Avaliando a Segurança da Rede do Chão de Fábrica: Você Está Preparado?

Pode não ser prioridade, mas oficinas e fabricantes de médio porte precisam pensar em cibersegurança IT/OT, especialmente na fabricação de peças militares e de defesa. Os regulamentos já estão aqui. Você está pronto?

Basta comprar as máquinas e tecnologias de ferramentas mais recentes, como máquinas de 5 eixos, contratar e orientar aprendizes e novos torneiros, produzir peças e manter a manutenção em dia? Com sensores inteligentes e mais infraestrutura baseada em internet em uso agora pelos funcionários no chão de fábrica, há tanta tecnologia dentro e ao redor das máquinas e das salas de controle da maioria das oficinas.

A gestão de segurança agora é uma questão real e inclui gerenciar todos os sistemas e o comportamento dos funcionários. Para aquelas oficinas que fabricam peças para a indústria de defesa, a segurança é uma questão de conformidade prioritária com consequência real nos negócios.

"A praticidade hoje é que fabricantes de pequeno a médio porte estão operando em capacidade máxima, pedidos estão chegando, e o maior problema é encontrar e reter talentos – a maior restrição para colocar o produto para fora. Considerando todas as decisões que os fabricantes têm que tomar todos os dias, a cibersegurança não está alta no radar deles", diz Elliot Forsyth, vice-presidente de operações de negócios no Michigan Manufacturing Technology Center, em artigo para a Advanced Manufacturing.

Conversamos com especialistas do setor sobre o estado da segurança na manufatura atual – e para onde ela está indo.

Ataques Cibernéticos Industriais: Vazamentos de Dados, Ciberespionagem e Mais

A internet é uma ferramenta fantástica e um benefício para os negócios. Mas também é um local de atividade criminosa onde fraude, resgate, roubo e manipulação de sistemas acontecem com frequência.

A manufatura não foi poupada de problemas de segurança. Setores industriais, incluindo petróleo e gás e segmentos de infraestrutura crítica como usinas elétricas e nucleares, também estão tendo que reforçar sua segurança. Em 2018, empresas petroquímicas foram hackeadas na Arábia Saudita com a intenção de sabotar a operação e causar explosões.

Este é um caso extremo, claro, mas pode acontecer. A maioria dos incidentes de segurança visa informações financeiras e propriedade intelectual.

"É um espaço muito inseguro", diz John Livingston, CEO da Verve Industrial Protection. "A maioria dos fabricantes geralmente não tem conhecimento do problema ou não tem recursos internos [para lidar com isso]. ... De um lado, muitos dependem de serviços em nuvem e, no outro extremo do espectro, dependem de sistemas operacionais antigos em seus ambientes que não são corrigidos."

Em 2018, houve 352 incidentes de segurança na manufatura e 87 deles tiveram divulgação de dados confirmada, segundo o "Relatório de Investigação de Violação de Dados de 2019" da Verizon, um dos estudos mais abrangentes publicados anualmente.

"Pelo segundo ano consecutivo, ataques motivados financeiramente superam a ciberespionagem como principal motivo de violações na manufatura, e este ano por uma porcentagem mais significativa (diferença de 40%)", concluem os autores do relatório da Verizon. "Se isso fosse na maioria das outras verticais, não valeria a pena mencionar, pois o dinheiro é o motivo para a grande maioria dos ataques. No entanto, a manufatura experimentou um nível mais alto de violações relacionadas a espionagem do que outras verticais nos últimos anos."

Se o objetivo é produção de pico e fabricação de peças, não há dúvida de que a tecnologia desempenha um papel central em ajudar as empresas a atingir seus objetivos. Coletar e monitorar informações precisas da máquina está se tornando mais crítico para atingir o desempenho máximo.

Oficinas de trabalho geralmente estão conectadas à internet, e os aplicativos que os funcionários usam, incluindo e-mail, sites e aplicativos móveis, podem ser a abertura que os atacantes precisam para acessar informações de funcionários e da empresa ou propriedade intelectual. Esta informação pode incluir bibliotecas de especificações de peças que um fabricante de equipamento original (OEM) gostaria de manter fora das mãos dos concorrentes e que um governo não gostaria que outras nações tivessem.

