Capítulo 30 — Avaliação do trabalho de conclusão | Tecnólogo Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 30 — Avaliação do trabalho de conclusão

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX088.

flowchart TD
  N0["30.1 Critérios"]
  N1["30.2 Demonstração"]
  N2["30.3 Perguntas para as quais se preparar"]
  N3["30.4 Próximos passos"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX088"]

Desenho lógico

flowchart LR
  N0["30.1 Critérios"]
  N1["30.2 Demonstração"]
  N2["30.3 Perguntas para as quais se preparar"]
  N3["30.4 Próximos passos"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX088"]

[30.1 Critérios]
    |
    v
[30.2 Demonstração]
    |
    v
[30.3 Perguntas para as quais se preparar]
    |
    v
[30.4 Próximos passos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX088]

Objetivos de aprendizagem

Você vai (1) avaliar um trabalho de conclusão contra o seu enunciado e os seus critérios; (2) apresentar os resultados a públicos técnicos e do local; (3) responder a perguntas sobre limitações; e (4) planejar os seus próximos passos de aprendizagem.

30.1 Critérios

O trabalho de conclusão é avaliado em: aderência ao problema (ele atende a uma necessidade da NCS?), correção técnica (os testes passam e as saídas correspondem?), segurança e autorização (somente leitura, sem contato com dispositivos, escopo documentado), usabilidade (o local consegue executá-lo?) e honestidade (as limitações estão declaradas?). Cada um recebe nota de 0 a 3, com evidência escrita. Priya se deu 3, 3, 3, 2 e 3 nesses critérios, com usabilidade em 2 porque interpretar VERSION-CONFLICT ainda exigia ajuda. A avaliadora concordou em todos os critérios e sugeriu uma coluna "o que fazer", em linguagem simples, para cada estado. A coluna foi acrescentada antes da entrega final.

30.2 Demonstração

Execute a ferramenta ao vivo a partir de um checkout limpo sobre entradas de exemplo e depois mostre o relatório de uma semana real (aprovada pelo responsável e sanitizada). Narre um achado do relatório até a resolução: o verificador de deriva sinalizou um VERSION-CONFLICT para um gateway de registradores depois de uma atualização do fornecedor, e o inventário foi corrigido. O achado narrado por Priya segue a saída do verificador de deriva do VERSION-CONFLICT até uma linha de inventário corrigida, o mesmo caminho que o conflito 2.4/2.1 do PLC-R2 percorreu à mão no Capítulo 11. Mostrar primeiro a execução a partir do checkout limpo prova que a ferramenta funciona; mostrar a semana real prova que o local a usa.

30.3 Perguntas para as quais se preparar

"O que acontece se a captura for do switch errado?" "Como você sabe que a matriz de fluxos está certa?" "O que faria um atacante que conhece o verificador?" "Quem o mantém depois de você?" Responda com evidências ou com "não sei, e é assim que eu descobriria". A página de limitações de Priya já responde a duas: ela nomeia o posicionamento da captura, já que uma captura do switch errado não mostraria nada do tráfego dos CLPs, e o envenenamento da linha de base, já que um atacante presente durante a semana da linha de base seria tratado como normal. A resposta dela a "quem o mantém" é o gerente de instalações, com o guia de operação e os 23 testes.

30.4 Próximos passos

Os tecnólogos seguem para o bacharelado, para certificações de fornecedores ou do setor, ou para funções na operação de TO. Continue acompanhando os alertas de ICS da CISA para os produtos que você apoia e revisite o NIST SP 800-82r3 e as partes da IEC 62443 que se aplicam ao seu papel. Para um tecnólogo que deixa a NCS, os produtos a acompanhar são os do inventário de Priya: os CLPs de refrigeração, a versão de Windows e o software de HMI da HMI-C, o GW-LOG e os registradores, e as câmeras da doca. Um alerta da CISA que cite qualquer um deles deve levar direto à tabela de ativos, à coluna de firmware e à próxima execução do verificador de deriva.

