◇ OpenCyber Academy
Tecnólogo · Capítulo 26 · Português

Capítulo 26 — Segurança de TO, IoT e sistemas ciberfísicos: passagem para a operação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 26 — Segurança de TO, IoT e sistemas ciberfísicos: passagem para a operação

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX076.

flowchart TD
  N0["26.1 Projetos terminam, sistemas continuam"]
  N1["26.2 Lendo a verificação"]
  N2["26.3 Aceite"]
  N3["26.4 Acompanhamento intensivo hypercare"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX076"]

Desenho lógico

flowchart LR
  N0["26.1 Projetos terminam, sistemas continuam"]
  N1["26.2 Lendo a verificação"]
  N2["26.3 Aceite"]
  N3["26.4 Acompanhamento intensivo hypercare"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX076"]

[26.1 Projetos terminam, sistemas continuam]
    |
    v
[26.2 Lendo a verificação]
    |
    v
[26.3 Aceite]
    |
    v
[26.4 Acompanhamento intensivo hypercare]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX076]

Objetivos de aprendizagem

Você vai (1) definir o que uma melhoria de segurança precisa entregar à operação; (2) verificar se um pacote de passagem está completo; (3) transferir a responsabilidade com aceite formal; e (4) planejar os primeiros meses depois da passagem.

26.1 Projetos terminam, sistemas continuam

As mudanças de firewall, o monitoramento e o pacote da empresa contratada só protegem a NCS se alguém os operar depois que a equipe do projeto for embora. Uma passagem transfere conhecimento, documentos e responsabilidade do projeto para as pessoas que operam o local no dia a dia.

"""Lab 26: check a synthetic operational handoff package for required items."""
REQUIRED = ["asset list", "flow matrix", "runbook", "contacts", "backup location", "open risks", "restore test date"]
package = {"asset list": "v3", "flow matrix": "v2", "runbook": "v1", "contacts": "", "backup location": "NAS-OT/backups", "open risks": "3 items"}
missing = [r for r in REQUIRED if not package.get(r)]
print(f"present {len(REQUIRED)-len(missing)}/{len(REQUIRED)}; missing: {missing}")
print("handoff", "BLOCKED" if missing else "ready")

Execute com python3 lab_handoff.py. Saída verificada:

present 5/7; missing: ['contacts', 'restore test date']
handoff BLOCKED

Na NCS, o responsável que recebe é o gerente de instalações, e quem opera são os operadores noturnos, que verão os alertas primeiro. A lista de verificação da passagem de Priya tem sete itens; a primeira execução encontrou cinco presentes e marcou a passagem como BLOCKED.

26.2 Lendo a verificação

Faltam ao pacote os contatos e a data do teste de restauração. A falta de contatos significa que às 3 da manhã ninguém sabe para quem ligar sobre o jump host ou o fornecedor dos registradores. A falta de evidência de restauração significa que o backup do pacote pode não funcionar. Os dois bloqueiam a passagem, porque cada um falha exatamente quando o local precisa dele. Priya corrigiu os dois antes do aceite: acrescentou uma folha de contatos com a escala de aprovadores, a empresa contratada, o fornecedor dos registradores, o provedor de internet e o líder de segurança, e restaurou o HIST numa VM isolada, registrando 2026-10-09 como a data do teste. A nova execução mostrou 7/7 itens presentes.

26.3 Aceite

O responsável que recebe — o gerente de instalações — assina que entende cada item e aceita a responsabilidade. Um aceite sem percorrer o material junto é uma assinatura, não uma passagem; percorra o runbook junto com a pessoa e deixe o operador executar uma tarefa enquanto você observa. O percurso de Priya com a operadora noturna encontrou o que uma revisão de documentos tinha deixado escapar: o runbook se referia a um menu que o fornecedor da HMI tinha renomeado. O passo foi corrigido antes do aceite. Essa única correção teria custado muitos minutos a uma operadora confusa durante um alerta real, numa hora em que ninguém da equipe do projeto atenderia o telefone.

26.4 Acompanhamento intensivo (hypercare)

Nas primeiras quatro semanas, a equipe do projeto continua de plantão, revisa os alertas com a operação semanalmente e corrige as lacunas de documentação encontradas no uso real. Depois, a responsabilidade passa inteiramente para o local. Na NCS, as quatro semanas cobririam pelo menos uma visita da empresa contratada, de modo que o pacote de visita, a aprovação no jump host e a ligação com os alertas de novo interlocutor são todos exercitados uma vez em uso real. As revisões semanais olham o relatório do verificador de deriva e os chamados de certificados com o gerente de instalações. As lacunas encontradas entram no runbook na mesma semana, e o fim do acompanhamento intensivo é registrado no arquivo da passagem, com a lista de correções feitas.

Exemplo resolvido (NCS sintética)

Priya acrescenta a folha de contatos (escala de aprovadores, empresa contratada, fornecedor dos registradores, provedor de internet, líder de segurança) e faz um teste de restauração do HIST numa VM isolada, registrando 2026-10-09 como a data. A nova execução mostra 7/7 itens presentes. Durante o percurso, a operadora noturna descobre que o runbook se refere a um menu que o fornecedor da HMI renomeou; o passo é corrigido antes do aceite.

Caso sintético — Northgate Cold Storage. O conteúdo do pacote é inventado.

Erros e limites

Uma lista de verificação completa não prova qualidade; o percurso conjunto prova. Os contatos envelhecem depressa; dê a eles uma data de revisão.

Exercícios

Síntese

Uma passagem está completa quando o pacote está inteiro, o responsável o percorreu e assinou, e um curto período de acompanhamento intensivo pegou o que os documentos deixaram escapar.

Continue estudando — capítulo 26 de 30

← Capítulo 25 · Índice de capítulos do curso · Capítulo 27 →

Siga para a próxima lição escrita.