Cenário 07 / 10 · NIST SP 800-61 REV. 3

Anomalia em controlador de água

Uma estação municipal de água vê mudança no valor de dosagem química diferente da ordem de serviço aprovada.

Cenário fictício para estudo; nenhuma pessoa ou sistema real é descrito.

Limite de segurança e autoridade

Priorize a segurança dos operadores e do público; não faça varredura, reinicialização ou isolamento de controladores sem decisão autorizada de segurança do processo.

01 / 05

Preparação

GV · ID · PR

Uma estação municipal de água vê mudança no valor de dosagem química diferente da ordem de serviço aprovada.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Sable Equipe de evidências	Preparou a rota de evidências	Nomeou fontes somente de leitura e responsáveis para: A tela da sala de controle e um medidor local discordam; a rota de rede afetada também carrega outras funções de segurança.	O primeiro alerta precisa de origem e horário verificáveis.
Tamar Equipe de serviço	Ensaiou a continuidade segura	Testou em isolamento uma versão de: Retorne ao controle automático só após a engenharia verificar sensores, atuadores e valores aprovados em teste delimitado.	Recuperação apressada pode agravar o impacto no serviço.
Umber Equipe de decisão	Definiu autoridade e escalonamento	Atribuiu responsáveis e condições de aprovação para: Priorize a segurança dos operadores e do público; não faça varredura, reinicialização ou isolamento de controladores sem decisão autorizada de segurança do processo.	Segurança, privacidade e comunicação exigem decisão atribuída.

02 / 05

Detecção e análise

A tela da sala de controle e um medidor local discordam; a rota de rede afetada também carrega outras funções de segurança.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Sable Equipe de evidências	Avaliou o sinal	Preservou origem, horário UTC e confirmação independente de: A tela da sala de controle e um medidor local discordam; a rota de rede afetada também carrega outras funções de segurança.	Um alerta é pista, não prova de causa ou abrangência.
Tamar Equipe de serviço	Mediu impacto nos usuários	Comparou o serviço real com a linha de base: Uma estação municipal de água vê mudança no valor de dosagem química diferente da ordem de serviço aprovada.	Alertas técnicos sozinhos não comprovam impacto operacional.
Umber Equipe de decisão	Abriu caso delimitado	Registrou fatos confirmados, incógnitas, responsável e horário da próxima revisão.	As equipes se coordenam sem exagerar as evidências.

03 / 05

Resposta e contenção

Priorize a segurança dos operadores e do público; não faça varredura, reinicialização ou isolamento de controladores sem decisão autorizada de segurança do processo.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Sable Equipe de evidências	Preservou e delimitou evidências	Guardou registros originais e definiu caminho limitado para: O operador verifica leituras físicas seguras e aciona procedimento manual aprovado; preserve registros de controle apenas para leitura.	A contenção não deve destruir a base da revisão posterior.
Tamar Equipe de serviço	Aplicou o controle aprovado	Executou: O operador verifica leituras físicas seguras e aciona procedimento manual aprovado; preserve registros de controle apenas para leitura.	Mudança reversível e aprovada reduz danos sem ampliar o escopo.
Umber Equipe de decisão	Autorizou e comunicou	Registrou aprovador, pessoas afetadas e limite: Priorize a segurança dos operadores e do público; não faça varredura, reinicialização ou isolamento de controladores sem decisão autorizada de segurança do processo.	Ações exigem autoridade clara e aviso proporcional.

04 / 05

Recuperação

Retorne ao controle automático só após a engenharia verificar sensores, atuadores e valores aprovados em teste delimitado.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Sable Equipe de evidências	Verificou persistência	Comparou nova telemetria com: Medições independentes coincidem com a faixa aprovada do processo e os operadores aprovam o retorno controlado.	Serviço aparentemente saudável ainda pode estar comprometido.
Tamar Equipe de serviço	Restaurou em etapas	Executou: Retorne ao controle automático só após a engenharia verificar sensores, atuadores e valores aprovados em teste delimitado.	O retorno gradual testa dependências antes de ampliar o acesso.
Umber Equipe de decisão	Aceitou o resultado operacional	Pediu aprovação do responsável somente após: Medições independentes coincidem com a faixa aprovada do processo e os operadores aprovam o retorno controlado.	Recuperação é decisão de serviço, não apenas painel verde.

05 / 05

Melhoria

ID.IM

Ensaiar contingência manual segura e documentar divergência entre a sala de controle e as leituras em campo.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Sable Equipe de evidências	Transformou incerteza em teste	Documentou lacuna de evidência e propôs: Ensaiar contingência manual segura e documentar divergência entre a sala de controle e as leituras em campo.	Uma lição exige verificação futura mensurável.
Tamar Equipe de serviço	Ensaiou o controle alterado	Atribuiu responsável e data para testar: Ensaiar contingência manual segura e documentar divergência entre a sala de controle e as leituras em campo.	Item não testado não é melhoria verificada.
Umber Equipe de decisão	Fechou registro de decisões	Aprovou recursos, acompanhou o responsável e verificou depois o controle.	O aprendizado deve alimentar Governar, Identificar e Proteger.

Critério de aceitação da recuperação

Medições independentes coincidem com a faixa aprovada do processo e os operadores aprovam o retorno controlado.

Melhoria a verificar

Ensaiar contingência manual segura e documentar divergência entre a sala de controle e as leituras em campo.