"Os fabricantes devem realizar uma avaliação de risco de suas operações", diz Koushik Subramanian, consultor estratégico do Centro Nacional de Cibersegurança na Manufatura, em artigo para a Advanced Manufacturing. "O risco pode ser técnico – encontrado em máquinas, controles ou software, e também encontrado em pessoal, práticas e processos. O risco assume muitas formas diferentes, mas o mais comum é de ciberataques onde indivíduos ou grupos maliciosos tentam invadir sistemas aproveitando o elo mais fraco: as pessoas. É por isso que phishing e ransomware são tão populares e por que os ataques estão em tendência de alta."

Para oficinas menores, gerenciar computadores geralmente significa contratar empresas externas de tecnologia da informação, também conhecidas como empresas "TI", para ajudar. Para fabricantes de médio e grande porte, pode significar alguma forma híbrida de equipe de TI interna e ajuda adicional de empresas externas para as questões de tecnologia mais complexas.

"A maior parte da indústria está passando por esta fase de conscientização", diz Livingston. "Eles estão começando a entender que há um problema. Mas estão se perguntando: 'Como controlo o mundo que nunca foi realmente gerenciado como uma infraestrutura baseada em internet antes?'"

Agentes de Mudança: Normas, Financiamento Estatal e Serviços de Terceiros

O Instituto Nacional de Padrões e Tecnologia (NIST) é o órgão que regula infraestrutura crítica e cria as regras para as indústrias aeroespacial e de defesa. Em 2016, o NIST publicou a SP 800-171, que contém as regras para "Proteção de Informações Não Classificadas Controladas em Sistemas e Organizações Não Federais".

As normas têm controles de segurança rigorosos incluídos que podem afetar OEMs e subcontratados de defesa de todos os tamanhos. Se uma empresa não estiver em conformidade, provavelmente não poderá concorrer ao trabalho.

"Para a maioria dos fabricantes que não estão em infraestrutura crítica, perder um dia de produtividade por causa de um problema de segurança não é uma emergência nacional, mas prejudica seu resultado final", diz Scott Sawyer, diretor de tecnologia da Paperless Parts. "Onde isso realmente entra em jogo é propriedade intelectual. O Departamento de Defesa realmente se preocupa com esta área."

Está impactando fabricantes de todos os tamanhos.

"Até empresas de 100 a 200 pessoas estão lutando com isso", diz Sawyer. "De repente, eles têm que descobrir como vão se tornar conformes."

Como as empresas estão lidando? Algumas que tentam manter contratos ou atrair novos com a indústria de defesa estão trazendo consultores – e estão implementando programas de segurança. Economias estaduais e locais podem ser afetadas adversamente por esses tipos de regulamentos. Pode ser caro. Então, organizações estão oferecendo financiamento para ajudar as empresas a se tornarem conformes com normas de segurança através de parcerias de extensão de manufatura (MEP).

Para saber mais sobre os esforços do Departamento de Defesa e o NIST, assista a este vídeo.

São boas notícias para aqueles que estão por dentro da questão de segurança, mas a maioria dos fabricantes ainda está no escuro. Especialmente oficinas menores, explica Sawyer.

"Alguns têm uma falsa sensação de segurança. Acham que não estão em risco porque são pequenos e fora do caminho batido e sua localização física é rural, não têm muitos funcionários e mantêm um perfil de marketing baixo", diz Sawyer. "Mas, sabe, isso é exatamente, em certo sentido, o que poderia torná-los um alvo. Eles são um alvo mais fácil do que uma Lockheed Martin, Raytheon ou Northrop Grumman porque não têm a segurança."

Essas empresas maiores são alvos, mas também são muito mais sofisticadas no manuseio de especificações classificadas e segurança física, explica Sawyer. Sawyer saberia – ele trabalhou na indústria de defesa por vários anos antes de se mudar para a manufatura.

Empresas de defesa educam seus funcionários sobre não falar sobre trabalho quando saem da fábrica. Muitos são orientados a guardar o crachá de trabalho fora de vista quando saem. Mas mesmo esses esforços não impediram atacantes motivados de chegar a propriedades intelectuais importantes.

"Se você acredita na manufatura americana, e é patriota, parte disso deve incluir se importar com a peça de segurança da informação", diz Sawyer.

Como sua oficina está lidando com a segurança hoje? Está se preparando ou no modo "ignorância é felicidade"? Fale sobre isso no fórum. [registro necessário]