Exemplo resolvido (NCS sintética)

A autoavaliação de Priya: aderência ao problema 3 (o local o usa semanalmente); correção 3 (os 23 testes passam a partir de um checkout limpo); segurança 3 (somente leitura, permissão de trabalho arquivada); usabilidade 2 (o gerente de instalações o executa, mas interpretar VERSION-CONFLICT ainda exige ajuda); honestidade 3 (a página de limitações lista o posicionamento da captura e o envenenamento da linha de base). A avaliadora concorda em todos os critérios, inclusive usabilidade em 2 pela mesma razão, e sugere uma coluna "o que fazer" em linguagem simples.

Caso sintético — Northgate Cold Storage. As notas são ilustrativas.

Erros e limites

Demonstrações com dados escolhidos a dedo podem esconder fragilidades; inclua uma entrada bagunçada. A autoavaliação tende a ser generosa com a usabilidade.

Exercícios

EX088 — Avaliando a honestidade. Que evidência justificaria nota 3 em honestidade? Rubrica: 3 = seção de limitações explícita, com modos de falha específicos e áreas não testadas; 2 = ressalva breve; 1 = vago; 0 = nada.
EX089 — A pergunta do atacante. Esboce uma resposta para "o que faria um atacante que conhece o verificador?". Rubrica: 3 = agir entre as execuções semanais ou envenenar a linha de base/o inventário; mitigações; 2 = parcial; 1 = nega; 0 = nada.
EX090 — A correção de usabilidade. Escreva o texto "o que fazer" para uma linha VERSION-CONFLICT. Rubrica: 3 = passos simples: confirmar no dispositivo com a empresa contratada, atualizar o inventário, verificar alertas; 2 = parcial; 1 = jargão; 0 = nada.

Síntese

A avaliação de um trabalho de conclusão verifica aderência, correção, segurança, usabilidade e honestidade — e as melhores respostas a perguntas difíceis nomeiam limites e próximos passos.

Continue estudando — capítulo 30 de 30

← Capítulo 29 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções

Respostas-modelo para EX001–EX090. A Northgate Cold Storage, Priya Nair e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma nota.

EX001. HMI-C — uso geral: um PC Windows que roda muitos processos e recebe atualizações. PLC-R2 — embarcado: um único programa de controle num laço de varredura fixo. Registrador — embarcado: um microcontrolador a bateria, com rádio e sem sistema operacional de uso geral.

EX002. A NCS perde o registro de temperatura na nuvem e quaisquer alertas remotos por seis horas, uma lacuna na evidência de segurança dos alimentos; ela não perde o resfriamento, porque os compressores são controlados pelo PLC-R1/R2 independentemente do gateway.

EX003. PLC-R1 | controlador embarcado | comanda os compressores de amônia 1–2 e o controle da pressão de sucção | painel da casa de máquinas MP-1 | empresa de refrigeração, pelo laptop de engenharia | a câmara aquece e o estoque fica em risco em poucas horas.

EX004. 10.20.0.11 e 10.20.0.40 compartilham a rede 10.20.0 sob uma máscara /24, então sim. 10.20.0.11 e 10.30.0.11 diferem no terceiro octeto, então estão em sub-redes diferentes e o tráfego precisa ser roteado.

EX005. "Regra 9: permitir TCP 502 de 10.20.0.20 (HMI-C) para 10.20.0.11 e 10.20.0.12 (PLC-R1, PLC-R2)", com a regra final existente "deny any to any" abaixo dela. (Como a HMI-C e os CLPs compartilham uma sub-rede, a regra só tem efeito onde o tráfego é roteado; a mudança principal é remover o acesso a partir das outras sub-redes.)

EX006. Com HTTPS apenas de saída, o gateway inicia todas as sessões e o firewall descarta os pacotes de entrada não solicitados, de modo que os hosts da internet não conseguem alcançar os serviços do gateway; um encaminhamento de porta permite que qualquer pessoa na internet tente se conectar a ele.

