Segurança da Informação de Sistemas de Controle Automatizado (ACS)

Sistema de Controle Automatizado (ACS) — é um conjunto sistematizado de métodos, software e hardware usados para regular e controlar diversas operações no trabalho de uma organização. Distinguem-se os seguintes sistemas automatizados:

• objetos — ACSO;

• processo tecnológico — ACSTP;

• setor —ACSI;

• empresa — ACSE;

• tropas — ACST;

• tráfego rodoviário — ACSRT;

• etc.

Segurança da Informação (IS) — é o estado de um Sistema de Informação no qual o sigilo, a disponibilidade e a integridade dos dados que nele circulam são garantidos.

Vantagens do uso de ACS na indústria

Um Sistema de Controle Automatizado geralmente é composto por três níveis: um painel de controle, equipamentos de processamento de dados e elementos típicos de automação, ou seja, diversos sensores, roteadores, dispositivos de controle etc. O sistema de controle automatizado é composto por três níveis: um painel de controle, equipamentos de processamento de dados e elementos típicos de automação.

É importante observar que a participação humana no trabalho com o ACS é minimizada, mas ainda está presente: na etapa de configuração do sistema e na tomada de decisões importantes.

O uso de ACS permite que as empresas reduzam significativamente os custos operacionais, aumentem o volume de produção sem perda de qualidade e elevem o nível de segurança na empresa ao minimizar a influência do fator humano, ou seja, reduzindo o número de erros no processo produtivo. As vantagens do uso de ACS explicam sua crescente popularidade em todos os setores.

Segundo a Fortune Business Insights, o mercado global de automação industrial foi avaliado em aproximadamente US$ 206 bilhões em 2022 e deve atingir US$ 395 bilhões até 2029, o que corresponde a uma taxa de crescimento anual composta de quase 10%.

Além disso, espera-se que inovações como a digitalização, o surgimento da tecnologia sem fio 5G, a expansão da realidade aumentada (AR), o uso da tecnologia de gêmeos digitais e a internet industrial das coisas (IIoT) acelerem ainda mais o crescimento do mercado global de automação industrial.

Hoje, os sistemas automatizados não são usados apenas para controlar equipamentos industriais. Os ACS têm se mostrado eficazes no setor energético, na logística, na medicina, na educação, em sistemas de iluminação, em sistemas de tráfego rodoviário e em praticamente todas as áreas da agricultura e da indústria.

Além disso, muitos sistemas automatizados oferecem funcionalidades de coleta e processamento de dados do local. Isso acelera o processo de tomada de decisão e reduz ainda mais o envolvimento humano nas operações de produção.

No entanto, o aumento significativo da complexidade dos Sistemas de Informação em empresas industriais, bem como da arquitetura de suas tecnologias operacionais, incluindo os ACS, ampliou a escala das ameaças, cuja concretização pode levar a consequências catastróficas.

Por que você precisa de Segurança da Informação em ACS?

A digitalização da indústria é caracterizada por um alto nível de automação e conectividade crescente com redes externas, o que abre novas vulnerabilidades a ameaças de informação: sabotagem, ataques cibernéticos, roubo de dados confidenciais e assim por diante.  Tudo isso torna relevante a questão de garantir a segurança dos sistemas de controle automatizado e dos dados processados nos ACS.

Por que isso é necessário?

Como mencionado acima, além de danos econômicos e reputacionais, ataques cibernéticos e vazamentos de dados em sistemas de controle automatizado podem desencadear eventos graves, às vezes catastróficos (por exemplo, liberação de substâncias perigosas na atmosfera, incêndios, explosões), com consequências sérias para funcionários, a população e o meio ambiente. Ao mesmo tempo, muitas empresas, incluindo as do setor energético, são instalações de infraestrutura crítica de informação (CII), e garantir a segurança da informação dessas empresas é obrigatório por lei. 

Vazamentos de informação em instituições que processam grandes volumes de dados pessoais com o auxílio de sistemas de controle automatizado podem causar prejuízos financeiros e reputacionais. Informações pessoais, por vezes sensíveis, de usuários ou cidadãos despertam interesse especial de grupos criminosos. Os funcionários podem, sem querer, fornecer acesso a dados confidenciais a terceiros, seja por engano, como resultado de um ataque de phishing, ou deliberadamente, agindo por ganho pessoal ou com intenção maliciosa.

Qualquer incidente de segurança da informação pode levar à interrupção dos processos tecnológicos realizados por meio do ACS.

