A Logitek recebe o Troféu de Serviço em Segurança TIC do ano de 2016

A Logitek, patrocinadora Bronze do Centro de Cibersegurança Industrial (CCI) e membro da Rede Nacional de Laboratórios Industriais (RNLI), iniciativa promovida pelo INCIBE, recebeu o Troféu de Serviço em Segurança TIC do ano de 2016, atribuído pela revista redseguridad pelo seu serviço de “Auditoria e Análise de Vulnerabilidades de ambientes OT (Operation Technology) baseado em MAASERISv2.1: “Metodologia para a Análise, Auditoria de Segurança e Avaliação do Risco Operativo de Redes Industriais e Sistemas SCADA”.

Dentro do processo de melhoria contínua da cibersegurança industrial, surge sempre como primeiro passo ou etapa a necessidade de analisar e identificar os principais ativos e vulnerabilidades associados aos ambientes OT (Operation Technology) e realizar uma gestão e avaliação integral do risco operativo.

Para realizar esta análise e avaliação, é necessário contar com metodologias específicas que tenham em conta a idiossincrasia particular destes ambientes de operação.

A Logitek proporciona este novo serviço de auditoria e análise de vulnerabilidades associados aos ambientes OT, baseando-se numa metodologia desenvolvida internamente que se denomina MAASERISv2.1 (Metodologia para a Análise, Auditoria de segurança e Avaliação de Risco operativo de redes Industriais e sistemas SCADA).

Esta metodologia é um conjunto de processos, ferramentas e resultados que permitem:

• Analisar o estado atual de uma rede industrial do ponto de vista da segurança, dando especial ênfase à avaliação da disponibilidade.
• Facilitar uma análise aprofundada das principais vulnerabilidades associadas ao ambiente OT.
• Proporcionar uma avaliação quantitativa do risco operativo.
• Utilizar a informação recolhida para a correta definição de zonas, condutas e canais e a determinação dos seus níveis objetivo de segurança, segundo a norma IEC 62443/ISA99.
• Servir como documentação complementar e útil para o desenvolvimento dos PSO (Plano de Segurança do Operador) e os PPE (Plano de Proteção Específico) que a lei PIC (Proteção de Infraestruturas Críticas) exige em Espanha.

Por que é que este serviço é inovador?

1. Porque se apoia numa metodologia que cobre o espaço existente entre as metodologias de análise e gestão do risco estratégico e as melhores práticas específicas de análise de vulnerabilidades de um tipo de ativo ou grupo de ativos.
2. Porque ajuda a superar os desafios mais importantes que se têm de enfrentar na hora de realizar este tipo de intervenções em ambientes tão críticos e específicos como os vinculados aos setores industriais e/ou infraestruturas. Entre estes desafios encontram-se:

• Realizar a análise sem afetar a disponibilidade da rede industrial avaliada nem o correto funcionamento dos processos industriais (normalmente em funcionamento enquanto se realizam os testes necessários).
• Incorporar à análise todos os ativos e agrupamentos de ativos existentes no ambiente OT avaliado, independentemente do fabricante, versão ou grau de obsolescência.
• Obter informação suficiente acerca dos dispositivos OT envolvidos na análise com as configurações atuais da rede industrial e com ferramentas comumente utilizadas. Em muitos casos, foi necessário desenvolver ferramentas específicas para tecnologias e protocolos típicos em ambientes OT e que, além disso, não sejam intrusivas.
• Centrar a análise no risco operativo, ou seja, naquele vinculado ao funcionamento do ambiente OT, deixando para outras auditorias e análises o ambiente IT e o risco estratégico.
• Conseguir a colaboração das equipas de produção e sistemas durante o processo de auditoria, normalmente muito afastados deste tipo de análise.

3. Porque a sua utilidade já está a ser validada em numerosos projetos em clientes de diferentes setores em todo o território nacional.

4. Porque a metodologia foi avalizada pela comunidade científica ao publicar-se nas I Jornadas Nacionais de Investigação em Cibersegurança o seguinte artigo “Metodologia para a Análise, Auditoria de Segurança e Avaliação do Risco Operativo de Redes Industriais e Sistemas SCADA (MAASERISv2.1) – Autores: Fernando Sevillano e Marta Beltran Pardo” apresentado na quarta-feira, 16 de setembro de 2015, dentro da sessão “Cibersegurança e Indústria”.

MAASERIS define três áreas de análise; estabelece um ciclo de desenvolvimento de análise e auditoria e inclui uma série de resultados e dossiês.

Para mais informações sobre o serviço, pode contactar através deste formulário.