EX007. docs - seen = {"A"} (documentado mas não observado); seen - docs = {"D"} (observado na rede mas não documentado).

EX008. Devolve None. O script deve imprimir "-" no lugar do valor e um estado como "only-on-network" ou "missing", em vez de quebrar ou pular a linha.

EX009. for name in sorted(set(docs) | set(seen)): — percorrer a união garante que dispositivos presentes em apenas uma fonte ainda produzam uma linha de saída.

EX010. A etiqueta pintada identifica a função num local fixo; ela sobrevive ao reendereçamento (que muda o IP) e à troca de hardware (que muda o número de série), de modo que o histórico e os achados continuam presos à linha certa.

EX011. select tag from loggers where room = 'Freezer-2' and gateway_tag = 'GW-LOG';

EX012. Substitua-a por uma coluna de "referência de credencial" com o ID da entrada no cofre (por exemplo, OT-17); a senha em si fica no cofre com controle de acesso e registro, nunca na tabela compartilhada.

EX013. Vazamento de amônia (dano a pessoas) em primeiro; perda de resfriamento (perda de estoque, segurança dos alimentos) em segundo; registros de temperatura falsificados (evidência de segurança dos alimentos e confiança dos clientes) em terceiro; vazamento de imagens das câmeras (privacidade e confidencialidade) em quarto.

EX014. O produto e as versões afetados; a fraqueza descrita; se a exploração já foi observada; e as mitigações recomendadas (correção do fornecedor ou contorno).

EX015. T0886 Remote Services — o acesso da empresa contratada usa um serviço remoto para alcançar um host do sistema de controle.

EX016. Ele fica no mesmo armazenamento da VM (uma falha de armazenamento ou um ransomware leva os dois), está desatualizado em oito meses e nunca foi restaurado, de modo que não há evidência de que funcionaria.

EX017. Qualquer pessoa ou malware na VLAN do escritório que obtenha as credenciais do console pode parar, apagar ou criptografar todas as VMs do host, inclusive o HIST, numa única ação.

EX018. Restaure o backup numa VM ligada a uma rede de teste isolada, sem rota para a produção, inicie-a, verifique se o serviço do historiador roda e se os dados recentes estão presentes, e então registre a data, a duração e o resultado.

EX019. Visualizador: o vigia só precisa ler temperaturas e alarmes, então o menor privilégio exclui reconhecer alarmes ou mudar setpoints.

EX020. (1) Cada engenheiro da empresa contratada tem uma conta nominal — nenhum login compartilhado de prestador. (2) As contas ficam desabilitadas por padrão. (3) Uma conta só é habilitada para um chamado aprovado e uma janela de tempo fixa, e a sessão é revisada depois.

EX021. MFA obrigatória: a sessão remota da empresa contratada na rede de TO (e o login de projeto do laptop de engenharia). Alternativa documentada: o console da HMI-C na sala de controle, protegido por uma sala trancada e um bloqueio de tela curto em vez de um pedido de MFA durante alarmes.

EX022. A zona de registro e câmeras (ou uma zona dedicada às câmeras): as câmeras não têm papel no controle da refrigeração e muitas vezes rodam firmware vulnerável, então colocá-las na zona de controle daria a um dispositivo fraco um caminho direto até o PLC-R1/R2.

EX023. Zona de origem: controle da refrigeração (HIST). Destino: DMZ (réplica do historiador). Protocolo: o serviço de replicação do historiador na sua porta TCP fixa. Iniciador: lado do controle. Propósito: fornecer relatórios ao escritório sem acesso do escritório à zona de controle.

EX024. A lista de permissões na HMI-C cobre a falha do firewall em barrar um malware que chega por USB; os backups offline cobrem a falha de todas as camadas preventivas quando um ransomware criptografa o HIST.