Especificidades da operação de sistemas de controle automatizado no contexto da Segurança da Informação

A maioria dos ACS está distribuída territorialmente e interage entre si por meio da troca de grandes volumes de dados.

Distinguem-se as seguintes características dos ACS distribuídos:

• utiliza-se um grande número de métodos diferentes de transmissão e armazenamento de informações;

• dados de fontes diferentes são combinados em bancos de dados, alguns localizados em nós distribuídos da rede;

• as informações processadas por meio do ACS são usadas por um grande número de usuários;

• hoje há uma escassez aguda de pessoal e de software especializado para proteger os ACS contra ameaças cibernéticas.

Como discutido acima, as tecnologias operacionais otimizam os processos de produção ao mesmo tempo em que abrem novos vetores para ameaças cibernéticas. 

Assim, as seguintes vulnerabilidades dos ACS aumentam significativamente os riscos de incidentes de Segurança da Informação.

• Longa vida útil dos sistemas de controle. Normalmente, os sistemas de controle têm uma vida útil de 15 a 30 anos. Isso significa que alguns sistemas foram desenvolvidos há mais de uma década, e os invasores tiveram tempo suficiente para estudar minuciosamente todas as vulnerabilidades.

• Acesso remoto. A conexão dos ACS a redes sem fio, bem como a possibilidade de conectá-los remotamente, simplificou os processos de gestão, mas ampliou significativamente o cenário de ameaças. 

• As informações sobre a operação dos sistemas automatizados são fáceis de encontrar. Normalmente, um grande número de pessoas trabalha com os sistemas: engenheiros, operadores, gerentes, além de estagiários e outros especialistas. Esse fato aumenta muito a probabilidade de que informações sobre os sistemas automatizados sejam vazadas, especialmente em comparação com uma época em que o acesso aos sistemas era restrito a um número muito limitado de pessoas que haviam assinado acordos de confidencialidade.

• Fator humano. Refere-se a funcionários que, intencionalmente ou não, violam a política de segurança da informação da empresa, por exemplo, usando mídias removíveis não verificadas etc.

• Acesso físico. Se as medidas de restrição de acesso físico ao equipamento forem insuficientes, existem riscos de sabotagem ou danos não intencionais ao ACS.

Levar em consideração as vulnerabilidades descritas acima reduzirá significativamente os riscos de ameaças ao organizar o sistema de Segurança da Informação na empresa. Ao mesmo tempo, como mostra a prática, a maioria das empresas concentra-se na proteção contra ameaças externas e, muitas vezes, não presta atenção às ameaças associadas a riscos internos — vazamentos de dados causados por funcionários, alteração ou destruição de informações importantes, além de sabotagem ou danos não intencionais ao equipamento. Como mostra a prática, são os funcionários e gerentes das organizações que mais frequentemente são os responsáveis pelos vazamentos. Além disso, as contrapartes da empresa também costumam praticar ações que levam à distribuição não autorizada de informações confidenciais.

Por que isso acontece? 

Na maioria das vezes, os vazamentos de informações importantes sobre a operação dos ACS estão associados a um nível criticamente baixo de conscientização do pessoal sobre as regras de Segurança da Informação. Os funcionários usam senhas fracas, não reconhecem diversos esquemas de fraude, repassam de forma negligente informações e documentos importantes a terceiros e usam mídias removíveis não testadas.

Evite vazamentos de informações confidenciais causados por funcionários usando o sistema Anexet DLP. Avalie os recursos do sistema na versão gratuita de 30 dias.

Ameaças de segurança da informação aos ACS

Os Sistemas de Controle Automatizado, incluindo os instalados em instalações CII, são particularmente sensíveis até mesmo às ameaças mínimas de Segurança da Informação, que em outras áreas não seriam consideradas uma violação.  Ao mesmo tempo, hoje observamos uma escassez aguda de pessoal e software especializado em segurança de Sistemas de Informação, e as medidas atualmente adotadas nas organizações são, na maioria dos casos, pouco confiáveis e incapazes de oferecer o nível adequado de proteção. 

Ao organizar um sistema de Segurança da Informação, muitas pessoas ainda se concentram principalmente na implementação de sistemas de detecção e prevenção de intrusões. No entanto, é importante prestar atenção também a outros vetores de ataque.

Vamos analisá-los em mais detalhes.

