Princípios de segurança por design são vitais no modo de crise

“Se você não planejar, você está planejando falhar. ” —Provérbio moderno

Com tanto foco nas interrupções de curto prazo do COVID-19, tem havido menos discussão sobre suas ramificações de longo prazo para a adoção de tecnologia.

Um cenário provável é que a pandemia conduza a um aumento de longo prazo na automação e gerenciamento remoto de ativos que variam de máquinas industriais a sistemas de aquecimento, ventilação e ar condicionado (HVAC) e cadeias de suprimentos. Na área da saúde, é provável um aumento de longo prazo na assistência virtual e na telessaúde. Embora muitas organizações com pressões de orçamento tenham suspendido as operações, a pandemia abrirá o caminho para que organizações mais bem posicionadas automatizem processos.

No início de março, as empresas começaram a repensar os processos de negócios e outras operações depois que a Organização Mundial da Saúde classificou o COVID-19 como uma pandemia. Obviamente, houve um “grande aumento nos usuários relatados do Slack e do Microsoft Teams para colaboração”, disse Chris Kocher, diretor administrativo da Gray Heron, uma empresa de consultoria de gestão. Os fornecedores de teleconferência também obtiveram ganhos rápidos. “O Teladoc para telessaúde também teve um grande crescimento”, acrescentou Kocher.

[ Mundo IoT é o maior evento de IoT da América do Norte, onde estrategistas, tecnólogos e implementadores se conectam, colocando IoT, IA, 5G e borda em ação em todos os setores da indústria. Reserve sua passagem agora. ]

O acesso remoto a sistemas de controle industrial (ICS) também aumentou recentemente, após uma queda nos últimos anos, de acordo com dados do Shodan. Só nos EUA, existem agora cerca de 50.000 dispositivos ICS conectados à Internet. O uso de protocolo de desktop remoto, que permite aos usuários do Windows gerenciar estações de trabalho ou servidores remotamente, também aumentou, depois que o protocolo começou a cair em desuso no final de 2019 como resultado de vulnerabilidades de segurança.

Muitas organizações industriais já têm “monitoramento remoto de nível básico implementado”, disse Yasser Khan, CEO da One Tech. Essas capacidades relativamente simples eram suficientes quando os trabalhadores ainda podiam inspecionar as máquinas pessoalmente. Mas, como muitas instalações foram reduzidas a equipes mínimas, suas prioridades mudaram. Os gerentes de fábrica estão cada vez mais procurando “determinar como podem obter mais informações sobre a integridade de suas máquinas, remotamente”, disse Khan.

Muitas organizações também estão repensando o planejamento de recuperação de desastres, de acordo com Nitin Kumar, diretor executivo da Appnomic. “Freqüentemente, o que acontece quando um desastre natural ou um vírus de computador atinge uma organização e seus sistemas caem, você muda para uma espécie de modo manual”, disse Kumar. “Os negócios continuam, mas em um ritmo mais lento.” Mas COVID-19 não é um desastre normal. “Agora, sua capacidade manual e de demanda foram atingidas e a capacidade do seu sistema está obstruída ou inacessível. Portanto, você precisa de mais sistemas ou automação - não de mais pessoal. ” As organizações que podem expandir a automação provavelmente o farão ao repensarem seu planejamento de recuperação de desastres e planejamento de continuidade de negócios.

A difusão da conectividade e da automação não é nenhuma novidade, é claro. Em 2016, o guru da segurança Bruce Schneier observou que a intervenção humana é cada vez mais desnecessária. “A Internet agora sente, pensa e age”, escreveu ele. “Estamos construindo um robô de tamanho mundial e nem mesmo percebemos isso.” Schneier concluiu que é vital considerar o que ele chamou de "um novo robô que abrange todo o mundo".

Embora a função social do software esteja se expandindo por décadas, as ramificações de segurança de um mundo com dispositivos amplamente automatizados ou semiautomatizados habilitados para IoT podem ser profundas. “Os computadores têm um poder tremendo para ajudar nossas vidas e torná-las melhores, mas quanto mais complexo o sistema, mais coisas podem dar errado”, disse Kate Stewart, diretora sênior de programas estratégicos da Linux Foundation. “Temos que tentar descobrir como entender o que pode dar errado, mitigar os danos e aumentar a confiabilidade do software.”