EX025. (a) Observação — um estado registrado num momento. (b) Conclusão — inferida; exige registros de sessão ou a confirmação da empresa contratada.

EX026. "Em 12 de outubro, 2 dos 4 certificados de registradores de temperatura verificados estavam expirados ou vencendo em até 30 dias; os outros 36 registradores ainda não foram verificados" — usando a contagem real da verificação de certificados.

EX027. "Dos 10 registradores verificados em 4 de março, 2 ainda aceitavam a senha padrão do fornecedor; os outros 30 registradores ainda não foram verificados."

EX028. Sensor: falsificar ou desconectar a TT-F2 para que ela leia mais frio que a realidade. Controlador: mudar o setpoint da Freezer-2 no PLC-R1 (T0836). Atuador: forçar o desligamento do compressor C-1 por uma sobreposição manual ou manipulação de saída.

EX029. ETSI EN 303 645: as suas disposições (nada de senhas padrão universais, divulgação de vulnerabilidades, software atualizável, comunicação segura) se traduzem diretamente em perguntas de compra; o NIST IR 8259 é um bom complemento para perguntar o que o fabricante faz.

EX030. Os registradores medem a Freezer-2 de forma independente e reportam por outro caminho; se a TT-F2 for falsificada para ler −22 °C enquanto a sala aquece, os dados dos registradores vão divergir e revelar o problema.

EX031. A HMI-C pode ter ficado ociosa ou desligada durante a janela de observação, ou a porta espelhada não viu o seu tráfego (por exemplo, ela conversa com os CLPs por um switch que não estava sendo monitorado).

EX032. O conflito de versão do PLC-R2: ele controla os compressores (alta consequência), e o firmware real (2.1) determina se os alertas se aplicam, ao passo que a câmera tem baixa consequência para o resfriamento.

EX033. SENS-NH3 docs=- network=fw 3.0 only-on-network — ele aparece porque o laço percorre a união das duas fontes.

EX034. Aparece uma nova linha HMI-C -> PLC-R2 :502 approved, e "approved but not seen" vira uma lista vazia [], porque todo fluxo aprovado agora foi observado.

EX035. "Fluxo OFFICE-7 → PLC-R2:502: macro de relatório de energia que lê as horas de funcionamento dos compressores. Substituição: ler as horas de funcionamento da réplica do historiador na DMZ. Bloquear escritório → controle em 20 de março, na janela de manutenção, depois que a macro for trocada. Responsável: Priya Nair, com o gerente de instalações."

EX036. A única função do gateway dos registradores é encaminhar temperaturas para a nuvem, então ele não precisa falar Modbus com um controlador de compressor. Como ele é conectado à internet, um fluxo desses liga um serviço externo à zona de controle.

EX037. "Uma conta comprometida na nuvem do fornecedor dos registradores (ameaça) usa o portal do fornecedor (caminho) para alterar as leituras armazenadas da Freezer-2 (ação), de modo que os registros de segurança dos alimentos mostram conformidade durante uma excursão real e estoque estragado é expedido (consequência), a menos que o registro independente de temperatura dos CLPs no HIST seja comparado com os dados da nuvem (salvaguarda)."

EX038. Consequência 2: uma mudança de setpoint pode aquecer as câmaras e condenar estoque ou violar regras de segurança dos alimentos, mas é improvável que fira pessoas, porque a segurança da amônia é independente, e os alertas dos registradores na nuvem limitam quanto tempo ela passa despercebida.

EX039. Os alertas dos registradores na nuvem aparecem como salvaguarda contra o uso indevido de setpoints e também dão a segunda visão quando a HMI-C é perdida; a NCS deve monitorar se o próprio caminho de alerta funciona (alertas de teste, saúde do gateway), porque muitos cenários se apoiam nele.

EX040. Roteadores celulares ou Wi-Fi dentro do painel; etiquetas ou bilhetes mostrando senhas; dispositivos ou cabos que não estão no inventário (por exemplo, um laptop deixado conectado a uma porta de CLP).

