Os 10 mandamentos da cibersegurança
À medida que o acesso remoto, as iniciativas de transformação digital e os esforços de integração de sistemas em toda a empresa continuam a se expandir, a segurança cibernética é uma preocupação crescente. É por isso que os operadores devem se informar sobre as medidas que podem tomar para evitar uma violação.
A Indústria 4.0 e a Internet das Coisas Industrial (IIoT) abriram vastos horizontes de novas eficiências de produção para fabricantes de todos os tipos por meio de aquisição e análise de dados. No entanto, a adoção dessas tecnologias pode ser uma faca de dois gumes se não for implementada corretamente. Como o software e os dispositivos até o nível do sensor são cada vez mais transformados em potenciais gateways de rede, vulnerabilidades de segurança cibernética antes desconhecidas podem chegar a reboque .
Mais e mais empresas estão conectando sistemas de controle industrial (ICS) anteriormente isolados ao nível empresarial para permitir tudo, desde análise de dados de nível superior e acesso remoto a simulações digitais de gêmeos . Com o COVID-19 expandindo a necessidade de conexão remota , espera-se que essa tendência se acelere.
Essas conexões crescentes são parte do motivo pelo qual a última década viu uma explosão de preocupações com a segurança cibernética, com o mundo testemunhando ameaças a todos os setores imagináveis da indústria - de petróleo e gás e manufatura em geral a infraestrutura elétrica crítica .
Os agressores por trás dessas incursões vão desde criminosos organizados que tentam roubar propriedade intelectual ou informações pessoais para fins de extorsão; hacktivistas que visam destruir ativos essenciais e causar o caos para chamar a atenção do público; funcionários atuais e ex-funcionários descontentes; e até mesmo atores estrangeiros apoiados pelo Estado envolvidos em atividades de espionagem para fins políticos . E embora os ataques a infraestruturas críticas, como a rede elétrica ou instalações de tratamento de águas residuais, sejam mais comuns, a ameaça aos fabricantes também é real.
Embora os líderes da indústria, como a Kellog g, estejam investindo mais recursos para proteger sua rede e ativos e compartilhar seus insights, ainda resta muita incerteza. De acordo com uma pesquisa da Deloitte de 2019 com mais de 4.200 profissionais, quando questionados sobre o quão confiantes eles estavam de que os produtos, dispositivos ou outras "coisas" conectados de sua organização eram seguros, apenas 18% disseram que se sentiam muito confiantes, enquanto 51% disseram que estavam um tanto confiantes, 23% disseram que não tinham certeza e 8% disseram que não estavam nem um pouco confiantes.
Para as organizações que se enquadram nas últimas categorias, Ilan Shaya, CEO da ICS Security , uma empresa que desenvolve medidas de segurança para sistemas de controle industrial, recentemente compartilhou seus “10 mandamentos” de segurança cibernética durante a Conferência da Comunidade de Ignição da Inductive Automation.
Os "dez mandamentos" de Ilan Shaya para a segurança cibernética chegam em um momento em que o aumento do acesso remoto, a proliferação de sensores e a rede de planta para empresa estão criando preocupações sem precedentes sobre a segurança dos ativos das empresas.
Mandamento 1 : Shaya recomendou, em primeiro lugar, que os operadores devem identificar todas as conexões para sua rede de controle de supervisão e aquisição de dados (SCADA) e executar uma análise de risco completa de cada uma. Isso inclui redes locais internas e redes de longa distância, como redes comerciais, conexões com a Internet, dispositivos de rede sem fio, uplinks de satélite e até mesmo conexões dial-up e de modem onde ainda estão em uso.
Mandamento 2 : Além de verificar o nível de risco que cada conexão apresenta e tomar medidas para protegê-lo, Shaya aconselhou que os operadores se perguntassem se cada conexão é realmente necessária ou não para minimizar vulnerabilidades potenciais sempre que possível. Como cada conexão também cria um risco de segurança associado, as redes SCADA devem ser isoladas do nível corporativo tanto quanto possível. Nos casos em que há uma necessidade genuína de ICSs serem integrados à rede corporativa, uma zona desmilitarizada (DMZ) ou armazém de dados deve ser usado. Além disso, as conexões restantes devem ser submetidas a testes de penetração e análise de vulnerabilidade.
