Capítulo 18 — Segurança de TO, IoT e sistemas ciberfísicos: controles

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Ligando controles a cenários"]
  N1["18.2 Efeitos na operação"]
  N2["18.3 Controles compensatórios"]
  N3["18.4 Registrando os controles"]
  N4["18.5 Priorizando com orçamento limitado"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Ligando controles a cenários"]
  N1["18.2 Efeitos na operação"]
  N2["18.3 Controles compensatórios"]
  N3["18.4 Registrando os controles"]
  N4["18.5 Priorizando com orçamento limitado"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX052"]

[18.1 Ligando controles a cenários]
    |
    v
[18.2 Efeitos na operação]
    |
    v
[18.3 Controles compensatórios]
    |
    v
[18.4 Registrando os controles]
    |
    v
[18.5 Priorizando com orçamento limitado]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) selecionar controles para os principais cenários da NCS; (2) mapeá-los para os requisitos fundamentais da IEC 62443-3-3; (3) verificar o efeito de cada controle na operação; e (4) planejar controles compensatórios onde os dispositivos não podem ser corrigidos.

18.1 Ligando controles a cenários

Cenário 1 (ferramenta remota da empresa contratada usada indevidamente): substituir a ferramenta sempre ativa por sessões supervisionadas através de um jump host (FR 1, identificação e autenticação; FR 5, fluxo de dados restrito) e gravar as sessões (FR 6, resposta oportuna a eventos). Cenário 2 (ransomware do escritório alcança a HMI-C): remover a regra 9 (FR 5), aplicar lista de permissões de aplicações na HMI-C (FR 3, integridade do sistema) e manter backups offline (FR 7, disponibilidade de recursos). A primeira entrada do registro de Priya é o C-04, sessões supervisionadas da empresa contratada, ligado só ao cenário 1: ele não faz nada pelos cenários do ransomware do escritório ou da câmera, que precisam dos seus próprios controles. O seu teste, uma tentativa de sessão sem aprovação que precisa ser recusada, é concreto o bastante para o gerente de instalações repeti-lo sem ela.

18.2 Efeitos na operação

Pergunte de cada controle: o que acontece num dia ruim? Sessões supervisionadas significam que a empresa contratada espera aprovação às 3 da manhã; a NCS precisa de um aprovador de plantão. A lista de permissões pode bloquear uma ferramenta de diagnóstico de emergência; mantenha um processo de exceção documentado e monitorado. A NCS respondeu à primeira pergunta com uma escala de aprovadores de plantão, que depois foi para a primeira página do pacote de visita da empresa contratada. Quando a operadora noturna testou a versão um do pacote, ela não conseguiu achar o número do aprovador, então a escala virou a linha mais importante do pacote. Para a lista de permissões, o processo de exceção nomeia quem pode aprovar uma ferramenta de emergência e como o uso é registrado e revisado depois.

18.3 Controles compensatórios

O enlace de rádio dos registradores de temperatura não tem criptografia e não pode ser mudado (Capítulo 16). Compense: comparar os dados dos registradores com as sondas dos CLPs (detectar falsificação); alertar sobre mudanças bruscas em degrau; perguntar ao fornecedor sobre modelos com criptografia na próxima compra. O PLC-R2 não consegue autenticar clientes Modbus; compense permitindo que só a HMI-C e o HIST o alcancem. O miniestudo de Priya no Capítulo 24 testa o primeiro controle compensatório: em quatro semanas sintéticas com dez falsificações injetadas, a comparação de duas sondas sinalizou as dez em até 10 minutos. O próprio alerta da nuvem não sinalizou nenhuma, porque os valores falsificados ficaram dentro da faixa.

18.4 Registrando os controles

Um registro de controles lista o controle, o cenário, o requisito fundamental, o responsável, o método de teste e a data do último teste. Controles não testados são listados como "presumidos". O registro de Priya lista o C-04, sessões supervisionadas da empresa contratada, como testado em 2026-04-02 e aprovado. A remoção da regra 9 é listada com o seu teste, uma tentativa de conexão do OFFICE-7 ao PLC-R2:502, com recusa esperada. A lista de permissões na HMI-C é listada como "presumida" até que a política testada pelo fornecedor seja implantada e um executável de teste bloqueado seja registrado. O rótulo "presumido" mantém o registro honesto: a gerência pode ver que o plano tem mais controles que evidências. O Capítulo 23 converte a maior parte das entradas presumidas em testadas, e uma delas falha no primeiro teste.

Exemplo resolvido (NCS sintética)

A linha de registro de Priya: "C-04 Sessões supervisionadas da empresa contratada via jump host — cenário 1 — FR 1/FR 5/FR 6 — responsável: gerente de instalações — teste: tentar sessão sem aprovação, esperar recusa — último teste em 2026-04-02, aprovado."

Caso sintético — Northgate Cold Storage. As entradas do registro são inventadas.

18.5 Priorizando com orçamento limitado

A NCS não pode comprar tudo de uma vez. Priya ordena os controles por quantos cenários cada um reduz e por quão barato ele é: remover a regra 9 custa uma janela de manutenção e reduz dois cenários, então vem primeiro; a lista de permissões precisa de testes do fornecedor e vem em segundo; substituir os registradores por modelos com criptografia espera o ciclo normal de substituição, com a verificação compensatória por comparação ativa enquanto isso. A ordem fica visível na avaliação de Priya seis meses depois: regra 9 removida, sessões supervisionadas testadas, certificados automatizados, registradores ainda não substituídos.

Erros e limites

O mapeamento para os requisitos fundamentais mostra cobertura, não adequação. Um controle contornado "temporariamente" por meses não é um controle.

Exercícios

• EX052 — Mapeando a lista de permissões. Qual requisito fundamental a lista de permissões de aplicações na HMI apoia?
  Mostrar critérios de avaliação

  Rubrica: 3 = FR 3, integridade do sistema, com razão; 2 = só o FR; 1 = FR 4; 0 = nada.
• EX053 — Uma verificação de dia ruim. Descreva o efeito de dia ruim das sessões supervisionadas e a sua mitigação.
  Mostrar critérios de avaliação

  Rubrica: 3 = atraso à noite; aprovador de plantão; 2 = um; 1 = vago; 0 = nada.
• EX054 — Compensando o PLC-R2. Liste dois controles compensatórios para a falta de autenticação do PLC-R2.
  Mostrar critérios de avaliação

  Rubrica: 3 = restringir as origens a HMI-C/HIST; monitorar escritas vindas de outros hosts; 2 = um; 1 = "pôr uma senha"; 0 = nada.

Síntese

Os controles são escolhidos para cenários, verificados contra dias ruins, compensados onde os dispositivos não podem mudar e registrados com testes.