EX041. "Me conte passo a passo a última vez que você se conectou remotamente à NCS — do seu escritório até o momento em que viu a tela da HMI."

EX042. Opção 1: remover o roteador, se a empresa contratada confirmar que o caminho remoto principal cobre todas as necessidades de suporte. Opção 2: mantê-lo desligado e habilitá-lo só sob pedido, aprovado pelo gerente de instalações por um tempo declarado, se um caminho reserva for realmente necessário durante quedas da rede.

EX043. excursion 15-35 min, duration 20 min, peak 8.4 C, alarm not raised (delay 25 min) — a excursão não muda, mas 20 < 25.

EX044. A leitura aos 50 minutos inicia uma nova excursão (start = 50), mas o laço termina antes que alguma leitura volte a ≤ 5 °C, então nada é impresso. Correção: depois do laço, se start is not None, imprimir a excursão aberta com "em curso na última amostra".

EX045. Comparar cada leitura do registrador com a própria sonda do CLP registrada no HIST (ou com um segundo registrador na mesma sala) e sinalizar qualquer intervalo em que elas difiram mais que uma tolerância combinada, como 2 °C.

EX046. Spoofing: um atacante obtém por phishing a senha do portal do gerente de qualidade e entra como ele. Divulgação de informação: a função de exportação do portal expõe os históricos de temperatura do armazenamento de outros clientes, se os controles de acesso forem fracos.

EX047. "Por favor, informe o protocolo e a versão usados entre o gateway e a sua nuvem, como o gateway valida o certificado do servidor e se o enlace de rádio entre registrador e gateway é criptografado e autenticado (e com qual algoritmo)."

EX048. Use a especificação de rádio do fornecedor e então, com permissão, posicione um registrador de bancada e um receptor do kit de ferramentas do fornecedor a distâncias crescentes dentro dos limites do terreno da NCS, registrando onde a recepção para; nenhuma transmissão para registradores ativos.

EX049. Sem endereço IP, o host não consegue enviar pacotes para a rede de controle, então a captura não pode interagir por acidente com os CLPs, a HMI ou o historiador nem perturbá-los.

EX050. Setenta e duas horas abrangem vários ciclos de degelo, trocas de turno e um padrão de fim de semana, de modo que fluxos periódicos que uma captura curta deixaria escapar ficam registrados na linha de base.

EX051. Armazenar a captura só num volume criptografado acessível aos analistas nomeados; apagá-la (e quaisquer cópias) 90 dias depois de o relatório ser aceito, registrando a exclusão.

EX052. FR 3, integridade do sistema: a lista de permissões impede que software não autorizado rode na HMI-C, protegendo a integridade do host em que os operadores confiam.

EX053. Uma pane às 3 da manhã significa que a empresa contratada não consegue se conectar até alguém aprovar a sessão, atrasando o reparo enquanto as câmaras aquecem; mitigue com uma escala de aprovadores de plantão e um número de telefone para o qual a empresa contratada possa ligar.

EX054. Permitir Modbus para o PLC-R2 só a partir da HMI-C e do HIST, no firewall, e alertar sobre qualquer escrita Modbus no PLC-R2 vinda de outra origem vista pelo monitoramento passivo.

EX055. new talkers: ['UNKNOWN-10.4.2.77'], e a linha de resumo vira events: 8 unique hosts: 7 new: 1.

EX056. 10.4.2.77 não está em nenhuma das três sub-redes da NCS, então ou um dispositivo está mal configurado ou o tráfego está chegando por um caminho que a arquitetura não inclui. Qualquer dos dois casos exige investigação rápida, antes que vire normal.

EX057. Quando uma visita de prestador é agendada, o chamado registra a identidade do laptop e a janela da visita, e a ferramenta de monitoramento anota os alertas desse laptop durante a janela como "esperado – chamado N", mas continua a registrá-los.

