Capítulo 7 — Fundamentos de identidade e acesso
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Senhas compartilhadas"]
N1["7.2 Papéis"]
N2["7.3 Empresas contratadas"]
N3["7.4 Autenticação multifator"]
N4["7.5 Revisões"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Senhas compartilhadas"]
N1["7.2 Papéis"]
N2["7.3 Empresas contratadas"]
N3["7.4 Autenticação multifator"]
N4["7.5 Revisões"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX019"]
[7.1 Senhas compartilhadas]
|
v
[7.2 Papéis]
|
v
[7.3 Empresas contratadas]
|
v
[7.4 Autenticação multifator]
|
v
[7.5 Revisões]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) substituir contas compartilhadas por contas nominais e papéis; (2) desenhar o acesso de empresas contratadas com limites de tempo; (3) aplicar autenticação multifator onde ela cabe em TO; e (4) revisar os acessos regularmente.
7.1 Senhas compartilhadas
Em muitos locais, uma única senha da HMI é compartilhada por todos os turnos e conhecida por ex-funcionários. Ela não consegue dizer a um investigador quem mudou um setpoint de uma câmara de congelados, e não pode ser revogada para uma única pessoa. Contas nominais restauram as duas coisas, a atribuição e a revogação. A IEC 62443-3-3 faz da identificação única de usuários humanos um requisito de sistema, dentro do seu primeiro requisito fundamental. A revisão de acessos de Priya na NCS encontrou exatamente isso: uma conta compartilhada "shift" entre 11 contas da HMI, mais duas contas de ex-funcionários. Uma conta compartilhada também enfraquece o registro de evidências: um alarme reconhecido como "shift" não pode ser ligado a uma pessoa.
7.2 Papéis
A NCS precisa de três papéis na HMI: visualizador (o vigia noturno que confere temperaturas), operador (reconhecer alarmes, ajustar setpoints dentro de limites) e engenheiro (mudar limites e configurações de alarme). O laptop da empresa contratada que programa o PLC-R1 é ainda outro privilégio, controlado pela posse do laptop e pela senha do projeto. O papel de visualizador importa mais do que parece. O vigia noturno da NCS confere as temperaturas das câmaras na HMI-C durante as rondas; com um login de operador compartilhado, o vigia também poderia ter reconhecido alarmes ou mudado um setpoint. Uma conta de visualizador elimina isso por projeto. O laptop de programação da empresa contratada fica fora desses papéis porque é o arquivo de projeto do PLC-R1, e não a HMI-C, que controla o que pode ser carregado no controlador.
7.3 Empresas contratadas
A empresa de refrigeração precisa de acesso algumas vezes por mês. Dê à empresa contratada contas nominais desabilitadas por padrão, habilitadas para um chamado e uma janela de tempo, e revisadas depois. Remova a ferramenta de acesso remoto sempre ativa identificada no Capítulo 5. Na NCS, as duas contas da empresa contratada estavam sempre habilitadas. Priya as deixou desabilitadas por padrão; o gerente de instalações habilita uma para um chamado e uma janela de tempo, e a sessão passa pelo jump host, que a grava. Depois da visita, a conta é desabilitada de novo, e o registro da sessão é arquivado com o chamado. O pacote de visita da empresa contratada, no Capítulo 25, transforma esses passos num formulário de uma página que leva quatro minutos.
7.4 Autenticação multifator
Use MFA para o acesso remoto e para as ferramentas de engenharia. Na HMI da sala de controle, um pedido lento de MFA durante um alarme pode causar dano; a segurança física da sala e tempos curtos de bloqueio de tela podem ser o melhor equilíbrio. Documente a escolha. A escolha de Priya na NCS: MFA no jump host para as sessões da empresa contratada e nas ferramentas de engenharia, mas não na própria HMI-C. A sala de controle é trancada, a HMI-C se bloqueia depois de um curto período ocioso, e os operadores entram com contas nominais. Um pedido de MFA que atrasasse o reconhecimento, por um operador, de um alarme de temperatura alta na Freezer-2 criaria um risco pior que o que ele remove, e esse raciocínio está escrito na política de acesso.
7.5 Revisões
A cada trimestre, liste as contas habilitadas e compare com a lista de funcionários e de prestadores. Desabilite quem saiu no mesmo dia em que o RH avisar. Na NCS, essa revisão encontrou 11 contas da HMI: 6 de funcionários atuais, 2 de ex-funcionários, 1 conta compartilhada "shift" e 2 contas da empresa contratada sempre habilitadas. As duas contas de ex-funcionários foram desabilitadas no mesmo dia; a conta compartilhada foi substituída por contas nominais de operador em um mês; as contas da empresa contratada passaram a ficar desabilitadas por padrão. A revisão do trimestre seguinte deve partir dessa lista e confirmar que nenhum dos quatro problemas voltou, por exemplo uma nova conta de prestador criada durante uma visita de emergência e nunca desabilitada.
Exemplo resolvido (NCS sintética)
A revisão de acessos de Priya encontra 11 contas da HMI: 6 de funcionários atuais, 2 de ex-funcionários, 1 conta compartilhada "shift" e 2 contas da empresa contratada sempre habilitadas. Ações: desabilitar hoje as 2 contas de ex-funcionários; substituir "shift" por contas nominais de operador em um mês; deixar as contas da empresa contratada desabilitadas por padrão, com habilitação por chamado.
Caso sintético — Northgate Cold Storage. As contagens são inventadas.
Erros e limites
O bloqueio de conta em telas da sala de controle pode travar um operador durante uma emergência; prefira alertas e atrasos. Alguns CLPs legados não têm contas de usuário; proteja-os por controles de rede.
Exercícios
- EX019 — Escolhendo um papel. O vigia noturno precisa conferir as temperaturas das câmaras na HMI-C. Qual papel, e por quê? Rubrica: 3 = visualizador, menor privilégio, sem mudança de setpoint; 2 = só o papel; 1 = operador; 0 = engenheiro.
- EX020 — Desenho do acesso de prestadores. Escreva três regras para as contas da HMI de empresas contratadas. Rubrica: 3 = nominais, desabilitadas por padrão, habilitadas por chamado/janela com revisão; 2 = duas; 1 = uma; 0 = nada.
- EX021 — Onde cabe a MFA. Cite um caminho de acesso da NCS que precisa ter MFA e um em que você documentaria uma alternativa. Rubrica: 3 = caminho de acesso remoto/engenharia; HMI da sala de controle com controle físico; 2 = um; 1 = MFA em tudo sem reflexão; 0 = nada.
Síntese
Contas nominais, papéis adequados, acesso de prestadores limitado no tempo e revisões regulares dão à identidade em TO tanto responsabilização quanto segurança.
Continue estudando — capítulo 07 de 30
← Capítulo 06 · Índice de capítulos do curso · Capítulo 08 →
Siga para a próxima lição escrita.