Construindo Estratégia Robusta de Cibersegurança para Infraestrutura Crítica

Construindo Estratégia Robusta de Cibersegurança para Infraestrutura Crítica

Principais conclusões:

• Proteger infraestrutura crítica permanece prioridade máxima, ainda muitas organizações ainda atrasadas em prontidão de ciberdefesa.
• COVID-19 expandiu definição de "crítico" para incluir setores como manufatura de EPI, logística e processamento de alimentos, forçando reassessment de sistemas essenciais.
• Organizações devem mudar de medidas reativas para postura proativa de cibersegurança, especialmente em meio a ameaças cibernéticas crescentes e operações remotas aumentadas.

Preocupação pública sobre ciberataques em rede elétrica, represas, sistemas de votação e outra infraestrutura federalmente designada está crescendo. Ainda, como Sean Peasley da Deloitte nota, a maioria das firmas de tecnologia operacional (OT) ainda mantém apenas programas nascentes de cibersegurança.

Historicamente, "infraestrutura crítica" referia-se a obras públicas como transporte e utilities. Nas últimas décadas, escopo se ampliou para abranger saúde, energia, manufatura e mais. Kieran Norton da Deloitte destaca que pandemia revelou amplitude ainda maior, com fabricantes de EPI, firms de logística, celulose & papel e frigoríficos agora reconhecidos como essenciais.

Embora muitas organizações OT ostentem décadas de experiência em gestão de risco tradicional, cibersegurança é foco relativamente novo. Andrew Howard, CEO da Kudelski Security, observa que segurança OT tipicamente fica 10-15 anos atrás de TI.

Segundo IBM X-Force Threat Intelligence Index 2020, ataques a sistemas de controle industrial surgiram em 2019, superando volume combinado dos três anos anteriores. Incidentes de alto perfil incluem ransomware na Honda, utility de energia de Taiwan, instalação de gás natural nos EUA, abastecimento de água de Israel e breach de rede interna da NTT.

Avaliação de Risco: Imperativo Contínuo

Sem risco mensurável, melhoria estagna. Muitas entidades de infraestrutura crítica lutam para manter inventário de ativos preciso devido a ambientes diversos, complexos e escassez de especialistas em cibersegurança OT.

Avaliações iniciais de risco devem quantificar ameaças, vulnerabilidades e consequências potenciais, focando em senhas compartilhadas, sistemas não corrigidos, hardware/software third-party e firewalls permissivos. Tais avaliações podem revelar listas extensas de remediação, requerendo priorização baseada em severidade e facilidade de correção.

Varredura ativa de rede pode desestabilizar sistemas de controle, então abordagem cautelosa e colaborativa com operações é essencial. Monitoramento passivo oferece menos intrusão mas pode perder insights críticos. Debate reflete choque entre preferência de TI por varredura ativa e postura risk-averse de OT.

Priorização de remediação deve ponderar tanto severidade de risco quanto esforço de remediação. Como Miklovic nota, interfaces de fronteira — protocolo ou físicas — frequentemente representam elo mais fraco, com drives USB ponto comum de breach. Embora correções rápidas (ex: selar portas USB) sejam importantes, abordagem risk-based balanceada é mais efetiva.

Joe Saunders da RunSafe recomenda matriz 2x2 para avaliar probabilidade de vulnerabilidade versus severidade de impacto, permitindo perfil de risco matizado para cada sistema.

Novos Riscos no Novo Normal

Pandemia acelerou trabalho remoto, complicando segurança para sistemas de produção. Funcionários agora usam VPNs para modificar controles de produção de casa, prática anteriormente incomum. Fornecedores third-party também podem receber acesso remoto, elevando exposição adicional.

Desafios de largura de banda, scaling e implantação frequentemente acompanham conectividade remota aumentada. Simultaneamente, planos de contingência tradicionais que dependem de presença física e processos manuais são agora menos confiáveis.

Para adaptar, organizações de infraestrutura crítica devem considerar redesign holístico de arquitetura de tecnologia, incorporando controles de segurança mais próximos aos ativos.

Movendo para Cibersegurança Proativa

Objetivo é substituir processos incrementais e manuais por postura proativa que antecipa ameaças e se adapta continuamente.

Componentes-chave de política de segurança robusta incluem:

• Equipamentos & Dispositivos — proteger controladores industriais legados, sensores IoT, gateways e laptops corporativos. Entender contexto de dispositivo é essencial.
• Redes & Usuários — impor controles de acesso rigorosos, implantar policy engines dinâmicos e investir em detecção de breach.
• Dados — classificar e descobrir dados para determinar níveis apropriados de proteção.
• Workflows & Supply Chain — proteger processos, impor conformidade de contratados e proteger contra ataques de supply chain.
• Desenvolvimento de Software — incorporar segurança throughout SDLC para garantir deployments resilientes.

Balancear prevenção, detecção e resposta é crucial. Matt Selheimer da PAS Global recomenda alocar 50% de esforço para prevenção e 50% para detecção e recuperação. Norton enfatiza que capacidades de resposta são tão vitais quanto controles preventivos.

Frameworks e Modelos de Maturidade

Organizações podem alinhar com frameworks estabelecidos como ISO 27002, ISA/IEC 62443 e Cybersecurity Maturity Model Certification (CMMC) do Department of Defense. CMMC fornece modelo de maturidade de cinco tiers, de higiene básica (Nível 1) a otimização avançada (Nível 5). Requisito do modelo para auditorias third-party promove objetividade e accountability.

Automação e Segurança Embarcada

Monitoramento impulsionado por machine learning pode automatizar tarefas rotineiras como detecção de breach. Segurança embarcada em dispositivos resource-constrained oferece proteção intrínseca e visibilidade de ativos.

No entanto, automação prematura sem política sólida pode gerar falsos positivos. Como Selheimer nota, fine-tuning de regras de firewall e correlação SIEM é essencial para reduzir ruído.

Devido à paisagem única de infraestrutura crítica, automação off-the-shelf pode requerer customização. Norton sugere isolar sistemas sensíveis e aplicar orquestração para preencher lacunas de automação.

Em última análise, ameaças evoluirão rapidamente. Manter-se proativo significa ajustar continuamente a postura cibernética para refletir riscos emergentes e tendências da indústria.

Para mais insights da indústria, registre-se para evento virtual IoT World em 11-13 agosto, com soluções IoT, IA, 5G e edge em verticais. Registre-se hoje.