Apesar das estruturas existentes para proteger ambientes de tecnologia operacional (OT), os controlos de segurança cibernética muitas vezes facilitam ou são negligenciados durante as principais fases do ciclo de vida, como Teste de Aceitação de Fábrica (FAT), Teste de Aceitação de Local (SAT), manutenção de desligamento e serviços brownfield, aumentando a vulnerabilidade a ameaças cibernéticas, diz um recente artigo do World Economic Forum.
O relatório da CISA de 2022 destaca um aumento de 30% nos ciberataques aos sistemas OT, com mais de 800 incidentes. As conclusões da ENISA corroboram este facto, mostrando que 63% das infraestruturas críticas enfrentaram incidentes cibernéticos, 55% visando sistemas OT.
Nos primeiros meses de 2023, registaram-se ciberataques notáveis: um ataque de ransomware a uma central hídrica dos EUA em Janeiro do ano passado; uma perturbação da rede eléctrica europeia em Fevereiro; e a paragem operacional de uma empresa de transportes asiática em Março. Estes incidentes enfatizam a importância de uma cibersegurança rigorosa ao longo do ciclo de vida do sistema OT, especialmente em fases críticas
Riscos durante a fase FAT e controlos propostos
De acordo com o artigo do World Economic Forum, durante a FAT, uma fase crucial no ciclo de vida do sistema OT, o sistema é testado num ambiente controlado para confirmar a adesão aos requisitos de concepção.
No entanto, durante a FAT, os controlos de cibersegurança tornam-se frequentemente menos rigorosos, com ênfase principalmente nas especificações de concepção em detrimento da segurança, a menos que explicitamente incluídos no âmbito.
É crucial integrar controlos essenciais de cibersegurança de alto nível nesta fase para evitar a transferência de riscos ou ameaças para o local após a FAT. Esta abordagem proactiva é fundamental para manter uma segurança robusta durante todo o ciclo de vida do sistema.
Estes controlos incluem, mas não estão limitados a:
- Segurança da zona de preparação
As áreas de preparação, designadas para testes de sistemas antes da implementação, requerem medidas seguras para impedir o acesso não autorizado, evitando assim a introdução de malware ou outras ameaças nos ambientes de produção. - Pessoas
As pessoas são sempre o ponto mais fraco de qualquer sistema de segurança. É importante educar os funcionários sobre as melhores práticas de cibersegurança. Isto inclui formação sobre como identificar actividades de phishing, como lidar com informações sensíveis de projectos, como cumprir os requisitos de cibersegurança e como identificar e comunicar um incidente de cibersegurança.
- Listas de activos
Uma lista de activos é uma lista exaustiva de todos os activos de hardware e software utilizados num projeto específico. Esta lista é o principal pilar para detetar e compreender se ocorreram quaisquer alterações. A lista de activos contém informações sobre versões de firmware, sistemas operativos, endereços IP, endereços MAC, vulnerabilidades, o que foi corrigido e o que não foi, as últimas actualizações da segurança dos pontos finais, etc. A lista deve ser mantida e actualizada regularmente para garantir que todos os activos estão devidamente protegidos, bem como para permitir uma gestão eficaz das vulnerabilidades e dos patches.
- Controlos de acesso
Os controlos de acesso são essenciais para impedir o acesso não autorizado a informações e sistemas sensíveis. Isto inclui a implementação de políticas de palavras-passe fortes, autenticação multi-fator e outros mecanismos para garantir que apenas o pessoal autorizado pode aceder a áreas ou funções sensíveis. - Configuração segura
A configuração segura envolve a implementação das melhores práticas de segurança ao configurar sistemas de hardware e software. Isto inclui a desativação de serviços e portas desnecessários, a utilização de encriptação forte e a implementação de outras medidas de segurança para reduzir a superfície de ataque de um sistema. - Gestão de vulnerabilidades e patches
A gestão de vulnerabilidades e de correcções consiste em analisar regularmente os sistemas para detetar vulnerabilidades e aplicar correcções para resolver os problemas conhecidos. Isto é fundamental para evitar que os atacantes explorem vulnerabilidades conhecidas para obter acesso a informações sensíveis ou perturbar as operações.
Riscos durante a etapa SAT
Da mesma forma, a janela de manutenção SAT/desligamento e a etapa de serviços brownfield também representam um risco de cibersegurança para o sistema OT.
Durante esta etapa, o sistema é testado no seu ambiente real e quaisquer problemas são resolvidos. No entanto, estas etapas podem exigir que o sistema seja colocado offline e os controlos de cibersegurança podem ser relaxados para facilitar as actividades de manutenção.
Além disso, os contratantes terceiros podem não estar familiarizados com os controlos de cibersegurança do sistema, o que conduz a potenciais problemas de cibersegurança após a conclusão dos trabalhos de manutenção e quando o sistema/centro é novamente colocado online para retomar a produção. Isto pode resultar em dezenas de alterações não rastreáveis aos controlos de cibersegurança, que são desactivados ou contornados.
Para além dos controlos de alto nível mencionados durante a etapa FAT, é necessário implementar controlos adicionais durante a janela de manutenção SAT/desligamento e os serviços de manutenção de instalações industriais, devido ao ambiente dinâmico do SAT.
Estes controlos incluem:
- Integração do ambiente
Durante o SAT, o sistema é avaliado quanto à sua integração com os sistemas operacionais circundantes. Isto pode identificar vulnerabilidades que possam surgir devido a interacções com outros sistemas ou software.
- Integração de redes e firewalls
Como o sistema está agora no ambiente de rede pretendido, a SAT pode avaliar a forma como interage com firewalls, sistemas de detecção de intrusão e outras medidas de segurança de rede. Ele pode descobrir vulnerabilidades, como portas abertas que não deveriam estar abertas ou potencial para acesso não autorizado à rede. - Autenticação e autorização
Embora possam ser testados durante o FAT, durante o SAT são testados no contexto do ambiente operacional. Por exemplo, a forma como o sistema se integra com as soluções de gestão de identidade e acesso da empresa. - Testes da equipa vermelha/azul
Por vezes, as organizações podem optar por realizar testes de penetração mais agressivos (exercícios da equipa vermelha) durante o SAT para ver como o sistema resiste a ciberataques simulados no seu ambiente real. - Integração da resposta a incidentes
Durante o SAT, pode também testar a forma como os incidentes no sistema se integram no plano e nas ferramentas de resposta a incidentes da organização.
Como mitigar estes riscos
Para mitigar estes riscos, os utilizadores finais, instaladores, vendedores e fornecedores devem estabelecer e adotar um processo sólido de gestão de alterações que inclua documentação adequada, mecanismos de aprovação, testes e procedimentos de validação.
Este processo deve garantir que todas as alterações, incluindo as efectuadas durante os períodos críticos e de lacuna, sejam devidamente acompanhadas, avaliadas quanto às implicações de segurança e validadas antes da entrada em funcionamento do sistema.
Uma abordagem mais avançada e rigorosa consiste em designar um responsável pela cibersegurança para acompanhar e documentar todas as alterações efectuadas em diferentes fases.
