Capítulo 23 — Segurança de TO, IoT e sistemas ciberfísicos: avaliação

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 Funcionou?"]
  N1["23.2 Testes com resultados esperados"]
  N2["23.3 Antes e depois"]
  N3["23.4 Relato honesto"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 Funcionou?"]
  N1["23.2 Testes com resultados esperados"]
  N2["23.3 Antes e depois"]
  N3["23.4 Relato honesto"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX067"]

[23.1 Funcionou?]
    |
    v
[23.2 Testes com resultados esperados]
    |
    v
[23.3 Antes e depois]
    |
    v
[23.4 Relato honesto]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) avaliar se os controles atingiram o seu propósito; (2) desenhar testes simples com resultados esperados; (3) medir antes e depois; e (4) reportar a eficácia com honestidade, incluindo as falhas.

23.1 Funcionou?

Depois de seis meses de mudanças na NCS — regra 9 removida, sessões supervisionadas da empresa contratada, zona de câmeras, automação de certificados —, a gerência pergunta se o local está "mais seguro". Uma avaliação responde a perguntas mais estreitas e testáveis: o caminho escritório → controle está fechado? As sessões da empresa contratada exigem aprovação? Os certificados são renovados antes de expirar? Cada pergunta corresponde a um controle no registro de Priya e a um teste que pode falhar. Perguntar "a NCS está mais segura?" convidaria um sim que ninguém poderia verificar; perguntar se o OFFICE-7 ainda consegue alcançar o PLC-R2:502 convida a uma conexão recusada num log de firewall, que qualquer pessoa pode verificar.

23.2 Testes com resultados esperados

Para cada controle, escreva o teste e o resultado esperado antes de executá-lo: "A partir do OFFICE-7, tentar uma conexão TCP ao PLC-R2:502 na janela de manutenção; esperado: recusada no firewall e registrada." "A empresa contratada tenta se conectar sem aprovação; esperado: o jump host nega." Os testes que tocam a zona de controle são executados em janelas de manutenção, com a operação informada. A tabela de Priya tinha seis testes desse tipo, com os resultados esperados escritos primeiro. Cinco passaram. O sexto encontrou a regra da zona de câmeras permitindo que a CAM-DOCK alcançasse o HIST numa porta web, porque uma regra ampla "câmera para servidor" tinha sido escrita em vez de uma que nomeasse o gravador de vídeo.

23.3 Antes e depois

As medidas que já existiam antes das mudanças permitem uma comparação: fluxos não aprovados por semana (antes: 2 tipos; depois: 0), contas da HMI de quem saiu (antes 2; depois 0), dias de dados de registradores perdidos por certificados expirados (antes 7, num incidente; depois 0, em seis meses). As três medidas existiam antes das mudanças porque o trabalho anterior de Priya as produziu: a comparação de fluxos do Capítulo 12 contou os fluxos não aprovados, a revisão do Capítulo 7 contou as contas de quem saiu e a verificação do Capítulo 22 datou a lacuna do LOG-03. Sem essa linha de base, a avaliação de seis meses só poderia ter dito que os problemas não eram vistos agora.

23.4 Relato honesto

Reporte o que falhou. Se um prestador ainda usasse o roteador celular (Capítulo 14) porque ele foi ligado para uma emergência e nunca desligado, diga isso, com a ação corretiva. Avaliações que só reportam sucessos deixam de merecer crédito. A avaliação de Priya reporta a sua única falha do mesmo jeito: a regra da zona de câmeras permitia que a CAM-DOCK alcançasse o HIST numa porta web; a ação corretiva restringe a regra ao gravador de vídeo apenas, e um novo teste está agendado. Reportar cinco de seis como cinco de seis é o que torna os cinco críveis.

Exemplo resolvido (NCS sintética)

A tabela de avaliação de Priya: seis controles, seis testes, cinco aprovados. A linha que falhou é reportada por completo, com a causa, a ação corretiva e a data do novo teste.

Caso sintético — Northgate Cold Storage. Os resultados são inventados.

Erros e limites

Um teste aprovado mostra que o controle funcionou no momento do teste, para aquele caso; a deriva pode desfazê-lo. As contagens de antes e depois podem mudar por razões que não sejam o controle.

Exercícios

• EX067 — Escrevendo um teste. Escreva o teste e o resultado esperado para "só a HMI-C e o HIST conseguem alcançar o PLC-R1".
  Mostrar critérios de avaliação

  Rubrica: 3 = teste a partir de um host não aprovado mais um aprovado, resultados esperados, janela; 2 = um lado; 1 = vago; 0 = nada.
• EX068 — Interpretando uma contagem de antes/depois. Os fluxos não aprovados caíram de 2 tipos para 0. Cite uma razão além dos controles.
  Mostrar critérios de avaliação

  Rubrica: 3 = a janela de observação ou o posicionamento da captura mudou, ou uma atividade sazonal esteve ausente; 2 = vago; 1 = tentativa mínima; 0 = nada.
• EX069 — Reportando a falha. Escreva a linha de avaliação da falha da regra das câmeras.
  Mostrar critérios de avaliação

  Rubrica: 3 = teste, resultado, causa, ação corretiva, data do novo teste; 2 = três; 1 = "problema menor"; 0 = nada.

Síntese

A avaliação transforma "mais seguro" em testes específicos com resultados esperados, comparados antes e depois, com as falhas reportadas tão claramente quanto os acertos.