Capítulo 13 — Segurança de TO, IoT e sistemas ciberfísicos: cenários de risco
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["13.1 Estrutura do cenário"]
N1["13.2 Escalas"]
N2["13.3 Salvaguardas"]
N3["13.4 Ordenação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["13.1 Estrutura do cenário"]
N1["13.2 Escalas"]
N2["13.3 Salvaguardas"]
N3["13.4 Ordenação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX037"]
[13.1 Estrutura do cenário]
|
v
[13.2 Escalas]
|
v
[13.3 Salvaguardas]
|
v
[13.4 Ordenação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) escrever cenários de risco que ligam uma ameaça, um caminho e uma consequência física; (2) estimar probabilidade e consequência em escalas simples; (3) identificar as salvaguardas existentes; e (4) ordenar os cenários para ação.
13.1 Estrutura do cenário
Um cenário útil se lê assim: "[Ameaça] usa [caminho] para causar [ação], levando a [consequência], a menos que [salvaguarda] funcione." Para a NCS: "Um ransomware do escritório usa o fluxo escritório → controle para criptografar a HMI-C, deixando os operadores sem tela; o resfriamento continua pela lógica dos CLPs, mas os alarmes ficam invisíveis até a tela ser restaurada, a menos que os alertas dos registradores na nuvem cheguem ao telefone do gerente de plantão." Os três cenários de Priya para a NCS seguem essa forma: a ferramenta remota da empresa contratada usada indevidamente para mudar setpoints das câmaras de congelados, um ransomware do escritório alcançando a HMI-C e uma câmera exposta à internet usada como ponto de apoio.
13.2 Escalas
Uma escala de consequência de três pontos serve para um local pequeno: 1 = inconveniente, 2 = perda de estoque ou problema regulatório, 3 = dano a pessoas ou perda do negócio. A probabilidade, também de 1 a 3, é um julgamento baseado na exposição e na atividade de ameaça conhecida. Escreva a razão ao lado de cada nota. As notas de Priya mostram a escala em uso: o cenário da ferramenta da empresa contratada tem consequência 2, porque um setpoint de câmara de congelados alterado significa perda de estoque e não dano a pessoas, e probabilidade 2, porque a ferramenta estava sempre ativa, mas não se sabia de exposição das credenciais da empresa contratada. O ponto de apoio pela câmera tem consequência 1 e probabilidade 2. Cada nota tem a sua razão escrita ao lado.
13.3 Salvaguardas
As salvaguardas existentes mudam a história. A detecção independente de amônia torna improvável que um vazamento de gás causado por via cibernética passe despercebido. Os alertas dos registradores na nuvem dão uma segunda visão da temperatura. A lógica dos CLPs mantém o resfriamento se a HMI for perdida. Listar as salvaguardas impede que os cenários pareçam piores do que são — e mostra qual salvaguarda está fazendo muito trabalho. Na NCS, os alertas dos registradores na nuvem sustentam o cenário da ferramenta da empresa contratada: são a salvaguarda que revelaria um setpoint de câmara alterado. Se a ferramenta de um prestador mudasse um setpoint, os alertas mostrariam a sala aquecendo antes de o estoque se estragar.
13.4 Ordenação
Ordene primeiro pela consequência, depois pela probabilidade, depois por quão barato é reduzir o cenário. Um cenário de consequência 2 com uma correção fácil muitas vezes merece ação antes de um cenário de consequência 3 cuja salvaguarda já é forte. A ordenação de Priya segue essa regra. Os cenários da ferramenta da empresa contratada e do ransomware do escritório têm ambos consequência 2 e probabilidade 2; o ransomware fica em segundo apenas porque a sua salvaguarda, a lógica dos CLPs que mantém o resfriamento sem a HMI-C, é mais forte que os alertas da nuvem que protegem contra um setpoint alterado. A remoção da regra 9 veio então em primeiro entre os controles, porque era barata e reduzia dois cenários de uma vez, como explica o Capítulo 18.
Exemplo resolvido (NCS sintética)
Os três primeiros de Priya: (1) ferramenta remota da empresa contratada usada indevidamente para mudar setpoints das câmaras de congelados (consequência 2, probabilidade 2, salvaguarda: alertas dos registradores na nuvem — correção: sessões supervisionadas); (2) ransomware do escritório alcança a HMI-C (2, 2, salvaguarda: o CLP mantém o resfriamento — correção: remover a regra 9); (3) câmera exposta à internet usada como ponto de apoio (1, 2 — correção: mover para a zona de câmeras).
Caso sintético — Northgate Cold Storage. As notas são ilustrativas.
Erros e limites
Escalas simples escondem diferenças dentro de uma categoria. A probabilidade de ataque deliberado muda depressa com notícias de campanhas; revise.
Exercícios
- EX037 — Completando uma frase de cenário. Escreva um cenário para "leituras de registradores falsificadas" usando a estrutura de cinco partes. Rubrica: 3 = as cinco partes; 2 = quatro; 1 = vago; 0 = nada.
- EX038 — Atribuindo nota com razões. Dê a nota de consequência do cenário 1 e justifique. Rubrica: 3 = 2, com raciocínio sobre estoque/segurança dos alimentos e a salvaguarda anotada; 2 = só a nota; 1 = 3 sem razão; 0 = nada.
- EX039 — Uma salvaguarda carregando muito peso. Qual salvaguarda aparece em mais de um cenário, e o que isso implica? Rubrica: 3 = alertas dos registradores na nuvem (ou a autonomia dos CLPs); ponto único a proteger e testar; 2 = só o nome; 1 = errado; 0 = nada.
Síntese
Os cenários ligam caminhos cibernéticos a consequências físicas e a salvaguardas, e notas simples e justificadas bastam para ordenar a ação num local pequeno.
Continue estudando — capítulo 13 de 30
← Capítulo 12 · Índice de capítulos do curso · Capítulo 14 →
Siga para a próxima lição escrita.