Artigo
Atual Situação da Cibersegurança para Sistemas de Tecnologia Operacional Alexandre Peixoto Diretor de Negócios de Cibersegurança, Process Systems & Solutions, Emerson Automation Solutions
Antes de entrar no mérito de como proteger ecossistemas de controle e automação, precisamos entender que não há como resolver todos os problemas de cibersegurança com uma única e simples solução. Inclusive, na grande maioria dos casos, há necessidade de envolvimento de mais de uma empresa fornecedora de soluções e serviços de segurança, para diminuir a probabilidade de um ataque cibernético. Estamos em 2022, e, por vários anos, os evangelistas de cibersegurança já mencionavam que, em breve, a situação estaria bem crítica para sistemas de tecnologia operacional. Nunca foi necessário ter alto nível de QI para prever o que estamos vivenciando atualmente. Ainda hoje, usam-se sistemas obsoletos, sem suporte de fabricante e com mínima cobertura de ferramentas de proteção e/ou monitoramento dos sistemas de controle. Infelizmente é fato que a maior parte das plantas industriais hoje ainda roda com sistemas de controle que utilizam abordagem “airgap”, como método de proteção contra ataques relacionados a cibersegurança. Dados os repetidos ataques com uso de ransomware, seguidos das divulgações mais recentes de ferramentas hacker, com alvo no uso legítimo de tecnologias como OPC UA, entre outros, temos que algumas empresas no setor industrial iniciaram a abordar o tema de cibersegurança com maior prioridade. Entretanto, ainda é comum se deparar com verticais, como área farmacêutica em que cibersegurança é tema da Tecnologia de Informação (TI), que define as estratégias e táticas de cibersegurança, com base em ferramentas que não são compatíveis com sistemas de controle, atualmente. Os setores de Óleo & Gás, Químico & Petroquímico, entre outros, são mais conservadores, e focam em cibersegurança com intuito de proteção, não conveniência. O maior problema que vejo é que, apesar da movimentação dentro de alguns setores de mercado, ainda acredito que (1) a movimentação não é significante ainda; e (2) cibersegurança ainda não é uma prioridade para os clientes do setor de automação industrial. O fato importante nessa discussão é entender que uma implementação levará tempo para iniciar e ser concluída, exige investimento, que pode até parecer com conversas sobre seguro patrimonial, e se o cliente acha que pode economizar com 40
Petro & Química
no 389
ferramentas que “resolvem rapidamente” as deficiências de cibersegurança que o sistema em questão possui. Nossa resposta para tais indagações sempre estarão alinhadas com as estratégias e definições do cliente – desde que a conversa seja a favor do uso de software suportado, e com garantia do fornecedor. O foco em cibersegurança para a tecnologia operacional tem alimentado o mercado de provedores de serviços, e soluções diversas para plantas industriais. Fornecedores de sistemas de automação estabelecem parcerias com empresas de cibersegurança, mas não na mesma proporção em que os operadores de plantas industriais utilizam as diversas ferramentas disponíveis no mercado. A dificuldade, em geral, é entender até onde vale a pena utilizar ferramentas não suportadas pelos fornecedores de automação (priorizando as funcionalidades e benefícios das soluções de cibersegurança), ou utilizar soluções suportadas pelos fornecedores de automação (priorizando a rapidez e eficácia do suporte às soluções que podem não estar alinhadas com as estratégias dos departamentos de TI das empresas usuárias de automação e cibersegurança). Dado o exposto, é comum ver operadores industriais utilizando normas internacionais, como a série ISA/IEC 62443, de maneira unilateral, ou seja, fazer uso destas normas de maneira prescritiva, ou até mesmo para sustentar decisões de como arquiteturas ou ferramentas de cibersegurança devem ser fornecidas por empresas de automação, para sistemas de controle industriais. A verdade é que as normas internacionais, apesar