Estabelecer uma área de Tecnologia Operacional/IoT

Este artigo descreve a disciplina de Segurança OT/IoT. Foca-se no estabelecimento ou modernização da segurança para dispositivos especializados de Internet das Coisas (IoT) e Tecnologia Operacional (OT), preservando a continuidade operacional e a segurança.

As disciplinas de segurança são agrupamentos de trabalhos relacionados com a segurança que ajudam as organizações a garantir consistentemente resultados de segurança em todo o património tecnológico. No âmbito do modelo de adoção de segurança, as disciplinas ajudam a criar uma ponte entre cenários de negócio e implementação técnica, garantindo que os investimentos em segurança se traduzam em resultados reais e mensuráveis como parte do modelo de adoção de segurança.

Porquê segurança OT/IoT?

A segurança OT/IoT aborda sistemas com restrições únicas de segurança, disponibilidade e fiabilidade.

Os sistemas OT e IoT aparecem cada vez mais em caminhos de ataque modernos como pontos de entrada, caminhos de movimento lateral e alvos de alto impacto. O principal desafio é que a maioria dos ambientes de TO é composta por sistemas legados ("brownfield") que são frágeis, insuportáveis ou difíceis de modificar. As restrições comuns incluem:

• Software que não pode ser facilmente atualizado.
• Sistemas operativos ou hardware que já não são suportados.
• Fornecedores que deixaram de prestar suporte ao produto ou que cessaram atividade.
• Requisitos regulamentares ou de segurança que tornam as alterações dispendiosas ou impraticáveis.

Sem uma disciplina moderna de segurança OT/IoT, as organizações enfrentam:

• Aumento do risco de interrupções de produção e incidentes de segurança.
• Ataques direcionados, incluindo ransomware, a sistemas de controlo industrial.
• Violações regulatórias (por exemplo, NERC CIP, IEC 62443).
• Danos físicos e potenciais danos à segurança humana.
• Tempo de inatividade operacional e danos operacionais e reputacionais a longo prazo.

Como estes sistemas frequentemente suportam serviços críticos, a segurança OT/IoT é essencial para a resiliência operacional e a segurança pública.

Missão e resultados

A missão é proteger os sistemas OT e os dispositivos IoT que controlam processos físicos ou recolhem dados operacionais críticos. Os resultados da missão incluem:

• Melhor visibilidade de todos os ativos OT/IoT.
• Isolamento dos ambientes OT/IoT dos ambientes de TI e da internet.
• Mantenha as operações resilientes e cumpridoras.
• Garantir o acesso remoto e do fornecedor sem interromper as operações.
• Deteção precoce de ameaças específicas da terapia ocupacional.
• Redução da probabilidade e impacto de cortes, incidentes de segurança e danos físicos.
• Conformidade com os requisitos da indústria e regulamentos.

O diagrama seguinte do Arquitetura de Referência da Cibersegurança da Microsoft (MCRA) ilustra a gama de dispositivos OT e IoT que devem ser protegidos.

Como aplicar esta disciplina

Para aplicar eficazmente a disciplina OT/IoT, foque-se em estabelecer uma abordagem coordenada para proteger dispositivos conectados e ambientes operacionais, mantendo a segurança e a disponibilidade:

1. Defina uma estratégia de segurança OT/IoT alinhada com o risco operacional
   Estabelecer uma abordagem clara para identificar, priorizar e mitigar riscos a processos operacionais críticos, sistemas industriais e dispositivos ligados, com base na sua potencial segurança e impacto no negócio.
2. Obtenha uma visibilidade abrangente sobre ativos de OT e IoT
   Mantenha um inventário preciso de dispositivos, redes e fluxos de comunicação para compreender o que existe no ambiente e identificar sistemas não geridos ou vulneráveis.
3. Segmentar e proteger ambientes OT/IoT
   Implementar segmentação de rede e controlos de acesso para isolar sistemas críticos, limitar movimentos laterais e reduzir a exposição a ameaças através das fronteiras de TI e OT.
4. Padronizar a monitorização e a deteção de ameaças para OT/IoT
   Implemente capacidades consistentes de monitorização e deteção em todos os dispositivos ligados e sistemas industriais para identificar anomalias, condições inseguras e possíveis comprometimentos de segurança.
5. Alinhar a segurança OT/IoT com os requisitos operacionais e prioridades de segurança
   Garantir que os controlos de segurança apoiam a continuidade operacional e os requisitos de segurança, priorizando proteções para processos críticos e minimizando perturbações nas operações industriais.
6. Melhorar continuamente através de insights e feedba operacional
   Utilize os aprendizados com incidentes, telemetria de dispositivos e métricas operacionais para reforçar a visibilidade, melhorar a deteção e refinar os controlos de segurança ao longo do tempo.