Vetores de ataque contra sistemas automatizados

1. Até não muito tempo atrás, a segurança da informação dos ACS era garantida, entre outras coisas, pela restrição de acesso físico, ou seja, pelo uso dos chamados air gaps. Hoje, a maioria dos ACS está conectada a redes de alguma forma para resolver tarefas operacionais. Se um invasor obtiver acesso à rede corporativa, ele também pode acessar a rede tecnológica do sistema automatizado.

2. Negligência. Uso de mídias removíveis não testadas e conexão de modems externos. A mídia pode estar infectada com malware, e o modem pode permitir acesso da rede tecnológica à internet pública, o que não deveria acontecer.

3. Cadeias de suprimentos e organizações contratadas. Outro vetor de ataque são as organizações contratadas que mantêm sistemas automatizados e equipamentos de processo e têm a capacidade de se conectar remotamente ao ACS. Se as organizações contratadas não tiverem um sistema de Segurança da Informação bem desenvolvido, os invasores podem penetrar na rede tecnológica do ACS, contornando todas as medidas de segurança da informação — até mesmo as mais rigorosas.

Com base nos vetores descritos acima, podemos identificar as ameaças de Segurança da Informação mais comuns aos sistemas automatizados.

Ameaça nº 1. Violação do perímetro da rede tecnológica. A maioria dos ACS foi projetada com a premissa de que estariam isolados da Internet e até mesmo das redes corporativas. Esse air gap é bastante eficaz na proteção contra ações maliciosas nos locais onde os eventos que levam a incidentes são mais frequentemente realizados: servidores SCADA, estações de trabalho do pessoal, controladores lógicos programáveis e assim por diante.

Ameaça nº 2. Ataques a sistemas operacionais e software. Em regra, essa ameaça está associada a violações da política de segurança pelo pessoal da empresa: cliques em links de phishing, uso de mídias removíveis não registradas, instalação de software não confiável em estações de trabalho, operação de um sistema de acesso remoto desprotegido etc.

Para minimizar o impacto da ameaça, recomenda-se implementar um sistema de treinamento de pessoal nos fundamentos da Segurança da Informação, bem como atualizar oportunamente o software utilizado na empresa.

Ameaça nº 3. Invasão por meio de acesso remoto. Os ACS modernos estão cada vez mais conectados à rede global, o que simplifica muito o processo de gestão, mas abre novos caminhos para acesso não autorizado à infraestrutura da empresa. Outra vulnerabilidade que leva à concretização dessa ameaça é o uso de protocolos de conexão remota inseguros.

Ameaça nº 4. Desconexão ilegal de equipamentos da rede. Ocorre quando as medidas de restrição de acesso físico aos elementos do ACS são insuficientes.

Ameaça nº 5. Uso de software não registrado. O software não registrado pode ser instalado por funcionários que violam as regras de Segurança da Informação da empresa. Software não seguro e não verificado, bem como seus componentes, pode conter vulnerabilidades que dão a cibercriminosos acesso aos componentes do sistema.

Ameaça nº 6. Divulgação, perda ou transferência de acesso ao sistema. Ocorre por culpa do pessoal da organização. Os dados de autorização podem ser transferidos a terceiros deliberadamente ou por engano.

Ameaça nº 7. Avaria física ou destruição de componentes do sistema. Ocorre em caso de medidas insuficientes de restrição de acesso físico aos elementos do ACS.

Ameaça nº 8. Recrutamento de funcionários com determinada autoridade ou acesso a informações protegidas. Pode ser realizado por meio de chantagem, suborno etc.

Ameaça nº 9. Roubo de mídias de armazenamento: discos, pendrives, dispositivos com memória interna e computadores inteiros.

Ameaça nº 10. Uso de informações residuais da memória RAM e de dispositivos externos de armazenamento, bem como de setores de RAM usados pelo sistema operacional.

Ameaça nº 11. Roubo de mídias de dados usadas que não foram destruídas em tempo hábil, conforme os regulamentos: diversos documentos, pendrives, discos magnéticos etc.

Ameaça nº 12. Uso de dispositivos de escuta e meios de interceptação, vigilância, fotografia e filmagem não autorizadas.

Ameaça nº 13. Inserção de infiltrados ou agentes no quadro de funcionários, com posterior roubo ou sabotagem de informações protegidas.

Ameaça nº 14. Diversas ações voltadas para sabotar o funcionamento da empresa, por exemplo, criação de um ambiente de tensão na equipe por funcionários desleais, greves, bem como alterações nos modos de operação dos sistemas de controle automatizado, instalação de equipamentos que criam interferência de rádio nas frequências em que os sistemas automatizados operam.