EX058. (1) As luzes de energia e de enlace do PLC-R2 e da sua porta de switch; (2) o estado e os contadores de erro da porta do switch; (3) o código de erro ou estado de comunicação mostrado na HMI-C para o PLC-R2.

EX059. Exportar os logs de eventos do Windows e registrar a lista de processos em execução e de conexões de rede ativas (com horário e hash dos arquivos exportados).

EX060. A comparação do programa mostrou que a lógica do PLC-R2 diferia do backup armazenado sem registro de mudança, o que pode significar adulteração; reiniciar ou recarregar destruiria essa evidência, então a escalada vem primeiro.

EX061. Fazer com que o estado das portas no CLP seja registrado no HIST e empurrado para a réplica na DMZ (ou uma exportação unidirecional), e deixar o sistema de logística ler a réplica; o sistema de logística nunca se conecta à zona de controle.

EX062. Acesso somente leitura às séries de temperatura das salas com contratos ativos de clientes; nenhuma permissão de escrita, configuração ou gestão de usuários; chave guardada no cofre e com rotação a cada 90 dias, com o uso registrado.

EX063. A API em nuvem do fornecedor dos registradores e a sua disponibilidade; a chave de API com escopo no cofre; a resolução DNS do host da API; a cadeia de certificados TLS usada pela API (e pelo servidor da ferramenta de certificados).

EX064. Nenhuma mudança de estado: o LOG-01 (21 dias) já é renew-now, o LOG-04 (69 dias) continua acima de 60 e fica em "plan", o LOG-02 continua ok e o LOG-03 continua expirado.

EX065. Substituir today = date(2026, 10, 12) por today = date.today(). A saída então muda todos os dias, de modo que a saída verificada impressa no livro não pode mais ser reproduzida exatamente.

EX066. A tarefa grava uma linha "completed" com carimbo de tempo; um monitor separado verifica às 06:15 se a linha do dia existe e gera um alerta para a caixa de entrada de TO se ela não existir.

EX067. Na janela de manutenção, a partir do OFFICE-7 e do GW-LOG, tentar conexões TCP ao PLC-R1:502 — esperado: recusadas e registradas no firewall. A partir da HMI-C e do HIST, confirmar que a consulta normal continua — esperado: os valores atualizam na HMI e no historiador.

EX068. A captura "depois" pode ter coberto um período ou uma porta de switch diferentes, ou a macro de energia pode simplesmente não ter rodado naquela semana, de modo que menos fluxos poderiam refletir diferenças de observação, e não o controle.

EX069. "Teste 6 (isolamento da zona de câmeras) FALHOU em 2 de setembro: a CAM-DOCK alcançou o HIST em TCP 80 porque a regra 31 permitia câmeras para qualquer servidor. Ação corretiva: restringir a regra 31 ao gravador de vídeo; novo teste em 16 de setembro."

EX070. "Nas últimas 12 semanas de dados da NCS, que porcentagem das leituras dos registradores chegou à nuvem em até 15 minutos, e essa porcentagem difere entre o firmware antigo e o novo do gateway?"

EX071. A NCS já depende do alerta da nuvem, então a decisão é se deve acrescentar a verificação de duas sondas; comparar com a prática atual mostra o valor adicional, ao passo que comparar com "nenhuma verificação" o exageraria.

EX072. Giraldo et al. descrevem a detecção de ataques conferindo os dados dos sensores contra as expectativas físicas; a comparação de duas sondas de Priya é uma instância simples dessa ideia, então a revisão enquadra e justifica a abordagem sem provar que ela funciona na NCS.

EX073. Mudou: formulário reduzido a seis campos, com os dados do local preenchidos de antemão. Aprendemos: a operadora noturna não conseguiu achar o número do aprovador. Precisamos: a escala atual de aprovadores de plantão, do gerente de instalações. Risco: a configuração do jump host ainda não foi testada de ponta a ponta.

