A Disponibilidade como o primeiro dos 3 eixos fundamentais da Cibersegurança Industrial

Nos passados dias 7 e 8 de outubro de 2014, responsáveis da área de negócio de High Availability da Logitek estiveram presentes no III Congresso Ibero-Americano de Cibersegurança Industrial. Neste evento, realizaram-se uma série de palestras relativas às tendências, desafios e futuro da Cibersegurança em ambientes Industriais e de Infraestruturas.

Uma das mensagens fundamentais como conclusão deste congresso é que o objetivo da cibersegurança é o de garantir a disponibilidade, integridade e confidencialidade dos sistemas de informação, bem como das próprias infraestruturas que suportam a prestação de serviços amplamente utilizados ou que gerem informação classificada ou sensível para os interesses ‘nacionais’.

Para tal, é importante definir umas prioridades e um plano de ação sobre as denominadas Infraestruturas críticas: serviços essenciais para o funcionamento da sociedade.

Os Planos Setoriais

Em Espanha, o Centro Nacional para a Proteção das Infraestruturas Críticas (CNPIC) acaba de aprovar os cinco Planos Setoriais (PES) que abrangem os setores da energia (eletricidade, gás e petróleo), o nuclear e o financeiro.

Encontrando-se numa fase prévia outros sete Planos Setoriais correspondentes aos setores de Transporte (aéreo, marítimo, rodoviário e ferroviário), Água e Tecnologias da Informação e Comunicação.

Que procedimentos são seguidos nos Planos Setoriais – PES?

1. Definir os serviços essenciais de um setor
2. Definir o funcionamento dos mesmos
3. Estudar quais são as vulnerabilidades e ameaças do sistema
4. Calcular as possíveis consequências potenciais da inatividade de algum deles

No último capítulo, são recolhidas as medidas a adotar do ponto de vista técnico e organizativo: estão dirigidas a gerir as capacidades operacionais de resposta dirigidas à prevenção e à reação e a mitigar as consequências caso se pudessem produzir os diferentes cenários identificados.

Alguns setores

Os seguintes são exemplos em setores de Gás e Petróleo:

• Plano Setorial Gás: o principal objetivo é que se garanta a continuidade do serviço, por isso, foi determinada a obrigatoriedade mínima da assistência mínima do fornecimento durante 20 dias e a diversificação para optar e fazer chegar o gás a todo o território nacional. É um setor importante pela forte dependência de Espanha relativamente ao estrangeiro.
• Plano Setorial Petróleo: ênfase no fornecimento e armazenamento pela dependência espanhola do exterior.

Sobre as palestras: Um caso real de uma empresa de Petróleo

Uma das palestras que mais chamou a atenção foi o caso real de uma empresa de petróleo que explicou, de forma geral, o seu percurso na carreira da Cibersegurança, tanto desde o ponto de início, a evolução e o plano de trabalho desde o minuto zero em que a Cibersegurança começou a ser um tema a ter em consideração.

Como começou tudo?

Tudo começou durante uma reunião do departamento de OT (Operations Technology Department) na qual, um dos membros lançou uma pergunta: o que estamos a fazer em torno da segurança dos sistemas a nível industrial? Estamos preparados para enfrentar um ciberataque? A partir daqui e desde 2009, algo que para eles era um termo totalmente desconhecido, começou a tomar maior importância.

O principal para eles é sempre a segurança e a integridade das pessoas (SAFETY) sob três princípios fundamentais da cibersegurança: a disponibilidade, a integridade e a confidencialidade.

Que importância tem a disponibilidade?

Dentro dos objetivos de uma política de cibersegurança encontra-se o de assegurar a continuidade dos serviços e isso só se pode conseguir com as estratégias adequadas, baseadas em soluções de alta disponibilidade.

Por onde começar?

Alguns dos passos que tiveram de dar são:

• Passo 1: Inventário de ativos (inclui dispositivos e pessoas)
• Passo 2: Prioridades
• Passo 3: Definição de arquiteturas seguras.

Sobre o plano de trabalho, destaca-se a importância do registo de incidências, uma estreita relação com os fornecedores, verificações internas do plano, divulgação do plano a nível corporativo, criação de manuais de procedimentos, estratégias de cópias de segurança, etc.), verificações de detalhe, integração de comités IT-OT, análise de vulnerabilidades, medições mediante o uso de indicadores. Prevenção de intrusos.

Alguns dos fatores chave neste processo:

1. Defesa em profundidade. Mínimo privilégio (muito importante, é preciso defini-lo ao início).
2. IT-OT: sinergias. Visão empresarial. Aprender dos dois mundos. Relacionar a segurança com os objetivos da empresa. Não são os mesmos riscos e muito menos as mesmas consequências. Sempre visão empresarial IT-OT unidos.
3. Fornecedores: contar sempre com o seu apoio. Ter sempre um fornecedor colaborador e sempre disposto a ajudar. A realidade tem-na o cliente. Nem todas as ferramentas servem o cliente final.

O mais importante de tudo:

• Alinhamento com a estratégia da empresa. Criar consciência (as pessoas são importantes)
• Estabelecer lineamentos claros, mas flexíveis.
• Estar sempre atento ao ambiente (sempre informados, tendências)
• Monitorização contínua dos seus riscos. Fazer verificações anuais.
• Rastreabilidade: em segurança da informação tudo deve ser rastreável.
• Criar um comité de segurança. O líder pode ser o de Segurança da Informação e OT participa nas reuniões. O responsável pode ser IT, mas OT tem o seu representante.

Conclusão (do ponto de vista da Disponibilidade)

Da assistência a este congresso, concluímos que a disponibilidade é um conceito que desempenha um papel fundamental na “carreira da cibersegurança industrial”.

Uma das grandes diferenças entre cibersegurança IT e cibersegurança OT é que as prioridades são distintas. Para Ciber IT, as prioridades são: CIA (Confidentiality, Integrity, Availability), por sua vez, para Ciber OT as prioridades são AIC (Availability, Confidentiality, Integrity).

Por isso, cumprir com estas prioridades no nosso mundo OT, é necessário conhecer os métodos e estratégias que têm à vossa disposição para assegurar a disponibilidade dos sistemas que fazem parte de um processo automatizado: servidores, estações de operação e dispositivos de automatização (PLCs, SCADAs, HMIs, Robots).

Entre estes métodos encontramos:

• A nível de servidores: servidores tolerantes a falhas com disponibilidade contínua de 99,999%
• A nível de estações de operação: uso de clientes leves que permitam um nível de segurança superior (por exemplo, desabilitar os USBs) juntamente com uma ferramenta de gestão que permita, entre outros, a ocultação de credenciais de utilizador.
• A nível de cópias de segurança: utilização de ferramentas que vos permitam ter, de forma automática, um repositório central seguro dos programas e configurações dos vossos dispositivos de automatização (PLCs, SCADAs, HMIs, Robots, Variadores, etc.), assegurando a rastreabilidade e um plano de contingência em caso de desastre (….ciberataque).