Ameaça nº 15. Interceptação de informações transmitidas por canais de comunicação eletromagnéticos, acústicos e de outros tipos.

Importante! Em regra, para atingir seu objetivo, os invasores utilizam não apenas uma, mas várias formas de penetrar no sistema ao mesmo tempo.

Como podemos ver pela lista descrita acima, a maioria das ameaças de segurança da informação aos sistemas automatizados baseia-se no fator humano e tem caráter intencional. É por isso que, ao organizar o sistema de segurança da informação para sistemas automatizados, é aconselhável prestar atenção não apenas às medidas voltadas à proteção contra ameaças externas, mas também à proteção dos sistemas contra danos não intencionais e sabotagem, bem como dos dados neles processados contra exfiltração — por culpa dos funcionários.

---

Proteja seus dados contra vazamento, alteração e destruição com o Anexet DLP.

---

Um incidente real em um ACS: prejuízo de US$ 1.000.000 na EnerVest devido a sabotagem

Um engenheiro de rede da empresa de energia EnerVest, sediada na Virgínia Ocidental, ao saber que seria demitido, restaurou todos os servidores de rede às configurações de fábrica e desativou os backups remotos. Sabe-se que Mitchell enfrentou processo criminal pelo delito. Ainda assim, como resultado, a EnerVest ficou impossibilitada de realizar suas operações por 30 dias e sofreu prejuízos superiores a US$ 1 milhão.

Medidas para garantir a segurança dos ACS

Existem três tipos de medidas para garantir a segurança dos sistemas automatizados: físicas, organizacionais e de software e hardware.

As medidas organizacionais visam nivelar o impacto do fator humano na Segurança da Informação:

• desenvolvimento, aprovação e implementação da Política de Segurança (doravante — PS);

• designação de responsáveis pela provisão da Segurança da Informação;

• delimitação do acesso dos funcionários ao ACS e seus componentes.

Garantia de proteção física

Restrição de acesso ao equipamento e componentes do ACS, estações de trabalho por meio de cercas, sistemas de controle de acesso e videovigilância. Instalação de postos de controle e alarmes de segurança. Garantia de segurança dos componentes do sistema em caso de desastres naturais: incêndios, terremotos, inundações etc.

Criptografia de dados

Uso de métodos criptográficos para proteger dados transmitidos e armazenados contra acesso não autorizado.

Backup

Criação de cópias de segurança de dados e software críticos para recuperação rápida em caso de falhas, sabotagem ou ataques.

Atualizações de software oportunas

Instalação de patches e atualizações para corrigir vulnerabilidades e melhorar a segurança do sistema.

Monitoramento e auditoria

Coleta e análise de informações sobre eventos do sistema para identificar atividades suspeitas e ameaças potenciais.

Treinamento de pessoal 

Realização de chamadas cibereducações, treinamentos e seminários sobre questões de Segurança da Informação para o pessoal que trabalha com ACS.

Uso de antivírus e outras ferramentas antimalware 

É necessário prevenir que vírus e outros programas maliciosos infectem o ACS.

Ao fornecer medidas de proteção para sistemas automatizados, é importante levar em conta os requisitos descritos nos atos normativos legais dos reguladores, bem como se basear em padrões globais de segurança, que discutiremos a seguir.

A família de normas IEC 62443

As normas são baseadas em uma abordagem orientada a riscos e estabelecem requisitos para a segurança de sistemas de controle industrial. Os documentos descrevem a segurança da informação como um conjunto de operações que devem ser realizadas regularmente em todas as etapas do ciclo de vida de um ACS.

Conclusão

Ao garantir a Segurança da Informação dos ACS, é importante implementar medidas para combater não apenas ameaças externas, mas também internas. Como mostra a prática, é a atividade humana que representa o maior risco para os sistemas de controle automatizado: negligência dos funcionários no desempenho de tarefas de trabalho, atividades de infiltrados e funcionários desleais à organização, espionagem industrial etc.

Ao mesmo tempo, os riscos potenciais para o meio ambiente e os cidadãos causados pela interrupção de processos tecnológicos ou danos a equipamentos em empresas podem interessar aos serviços de países estrangeiros, especialmente na atual situação geopolítica mundial. Isso torna a questão de garantir a segurança da informação dos sistemas automatizados particularmente relevante.