A segurança da fábrica, como a conhecíamos, mudou. Durante décadas, os Sistemas de Controle Industrial (ICS, responsáveis por monitorar desde usinas de energia a refinarias) operaram isolados, utilizando hardwares e protocolos próprios, sem conexão com a internet.
Com a
O risco da ‘fábrica conectada': TI vs. OT
O grande perigo reside em tratar a rede da fábrica, chamada de Tecnologia Operacional (OT), como se fosse a rede do escritório (TI). O Guia de Segurança de Sistemas de Controle Industrial (ICS) ou “Guide to Industrial Control Systems (ICS) Security” publicado pelo Instituto Nacional de Padrões e Tecnologia (NIST) dos Estados Unidos, insituição de referência global no assunto, explica que as prioridades são opostas.
Na TI (escritório), a prioridade é a confidencialidade dos dados. Em um ICS (Sistema de controle industrial), o foco absoluto é a saúde e segurança da vida humana e a disponibilidade da produção. Uma parada inesperada para atualização, ou um simples “reboot”, é inaceitável.
Esses sistemas industriais também possuem ciclos de vida longos, de 10 a 15 anos ou mais, diferentemente dos computadores de escritório que são substituídos a cada 3 ou 5 anos. Na prática, máquinas antigas estão sendo conectadas a redes modernas, muitas vezes sem a devida proteção.
Os riscos envolvidos em um ataque a essas redes passam por:
- Danos à saúde e segurança da vida humana ou ao meio ambiente.
- Mudanças não autorizadas em comandos ou alarmes, podendo danificar ou desligar equipamentos.
- Envio de informações falsas aos operadores, fazendo com que tomem ações erradas.
- Infecção por malware, como o que ocorreu na usina nuclear Davis-Besse, que em 2003 teve seu sistema de monitoramento de segurança desativado por 5 horas.
O cenário brasileiro: regulação avança, mas PMEs preocupam
O Brasil se movimenta para proteger suas infraestruturas. Em setembro de 2022, o governo federal aprovou o Plano Nacional de Segurança de Infraestruturas Críticas (PlanSIC), coordenado pelo Gabinete de Segurança Institucional (GSI).
Contudo, um relatório de 2023 do Centro Global de Capacidade de Segurança Cibernética (GCSCC) sobre o Brasil nota que muitos elementos do PlanSIC ainda não foram totalmente implementados. A regulação da cibersegurança ainda não cobre todos os setores de infraestrutura crítica.
Setores mais maduros, como o financeiro, regulado pelo Banco Central (BACEN), e o de telecomunicações, pela Agência Nacional de Telecomunicações (Anatel), são os que possuem regras mais claras.
A maior preocupação apontada no “Relatório de Maturidade 2023" são as pequenas e médias empresas (PME). Muitas PMEs utilizam serviços em nuvem, mas carecem de conhecimento para configurá-los de forma segura, gerando vulnerabilidades.
O que fazer: auditoria e ‘defesa em profundidade’
A solução começa com uma “Avaliação de Risco” (ou auditoria). Essa análise deve, obrigatoriamente, levar em conta os riscos à segurança física e operacional, não apenas aos dados.
A estratégia mais recomendada pelo NIST é a “defesa em profundidade”. A técnica arquitetônica mais eficaz para proteger um ICS é a
Essa separação é feita com firewalls e, idealmente, com uma “zona desmilitarizada” (DMZ). A DMZ funciona como uma “sala de espera” segura: dados da produção que o escritório precisa consultar (como relatórios de um servidor “Data Historian”) são colocados ali.
Dessa forma, o tráfego da rede corporativa nunca entra diretamente na rede de controle. Isso impede que um vírus no e-mail de um funcionário do escritório consiga “pular” para as máquinas e interromper a produção.
O SENAI prepara técnicos para auditar sistemas industriais de automação.
