Cibersegurança em sistemas de automação: por que proteger a operação é essencial
A digitalização vem transformando a forma como postos, bases e outras operações do setor de combustíveis monitoram e controlam seus processos. Equipamentos, sistemas de automação, redes e plataformas de gestão podem trabalhar de forma integrada, aumentando a disponibilidade de informações e contribuindo para uma operação mais eficiente.
Essa conectividade, porém, também exige atenção à cibersegurança.
Em ambientes de tecnologia operacional (OT), os sistemas não lidam apenas com informações digitais: eles podem monitorar ou controlar equipamentos e processos físicos. Por isso, segurança, confiabilidade, disponibilidade e segurança operacional precisam ser consideradas em conjunto. O NIST, referência internacional em tecnologia e segurança, dedica sua publicação SP 800-82 especificamente à proteção de sistemas OT e de controle industrial.
O que é cibersegurança em sistemas de automação?
A cibersegurança aplicada à automação busca reduzir os riscos associados ao acesso, comunicação e operação dos sistemas digitais que fazem parte de um processo automatizado.
Isso inclui equipamentos, redes, softwares, dispositivos de controle e outros componentes que podem estar conectados à infraestrutura de uma operação.
A ISA/IEC 62443, uma das principais referências internacionais para segurança de sistemas de automação e controle industrial, estabelece requisitos e processos para implementar e manter sistemas de automação eletronicamente seguros. A norma adota uma abordagem que integra tecnologia, operação e segurança ao longo do ciclo de vida dos sistemas.
Quais são os principais riscos?
Não existe uma única ameaça ou vulnerabilidade que possa ser aplicada a todas as operações. Os riscos dependem da arquitetura, dos equipamentos utilizados, das conexões existentes e da forma como os sistemas são administrados.
Entre os pontos que merecem atenção estão:
Acessos não autorizados
Contas, credenciais e conexões remotas precisam ser administradas de maneira adequada. O controle de quem pode acessar determinado sistema é uma das medidas fundamentais para reduzir riscos.
A CISA recomenda, entre outras práticas, o controle e monitoramento das conexões remotas utilizadas em ambientes de sistemas de controle industrial.
Redes e sistemas conectados
A integração entre diferentes sistemas pode trazer ganhos operacionais, mas também exige uma arquitetura de rede adequada.
A CISA recomenda a utilização de segmentação de redes e arquiteturas com múltiplas camadas para sistemas de controle industrial, buscando limitar a exposição dos componentes mais críticos.
Vulnerabilidades e sistemas desatualizados
Equipamentos e softwares precisam fazer parte de um processo contínuo de gerenciamento e manutenção. Entretanto, em ambientes de automação, atualizações devem ser planejadas considerando os requisitos de disponibilidade, confiabilidade e segurança do processo.
O NIST destaca justamente que sistemas OT possuem características diferentes dos ambientes tradicionais de tecnologia da informação e que medidas de segurança precisam considerar esses requisitos específicos.
Falta de monitoramento
Conhecer os ativos conectados e acompanhar suas condições é importante para identificar comportamentos ou situações que possam representar riscos.
Entre as recomendações da CISA está manter um inventário dos ativos de ICS, incluindo hardware, software e infraestrutura de suporte, além de estabelecer procedimentos de segurança e resposta a incidentes.
Falta de preparação para incidentes
Mesmo com medidas preventivas, uma estratégia de segurança também precisa considerar a possibilidade de incidentes.
Por isso, procedimentos de resposta e recuperação devem fazer parte do planejamento. A CISA recomenda desenvolver e praticar procedimentos de resposta a incidentes que integrem as equipes responsáveis por TI e OT.
Boas práticas começam antes da instalação
A segurança de um sistema de automação não deve ser tratada apenas como uma etapa posterior à implantação.
A abordagem recomendada pelo NIST e pela ISA/IEC 62443 considera a segurança ao longo do ciclo de vida dos sistemas, envolvendo desde o planejamento e projeto até a operação e manutenção.
Na prática, isso significa considerar aspectos como:
- controle de acesso aos sistemas e equipamentos;
- segmentação adequada das redes;
- gestão de conexões remotas;
- inventário dos ativos tecnológicos;
- gestão de vulnerabilidades e atualizações;
- monitoramento dos ambientes;
- procedimentos de resposta e recuperação;
- capacitação das equipes;
- avaliação dos requisitos de segurança durante a aquisição de tecnologias.
Essas medidas não devem ser aplicadas de forma igual em todas as operações. O próprio NIST ressalta a importância de uma avaliação baseada em riscos, considerando as características e necessidades de cada ambiente.
Cibersegurança também faz parte da confiabilidade operacional
Para empresas que dependem de automação, proteger a infraestrutura digital está diretamente relacionado à capacidade de manter os sistemas funcionando de maneira confiável.
Por isso, cibersegurança não deve ser vista apenas como uma questão do departamento de TI. Em ambientes de tecnologia operacional, ela envolve também engenharia, manutenção, automação, operação e gestão.
Como destaca o NIST, a proteção de sistemas de controle exige considerar suas características específicas de desempenho, confiabilidade e segurança.
Tecnologia e segurança precisam evoluir juntas
A automação tem um papel cada vez mais importante na gestão das operações de abastecimento. À medida que equipamentos e sistemas passam a trabalhar de forma mais integrada, a preocupação com segurança deve acompanhar essa evolução.
Para o setor de combustíveis, isso significa buscar soluções de automação desenvolvidas com foco em confiabilidade, controle e disponibilidade, além de adotar processos adequados de segurança na infraestrutura que conecta esses sistemas.
Na Excel Fueling Technologies, tecnologia e automação fazem parte da nossa atuação no setor de abastecimento. Em um cenário cada vez mais conectado, entendemos que evoluir tecnologicamente também significa considerar os desafios relacionados à segurança, à confiabilidade e à continuidade das operações.
Porque uma operação mais conectada também precisa estar cada vez mais preparada.
Referências
NIST – National Institute of Standards and Technology: SP 800-82 Rev. 3 – Guide to Operational Technology (OT) Security. É a referência principal utilizada para os conceitos de OT, sistemas de controle, riscos e medidas de segurança.
CISA – Cybersecurity and Infrastructure Security Agency: recomendações de cibersegurança para Industrial Control Systems, incluindo segmentação de redes, conexões remotas, inventário de ativos e resposta a incidentes.
ISA – International Society of Automation: série ISA/IEC 62443, referência internacional para cibersegurança em sistemas de automação e controle industrial.