S ecure by Design

Os conceitos tradicionais de cibersegurança, como segurança desde o projeto, às vezes caem no esquecimento quando as organizações estão em modo de resposta a crises. O COVID-19 “tornará a adesão aos princípios de segurança desde o projeto um desafio”, disse John Loveland, chefe global de estratégia de segurança cibernética da Verizon. “Todo mundo está se movendo muito rapidamente.” À medida que as organizações se movem para expandir os recursos de automação e trabalho remoto durante a crise, é mais provável que cometam erros. “Você não pode deixar que a tecnologia ou os novos processos de negócios ultrapassem a segurança por trás deles. Você precisa garantir que sua equipe de segurança interna participe de todas as decisões que você tomar em relação a novas tecnologias, processos ou formas de trabalhar. ”

Os especialistas recomendam levar a segurança em consideração o mais cedo possível, ao planejar implementações de tecnologia. “Certifique-se de trazer as partes interessadas, os negócios e também os operadores nas discussões de segurança,” recomendou Bob Martin, co-presidente do Grupo de Tarefa de Confiabilidade de Software no Industrial Internet Consortium.

“Você precisa considerar [a segurança] como um dos principais aspectos de qualquer solução e, como as fundações de uma casa, todo o resto é construído em cima disso”, disse Andrew Jamieson, diretor de segurança e tecnologia da UL. As organizações que negligenciam a construção de uma base correta correm o risco de reconstruí-la ou “pelo menos gastam muito tempo e esforço consertando algo que poderia ter sido remediado com muito mais facilidade no início”, disse Jamieson.

Ainda assim, é improvável que os princípios de segurança desde o projeto ocupem o topo da lista de prioridades à medida que as organizações mudam abruptamente para o trabalho remoto, o controle remoto de ativos e, possivelmente, a expansão dos recursos de automação. “Esse é realmente um grande problema de segurança, mesmo quando se usa tecnologias seguras, porque não há tempo para aplicá-las com segurança”, disse Frank Hißen, um consultor de segurança independente.

Os princípios de segurança por design geralmente incorporam uma variedade de peças de hardware e tecnologia. Montá-los pode ser uma espécie de quebra-cabeça. “Às vezes, os fornecedores que vendem as‘ peças do quebra-cabeça ’” que constituem uma implantação carecem de medidas de segurança adequadas, disse Chris Catterton, diretor de engenharia de soluções da One Tech. Expandir o escopo dos recursos de acesso remoto de uma implantação de IoT aumenta a necessidade de “incluir segurança nos pontos finais e também no nível do sistema, seja por meio da nuvem ou de sistemas locais acessados ​​por VPN”, disse Catterton.

F Descobrir e restabelecer o equilíbrio de segurança

Embora a integração de recursos de segurança em produtos e processos seja vital, não é possível prever todas as ameaças futuras possíveis. “Você nem sempre pode tomar decisões de design sobre segurança no início de um projeto e mantê-las válidas”, disse Jamieson.

Muitas vezes há uma tensão entre adicionar novos recursos ao software e garantir que ele seja mantido seguro para uso e protegido. “Existem muitos recursos que aparecem em nossos telefones celulares que travam aleatoriamente e as consequências, embora irritantes, não são fatais”, disse Stewart. “Estamos vendo cada vez mais o código aberto sendo usado em aplicativos onde, se o software não for confiável, pode prejudicar alguém.”

Em última análise, proteger os sistemas se resume em resiliência e agilidade. “Se você construir apenas para resiliência, terá problemas” quando surgirem novas vulnerabilidades de segurança ”, disse Jamieson. “Portanto, no mundo de hoje, você também precisa de agilidade:a capacidade de rapidamente alterar, corrigir, atualizar ou refatorar sistemas quando as coisas mudam.”

A agilidade na segurança também se conecta aos princípios de segurança por design. “Você precisa se preocupar com segurança desde o início, e essa abordagem de segurança precisa incluir aspectos de resiliência e agilidade”, disse Jamieson. “Se você não projeta para a segurança, está projetando para o fracasso.”