Gerir a mudança

A modernização da Segurança OT e IoT foca-se em melhorar a capacidade organizacional de descobrir, monitorizar e proteger dispositivos OT/IoT especializados que muitas vezes não são incluídos nos esforços, controlos ou âmbito de segurança de TI. Ao contrário dos ambientes de TI, a maioria dos sistemas OT/IoT é duradoura, crítica para a segurança e difícil de alterar.

Princípios-chave de mudança incluem:

• Visibilidade: Use monitorização passiva para descobrir e compreender ativos e comunicações OT/IoT.
• Isolamento: Segmentar e isolar ambientes OT para reduzir a exposição antes de aplicar outros controlos.
• Segurança operacional: Garanta que os controlos de segurança não perturbam operações em tempo real ou sistemas de segurança.
• Aquisições: Incorporar requisitos de segurança nas decisões de compra.
• Alinhamento: Tornar a segurança sustentável alinhando pessoas, processos e tecnologia. Por exemplo, operações de comboios, atualizar procedimentos e aplicar controlos de forma consistente.

Estratégia de modernização

A estratégia de segurança OT/IoT combina a redução do risco a curto prazo com melhorias estruturais a longo prazo para diminuir a probabilidade e o impacto de incidentes de cibersegurança que possam causar danos humanos, danos físicos ou interrupção empresarial.

Ao contrário da segurança de TI, a segurança OT/IoT tem poucos controlos de segurança viáveis. A estratégia de segurança deve reconhecer as limitações, focando-se em executar de forma consistente e eficaz os controlos práticos e sustentáveis disponíveis, sem perturbar a segurança ou a disponibilidade.

Prioridades estratégicas

As restrições únicas de segurança OT/IoT exigem focar-se num pequeno número de prioridades estratégicas de curto e longo prazo:

• Curto Prazo - Monitorizar - Utilizar monitorização passiva dos dados da rede para inventariar dispositivos e identificar atividades anómalas que possam representar um ataque. Tenha em atenção que a procura ativa de vulnerabilidades de software pode fazer com que alguns sistemas remotos falhem, exigindo por vezes uma deslocação ao local remoto, distante ou desabitado, para reiniciar fisicamente o sistema.
• Curto prazo - Isolar - Isolar os dispositivos OT e IoT do acesso direto à internet e de outros dispositivos conectados à internet, incluindo dispositivos e redes de TI dos utilizadores comuns.
• Curto Prazo - Outros Controlos (conforme aplicável) - Projetar e implementar outros controlos disponíveis para proteger os sistemas, o que pode incluir isolamento físico de sistemas altamente sensíveis, aplicação de melhores práticas de TI, como atualizações de software (se disponíveis), e mais.
• Longo Prazo - Compra ou Substituição - A política de aquisição exige a capacidade de proteger dispositivos durante toda a sua vida operacional

A combinação específica de controlos variará consoante os tipos de dispositivos, restrições operacionais e ciclos de aquisição.

Este diagrama mostra prioridades-chave.

Curto prazo - Isolar ambientes OT/IoT

O isolamento eficaz requer mais do que apenas segmentação de rede simples com regras de firewall para bloquear o tráfego. Alcançar um isolamento eficaz contra ameaças que não perturbe as operações requer uma abordagem abrangente e ponderada, implementada de forma consistente ao longo do tempo.

A abordagem deve incluir:

• Modelar processos empresariais, tecnologia e ameaças: Descubra e documente sistemas OT/IoT. Como são usados nos fluxos de trabalho empresariais, como a tecnologia está configurada e como os agentes de ameaças podem ter acesso.

• Contabilização de pessoas, processos e tecnologia - Adote uma abordagem holística. Por exemplo:

  • Quanto à tecnologia, bloqueie comunicações não autorizadas, detete ameaças e estabeleça controlos rigorosos de segurança para todos os dispositivos de ponte/trânsito.
  • Para processos, estabelecer, monitorizar e atualizar políticas organizacionais, procedimentos empresariais e técnicos, e governação, de modo a manter garantias ao longo do tempo.
  • Para as pessoas, formar todas as partes interessadas sobre o que, porquê e como executar procedimentos.

