma existe), pede à dona que decida; 2 = boa mensagem sem a separação sabido/pressuposto; 1 = afirma um palpite como fato; 0 = nada.

Síntese do capítulo

Um serviço essencial é feito de pessoas, TI, tecnologia operacional, dados e fornecedores trabalhando juntos. A TO mede e controla o mundo físico, precisa funcionar continuamente e pode causar dano físico quando falha; é por isso que uma leitura errada pode ser pior do que uma roubada. Os serviços dependem de coisas a montante, atendem pessoas a jusante e compartilham dependências entre si; os pontos únicos de falha e os backups que têm as suas próprias dependências são onde os problemas se escondem. A lista de dependências de um iniciante é um conjunto de boas perguntas para o dono.

Continue estudando — capítulo 03 de 04

← Capítulo 02 · Índice de capítulos do curso · Capítulo 04 →

Siga para a próxima lição escrita.