Capítulo 8 — Acesso remoto de fornecedores
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX029.
flowchart TD
N0["8.1 Por que os fornecedores se conectam"]
N1["8.2 O que o alerta constatou"]
N2["8.3 Um padrão mais seguro"]
N3["8.4 Encerrar a sessão"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX029"]
Desenho lógico
flowchart LR
N0["8.1 Por que os fornecedores se conectam"]
N1["8.2 O que o alerta constatou"]
N2["8.3 Um padrão mais seguro"]
N3["8.4 Encerrar a sessão"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX029"]
[8.1 Por que os fornecedores se conectam]
|
v
[8.2 O que o alerta constatou]
|
v
[8.3 Um padrão mais seguro]
|
v
[8.4 Encerrar a sessão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX029]
Objetivos de aprendizagem
Você vai (1) descrever como os fornecedores chegam remotamente aos sistemas da planta; (2) explicar as lições do alerta de 2021 sobre a estação de água de Oldsmar; e (3) conduzir uma sessão remota seguindo uma lista de verificação simples.
8.1 Por que os fornecedores se conectam
Os fabricantes de máquinas dão suporte remoto aos seus equipamentos para diagnosticar falhas sem viajar. Isso é útil, mas um enlace permanente, sempre ativo, para dentro da linha também é uma porta de entrada permanente para quem roubar as credenciais.
Na HPFL, o fabricante da embaladora precisa ocasionalmente ler os registros de falhas. Essa necessidade é real, e recusar todo acesso remoto significaria esperar dias por uma visita. A resposta é permitir o acesso apenas por uma rota controlada, para um trabalho específico, sob a vigilância da instalação.
8.2 O que o alerta constatou
O alerta AA21-042A da CISA descreve o comprometimento de uma estação de tratamento de água nos EUA, em 2021, em que um software de acesso remoto foi usado para chegar a um sistema de controle. Suas recomendações incluem usar autenticação multifator, senhas fortes para a área de trabalho remota, fechar as portas de área de trabalho remota não usadas e auditar as conexões remotas. Esses pontos se aplicam diretamente a uma linha de embalagem.
Na HPFL, isso significa verificar que nenhum software de área de trabalho remota roda diretamente na HMI-1 ou no ENG-LT, que as contas dos fornecedores usam autenticação multifator e que as sessões remotas são registradas e revisadas. A reunião de lições aprendidas do Capítulo 16 encontrou depois uma porta de área de trabalho remota aberta na HMI-1 por um empreiteiro, exatamente o tipo de rota contra a qual o alerta adverte.
8.3 Um padrão mais seguro
O acesso remoto passa por um único gateway controlado pela instalação, na DMZ, nunca por software instalado diretamente nas IHMs. Cada fornecedor tem uma conta nominal com autenticação multifator. A conexão fica desabilitada por padrão e é habilitada para uma janela de sessão com chamado. Alguém da instalação acompanha a sessão e pode encerrá-la. As sessões são registradas e revisadas.
Escreva o padrão num procedimento curto que os fornecedores recebem antes da primeira sessão. O supervisor abre um chamado com uma janela de tempo; o técnico habilita a conta e acompanha. Se um fornecedor pedir acesso permanente, o pedido vai para o supervisor e normalmente é recusado.
8.4 Encerrar a sessão
Quando o trabalho termina, a conta é desabilitada de novo, a mudança é registrada e o operador confirma que a linha se comporta normalmente. Uma sessão deixada habilitada "para a próxima vez" é a falha mais comum.
Na HPFL, Tomás desabilitou a conta do fornecedor às 14:38, antes do fim da janela, e registrou no chamado os horários de início e de fim. Verifique as contas dos fornecedores toda semana para confirmar que nenhuma ficou habilitada. Uma conta encontrada habilitada fora de um chamado é relatada como constatação. Confirme também que a mudança do fornecedor aparece no registro de ativos.
Exemplo resolvido (HPFL sintética)
O fabricante da embaladora precisa ler um registro de falhas. O supervisor abre o chamado 4471 para 14:00–14:45. Tomás habilita a conta do fornecedor no gateway, acompanha o compartilhamento de tela, vê que o engenheiro apenas abre o visualizador de falhas e desabilita a conta às 14:38.
Caso sintético — HPFL. O chamado, o fornecedor e os horários são inventados.
Erros e limites
Algumas máquinas chegam com modems celulares embutidos para o suporte do fornecedor; eles contornam totalmente o gateway e precisam ser encontrados e controlados. Acompanhar uma sessão não pega tudo; o registro e a revisão acrescentam uma segunda verificação.
Exercícios
- EX029 — Recomendações do alerta. Nomeie três recomendações do AA21-042A. Rubrica: 3 = três entre MFA, senhas fortes de RDP, fechar portas de RDP não usadas, auditar as conexões remotas; 2 = duas; 1 = uma; 0 = nenhum.
- EX030 — Enlace sempre ativo. Explique por que "o enlace do fornecedor fica sempre ativo, então o suporte é mais rápido" é um risco. Rubrica: 3 = entrada permanente para credenciais roubadas, uso sem acompanhamento; 2 = risco vago; 1 = concorda; 0 = nenhum.
- EX031 — Registro da sessão. O que Tomás deve escrever no chamado 4471 depois da sessão? Rubrica: 3 = nome/conta do fornecedor, início/fim, o que foi feito, conta desabilitada, linha normal; 2 = parte; 1 = "feito"; 0 = nenhum.
- EX032 — O modem escondido. Durante uma vistoria, Tomás encontra um modem celular no armário da enchedora. Por que isso é importante? Rubrica: 3 = contorna o gateway/MFA/registro, caminho não gerenciado; relatar ao responsável; 2 = um; 1 = removê-lo ele mesmo; 0 = nenhum.
Síntese
O acesso de fornecedores passa por um único gateway, com contas nominais e multifator, habilitado apenas em janelas acompanhadas e registradas.
Continue estudando — capítulo 08 de 18
← Capítulo 07 · Índice de capítulos do curso · Capítulo 09 →
Siga para a próxima lição escrita.