O que inclui uma avaliação de riscos na rede OT?

Em 2015, a rede elétrica da Ucrânia foi atacada por um “malware” chamado BlackEnergy. É considerado o primeiro ciberataque contra uma rede elétrica que resultou num apagão da mesma. O BlackEnergy foi implementado na rede elétrica com o objetivo de atacar o ICS (industrial control system) da rede. Desativou o software de controlo e impediu o seu reinício. O apagão afetou cerca de 200.000 utilizadores durante várias horas.

Atualmente, as fábricas industriais em todo o mundo controlam as suas redes OT de forma automatizada. Ao mesmo tempo, tentam ter cada vez maior visibilidade dentro das operações da fábrica, melhor coordenação e interoperabilidade e mais automatização. Mas a realidade é que as redes OT de muitas destas fábricas – fábricas de produtos químicos, centrais de produção de energia, etc. – não estão mais bem protegidas do que estava a rede elétrica da Ucrânia em 2015.

O problema começa com a diferença de critério entre os designers e operadores da rede OT e os seus homólogos da rede IT. Inicialmente, a rede OT foi concebida para otimizar a eficiência e a produtividade, mantendo a segurança dos trabalhadores. Não se tinha em conta a segurança dos dados. Tinha toda a lógica, uma vez que a maioria destas redes OT estavam isoladas do resto das redes da fábrica: não existia um incentivo para as conceber com um critério de segurança.

A convergência entre OT e IT aumentou a capacidade de infiltração dos hackers. Agora existem novas vias para aceder aos sistemas de uma empresa, parando fábricas inteiras. Isto provoca não só danos nas operações, mas também na reputação destas empresas.

I Avaliação de riscos OT: A chave para a segurança da sua rede OT

Atualmente, muitas empresas estão a dar-se conta de que têm um problema de segurança na sua rede OT. Um bom primeiro passo para identificar o alcance do problema é realizar uma avaliação de riscos de cibersegurança na sua rede OT. Desta forma, vêm à luz as vulnerabilidades da rede OT e pode determinar-se um plano de ação com medidas corretivas.

Esta avaliação deve consistir, no mínimo, em:

1. Identificação dos ativos de OT. Todo o hardware, software e dispositivo conectado à rede é identificado e caracterizado, juntamente com qualquer interconexão ou ponto de integração entre as redes de OT e IT.
2. Avaliação de vulnerabilidades. Todos os ativos são analisados para identificar as suas vulnerabilidades de segurança. A análise cobre: sistema operativo, aplicações, protocolos de comunicação, interfaces de hardware, etc.
3. Padrão de ameaças. É feita uma comparação entre as vulnerabilidades detetadas e as ameaças e “malwares” conhecidos. Com isto, consegue-se uma avaliação dos cenários possíveis de ciberataque.
4. Avaliação de riscos geral. As vulnerabilidades e a avaliação de ameaças proporcionam a avaliação de riscos geral, que enfatiza onde se encontram os maiores riscos. Assim, permite a criação de um plano de ação com as prioridades definidas.

Quando se fala de uma avaliação de riscos em redes OT, não existe uma solução única para tudo: cada indústria (energia elétrica, fabricação por processos, energia renovável, água potável, etc.) tem diferentes características e, por conseguinte, a avaliação de riscos é realizada de acordo com a instalação em concreto.

I Plano de gestão de riscos da rede OT

O resultado da avaliação de segurança deve ser um plano de ação, priorizado de acordo com o risco, que a empresa deve levar a cabo para se proteger a si própria. Mesmo assim, estas ações não se devem limitar exclusivamente a mitigar vulnerabilidades imediatas. A segurança na rede OT é um processo contínuo que inclui:

• Gestão de ativos do ICS. Um sistema de gestão de ativos faz o acompanhamento do ICS, dos seus componentes e do seu nível de segurança, e identifica novos componentes na rede. Desta forma, os supervisores têm acesso imediato à informação sobre segurança da sua rede OT.
• Monitorização da rede OT. Da mesma forma que na rede IT, os sistemas de monitorização de redes OT protegem o ambiente de operações, identificando possíveis ataques e alertando o pessoal de supervisão.

I Aconselhamento profissional para a avaliação de segurança OT

Uma avaliação de riscos em OT não é um projeto que se possa realizar internamente. Na maioria dos casos, a rede de OT pertence ao pessoal de operações, que também realiza a sua manutenção. Este perfil carece dos conhecimentos necessários para realizar a avaliação.

A Logitek dispõe de uma plataforma industrial de avaliação de riscos automatizada (CIARA) precisamente com este objetivo: ajudar o pessoal encarregado da segurança e estabilidade da rede OT a realizar estas avaliações. Como primeira plataforma de avaliação de riscos baseada na normativa ISA/IEC 62443, a CIARA é uma ferramenta completamente automatizada para recolha de informação de ativos, análise e cálculo do risco, incluindo uma pontuação de referência baseada em zonas geográficas e setores industriais.

Na Logitek, acreditamos que, para assegurar as suas operações, o passo mais importante é realizado antes de uma ameaça ter sido identificada. Não se pode proteger a rede OT se não virmos o que se passa nela e não se pode gerir a sua segurança se não soubermos qual é o seu estado real.

A Logitek dispõe de uma equipa de especialistas em cibersegurança que vos podem ajudar a conhecer o vosso nível de risco em cibersegurança e a aconselhar-vos com as soluções mais adequadas para proteger as vossas operações.