Mandamento 3 : Como os sistemas podem ser expostos a ataques por serviços de rede padrão, Shaya enfatizou que, além de limitar os pontos de acesso, os serviços de rede desnecessários também devem ser removidos ou desativados quando possível. “Os servidores e clientes SCADA não precisam de nenhum aplicativo ou software, mas da interface homem-máquina (HMI) e seus drivers e bancos de dados de linguagem de consulta estruturada (SQL)”, disse ele. “Portanto, não há necessidade de nenhum serviço ser executado, exceto o serviço HMI.”
Mandamento 4 : Depender de protocolos proprietários ou padrões de fábrica também pode ser inseguro, disse Shaya. Por exemplo, embora o Modbus seja frequentemente usado para conectar controladores lógicos programáveis (PLCs) de diferentes fornecedores, isso pode aumentar os riscos de segurança. Em vez disso, Shaya recomendou o uso de protocolos abertos como Profinet ou OPC UA. Além disso, ele observou que os usuários finais devem exigir que seu fornecedor divulgue quaisquer backdoors que possam permitir a interface de seu equipamento com o sistema SCADA.
Mandamento 5 : Em vez de considerar a segurança garantida, os proprietários do sistema SCADA devem insistir que seu fornecedor de sistema implemente recursos de segurança na forma de patches ou atualizações de produtos. Shaya observou que muitos sistemas não possuem medidas de segurança por padrão. No entanto, como alguns dispositivos SCADA mais novos agora incluem recursos básicos de segurança, os usuários finais devem perguntar ao seu fornecedor se eles podem comprar um dispositivo ou licença com recursos de segurança adicionais.
Mandamento 6: Controles fortes e medidas de autenticação devem ser estabelecidos em qualquer meio que possa funcionar como backdoor em uma rede SCADA. Com mais dispositivos móveis sendo usados para monitorar os processos da fábrica, os pontos de acesso sem fio estão aumentando. De acordo com Shaya, se esses dispositivos sem fio forem usados, precauções extras de segurança devem ser tomadas. Na verdade, ele recomendou não usar uma rede sem fio, a menos que seja absolutamente necessário. Se uma rede sem fio for necessária, o acesso de entrada deve ser desabilitado sempre que possível, pois nem todas as redes e dispositivos de controle industrial requerem tráfego de entrada e saída.
Mandamento 7: Auditorias completas devem ser conduzidas em todas as redes SCADA para eliminar os caminhos de menor resistência para hackers e outros atores malévolos. Depois que os problemas são identificados por meio de uma auditoria, todo o sistema deve ser testado novamente para garantir que sejam resolvidos. Shaya também aconselhou documentar cuidadosamente cada ponto de falha por meio de documentos como planilhas do Microsoft Excel e diagramas do Microsoft Visio para facilitar a exibição, organização e acessibilidade a todos os interessados.
Mandamento 8 : Como qualquer sistema SCADA pode representar um alvo para hackers, avaliações de segurança de sites físicos e remotos também devem ser realizadas. Com o acesso remoto abrangendo áreas cada vez maiores, é possível que até mesmo um único switch pequeno não gerenciado em um site distante possa ser explorado para obter acesso a um sistema. Conselho de Shaya: Realize uma pesquisa de segurança física além das auditorias de rede, crie um inventário de todos os pontos de acesso e elimine pontos únicos de falha. Os pontos de acesso à rede em tempo real em locais remotos e desprotegidos nunca devem ser permitidos simplesmente por conveniência.
Mandamento 9 : Processos de gerenciamento de configuração claros e eficazes devem ser estabelecidos pelo gerenciamento para hardware e software. “Mudanças no hardware ou software podem facilmente introduzir vulnerabilidades que prejudicam a segurança da rede”, disse Shaya.
Mandamento 10 : Embora o objetivo seja sempre prevenir quebras de segurança, caso elas ocorram, é essencial que as empresas tenham planos com antecedência para lidar com isso. Devem existir backups do sistema e os planos de recuperação de desastres devem incluir a potencialidade de um ataque cibernético. De acordo com Shaya, muito da abordagem de uma organização para isso pode depender de quanto tempo seu sistema pode permanecer offline. Por exemplo, se algum tempo de inatividade for aceitável, manter peças sobressalentes e servidores disponíveis pode ser uma solução viável. No entanto, no caso de um sistema não poder ser encerrado por um breve momento, servidores redundantes que podem funcionar localmente já devem estar no local para que os operadores possam responder imediatamente a uma crise sem qualquer ociosidade.
Comentários
Postar um comentário