• Aplicar a todas as camadas - Não restrinja análise, design e implementação a apenas um controlo, como redes. Considere o sistema como um todo, incluindo identidades e acessos, conectividade de rede, acesso físico, sistemas operativos e aplicações.

• Dispositivos transitórios seguros - O acesso de dispositivos a ambientes OT/IoT isolados deve ser fortemente garantido para garantir a segurança de ambientes frágeis. Aplicar controlos rigorosos de pessoas, processos e tecnologia para:

  • Todos os dispositivos que estão permanentemente ligados ao ambiente, como estações de trabalho de monitorização.
  • Dispositivos que entram e saem, como computadores portáteis de manutenção de fornecedor. Certifique-se de que segue os princípios dos dispositivos privilegiados.

Este diagrama mostra pontos-chave para isolar ativos de alto valor.

A longo prazo - comprar ou substituir

Garantir que a segurança OT/IoT e a produtividade aumentem ao longo do tempo, incluindo os seus requisitos na política de aquisições. Sem este passo, os custos e riscos das operações OT/IoT aumentarão ao longo do tempo.

O diagrama compara o resultado com e sem a inclusão de requisitos de segurança.

• Em A, a organização faz uma grande compra sem requisitos de segurança. O exemplo mostra um contrato de suporte a terminar mais cedo e um fornecedor a fechar. Isto pode implicar despesas de apoio não orçamentadas e risco elevado.

• Em B , a organização inclui requisitos de segurança durante a aquisição. A negociação considera fatores-chave que incluem:

  • O fornecedor fornece atualizações ao longo da vida ou sistemas operativos mais modernos para equipamentos, de modo a fechar um negócio.
  • O fornecedor oferece suporte vitalício. Ou pelo menos estão dispostos a dar apoio regular ou a oferecer um desconto para fechar um negócio.
  • O fornecedor deve seguir práticas sólidas de desenvolvimento de software para reduzir falhas e riscos de design desde cedo.
  • O fornecedor está sujeito a verificações que estimam a capacidade do fornecedor para garantir continuidade e manter-se no negócio.
  • Há planos definidos caso o fornecedor falha.

Obtenha valor

A avaliação precoce dos requisitos ajuda-o a maximizar o valor do equipamento e a mitigar riscos futuros. Quando dispõe desta informação com antecedência, ajuda a evitar:

• Motivação do fornecedor para responder aos requisitos de segurança após a compra.
• A necessidade de negociar atualizações e suporte numa data posterior, o que pode ser mais difícil ou dispendioso.

Obviamente, os requisitos de segurança devem ser equilibrados com outras prioridades e compromissos empresariais.

Substituição

Seja proactivo ao solicitar atualizações, melhorias e a substituição de sistemas e equipamentos.

• Não presuma que o custo de substituir um sistema legado é sempre demasiado elevado.
• Considere os benefícios empresariais e de segurança ou a atualização ou substituição.
• Ganhos de produtividade com equipamentos mais recentes podem compensar os custos de atualização.
• Considere o custo oculto dos sistemas legados em termos de manutenção, agilidade empresarial e risco de segurança e perturbação operacional.
• Efetue uma análise completa do custo total ao longo do ciclo de vida da manutenção de sistemas legados em comparação com a atualização.

Papéis disciplinares e colaboradores

As funções de segurança em TO e IoT protegem dispositivos e sistemas OT/IoT. Asseguram que os controlos de segurança são implementados, mantendo as operações e a segurança. Em organizações mais pequenas, estas responsabilidades podem ser combinadas em funções de infraestrutura ou SecOps. As grandes empresas podem ter especialistas dedicados a OT/IoT.

As funções principais incluem:

• Arquitetos de Segurança – Projetar arquiteturas seguras para ambientes OT, aplicando princípios Confiança Zero respeitando os requisitos de air-gap e as restrições operacionais.

• Engenharia e operações OT - Proteger os sistemas de controlo industrial (ICS), os ambientes de controlo de supervisão e aquisição de dados (SCADA), bem como os controladores lógicos programáveis (PLCs) usados para controlar e monitorizar processos físicos.