EX074. Continuar escrevendo o pacote para o projeto combinado do jump host, marcar os passos que dependem dele como "pendente do jump host", avisar o revisor do local e não criar um caminho provisório, como reabrir a antiga ferramenta remota.

EX075. O tempo que o prestador leva para preencher o formulário de visita (meta: menos de cinco minutos) e o número de passos esquecidos ou feitos fora de ordem durante o teste observado.

EX076. present 6/7; missing: ['restore test date'], seguido de handoff BLOCKED.

EX077. Sem uma folha de contatos, durante um incidente noturno o operador não consegue falar com o aprovador, a empresa contratada ou o fornecedor, então os controles falham no momento em que são necessários.

EX078. Aprovar e depois encerrar uma sessão remota da empresa contratada pelo jump host: é a tarefa com mais probabilidade de acontecer à noite, sob pressão, e ver o operador executá-la mostra se os passos do runbook estão claros.

EX079. Fazer backup do conjunto de regras atual; aplicar as regras novas; validar as quatro verificações; monitorar por 24 horas.

EX080. A captura de 72 horas, ou a sua porta de switch, não incluiu a consulta do historiador ao PLC-R2, então o fluxo nunca entrou na matriz; da próxima vez, confirmar toda lista de fluxos com cada responsável pelo sistema (aqui, o fornecedor do historiador) e comparar com a própria configuração do historiador, e não só com as capturas.

EX081. "Se os envios do GW-LOG falharem (nenhum envio bem-sucedido no portal do fornecedor) por mais de 10 minutos depois da mudança, restaurar o conjunto de regras anterior."

EX082. A integração de segurança do local concluída; o EPI exigido (por exemplo, monitor de gás, roupa para câmara fria, botas de segurança); permissão explícita e um acompanhante do engenheiro de refrigeração; conhecimento do sinal de alarme de amônia e do ponto de encontro.

EX083. "Eu não posso resetar a HMI — isso está no procedimento do operador e da empresa contratada, e se algo estranho causou o travamento nós perderíamos a evidência. Posso verificar a porta de rede agora mesmo e vou ligar para a empresa contratada para você."

EX084. "Antes das visitas, vou perguntar ao líder do turno que tarefas os operadores esperam da 'TI', para poder explicar o meu papel logo no início, e não no meio de uma falha."

EX085. Qualquer estado que indique um problema: UNAPPROVED (fluxo), EXPIRED ou renew-now (certificado), VERSION-CONFLICT ou only-on-network (inventário), novos interlocutores e o novo estado no-data para entradas vazias.

EX086. Um fixture com "hoje" fixado em 2026-10-12, um certificado expirando em 2026-11-11 (30 dias, espera renew-now) e outro expirando em 2026-11-12 (31 dias, espera plan).

EX087. Mudanças em firewalls, dispositivos ou certificados em TO precisam de contexto operacional e de aprovação, que um script semanal não tem. Uma "correção" automática que dê errado poderia cortar a visibilidade do resfriamento ou o acesso da empresa contratada justamente quando o local precisa deles.

EX088. Uma seção de limitações que nomeia modos de falha específicos (ponto de captura errado, linha de base capturada durante um comprometimento, mudanças do lado do fornecedor que não ficam visíveis), lista o que não foi testado e tem link a partir da primeira página do relatório.

EX089. "Ele poderia agir dentro da semana entre as execuções, ou pôr o seu dispositivo na linha de base ou no inventário para que pareça normal. O verificador estreita a janela, mas não a fecha; execuções diárias, revisão por chamado de mudança dos acréscimos à linha de base e monitoramento em tempo real das escritas na zona de controle reduzem essa lacuna."

EX090. "O dispositivo informa uma versão de firmware diferente dos nossos registros. Peça à empresa contratada ou ao fornecedor que confirme a versão no dispositivo, atualize o inventário com a versão confirmada e a fonte, e então verifique os alertas da CISA para essa versão."