  Estes papéis implementam e gerem monitorização de segurança, segmentação de rede e deteção de ameaças sem perturbar as operações do negócio.

• Profissionais de IoT - Integrar dispositivos e dados IoT nos fluxos de trabalho empresariais, serviços e aplicações personalizadas.

Colaboradores internos-chave incluem:

• Trabalhadores da linha da frente (operações empresariais e equipas de engenharia) – Mantêm os sistemas de produção e garantem que os processos operacionais correm sem problemas. Integram registos e telemetria na gestão de incidentes e eventos de segurança (SIEM) e nos sistemas de segurança.
• Trabalhadores da linha da frente (gestão de fornecedores) – Supervisionam o acesso de terceiros aos sistemas OT.
• Equipas de engenharia/operações de infraestrutura, plataforma e redes – Coordenar a segmentação e conectividade da rede entre ambientes de TI/OT.
• SecOps – Monitorizar ameaças OT/IoT e responder a incidentes.
• Equipa de gestão de conformidade de segurança, conformidade e auditoria – Garantir o cumprimento das regulamentações específicas do setor (NERC CIP, IEC 62443, NIST CSF).
• CISO, diretores/gestores de segurança – Definam prioridades estratégicas, tolerância ao risco e objetivos de conformidade para a segurança OT/IoT.

Nenhum papel opera isoladamente. Os profissionais de segurança devem compreender os princípios de cibersegurança e os requisitos operacionais de OT/IoT.

A segurança e a disponibilidade frequentemente têm prioridade sobre os controlos tradicionais de segurança em ambientes OT, exigindo o equilíbrio entre segurança e necessidades operacionais.

Integração com outras disciplinas

A segurança da TO e da IoT deve integrar-se estreitamente com outras disciplinas:

• Segurança de infraestruturas – A segurança OT/IoT é um subconjunto especializado focado em sistemas industriais.
• SecOps – A equipa de SecOps precisa de formação, processos definidos e tecnologia para detetar e responder a ataques OT/IoT, evitando pontos cegos.
• Gestão da postura de segurança - Estas equipas devem incluir dispositivos IoT/OT nos processos de descoberta e nos esforços de priorização e mitigação da postura de segurança. Isto ajuda a identificar riscos OT/IoT, incluindo superfícies de ataque e potenciais caminhos de acesso.

Integração com pilares tecnológicos

Executar a estratégia da disciplina de segurança OT e IoT requer controlos de segurança em múltiplos pilares tecnológicos.

• Identidades: Os controlos de identidade para ambientes OT/IoT devem ter em conta as identidades das máquinas, contas de serviço usadas por sistemas de automação e operadores humanos que necessitam de acesso a controlos industriais.
• Endpoints: Os endpoints OT, incluindo estações de trabalho industriais, estações de engenharia e terminais de operador, requerem segurança especializada para proteger estes sistemas especializados sem prejudicar as operações em tempo real.
• Infraestrutura: A infraestrutura de OT, incluindo sistemas de controlo industrial, servidores SCADA, historiadores de dados industriais e CLPs, requer visibilidade e proteção, mantendo requisitos operacionais e arquiteturas de espaço de ar quando apropriado.
• Aplicações: As aplicações que interagem com dispositivos OT/IoT devem ser protegidas para evitar o controlo não autorizado dos sistemas físicos. Isto inclui interfaces homem-máquina (HMI), aplicações SCADA e software industrial.
• Dados: Os dados operacionais provenientes de sensores, sistemas de controlo e processos industriais devem ser protegidos tanto em repouso como durante o trânsito, mantendo a integridade crítica para operações seguras.
• Redes: A segmentação de rede entre ambientes de TI e OT é crítica, juntamente com a monitorização de protocolos industriais (Modbus, OPC, DNP3) e o acesso remoto seguro para fornecedores e operadores.
• IA: A IA e o machine learning podem reforçar a segurança das OT através da deteção de anomalias em processos industriais, manutenção preditiva e identificação automática de ameaças, respeitando as restrições operacionais.

Recursos da Microsoft

Tecnologias

A Microsoft oferece soluções tecnológicas que permitem e aceleram a modernização da segurança em OT e IoT.

Isto inclui tanto a tecnologia primária de habilitação como as principais tecnologias de habilitação.

Passos seguintes

Aprenda sobre a disciplina de infraestruturas e redes.