Abordagem da cibersegurança na Indústria 4.0: a era das máquinas conectadas

Não fuja ainda! Esta era não é sobre máquinas que escravizam a humanidade (pelo menos, não por agora …), mas sobre a introdução de elementos (dispositivos IOT, ambientes cloud, IA, Big Data, SIEM, IDS…) em sistemas de controle industrial (ICS) que melhoram sua operação, manutenção, eficácia, eficiência… e sua segurança. Mas… o que é Indústria 4.0?

“Indústria 4.0: Refere-se à quarta revolução industrial, que se baseia na disponibilidade em tempo real de todas as informações relevantes ao produto, fornecidas por uma rede acessível em toda a cadeia de valor, bem como na capacidade de modificar o fluxo de valor ideal a qualquer momento”.

Isso se dá por meio da digitalização e da união de todas as unidades produtivas de uma economia. Isso requer a fusão de tecnologias como a Internet das Coisas (IoT), computação e nuvem, Big Data e cibersegurança, além de tecnologias complementares: mobile, analytics, M2M, impressão 3D, robótica e comunidade/compartilhamento”. (Fonte: https://www.industriaconectada40.gob.es/)

Em 2015, o atual presidente da Telefónica, José María Álvarez-Pallete, no Ministério da Indústria, Energia e Turismo teve uma visão clara:

“Esta quarta revolução industrial surge da união da indústria e do mundo físico com o mundo das telecomunicações e software, […] a fusão entre o mundo“ normal ”e o mundo lógico, e representa um salto qualitativo na organização de modelos industriais. Tudo vai estar conectado, absolutamente tudo.»

Entre os capacitadores digitais da Indústria 4.0, existem dois transversais e indispensáveis para a transformação digital e seu caminho para a indústria do futuro:

• Conectividade, base da nova indústria conectada e que garante a disponibilidade em tempo real das informações relevantes.
• Cibersegurança, em função do exposto: a interconexão aumenta a área de exposição e, portanto, o risco.

É neste caminho de digitalização e ligação de processos industriais que a cibersegurança se torna necessária nas tecnologias operativas (OT).

O que são os sistemas OT?

Entendemos OT como aquelas tecnologias e processos de controle relacionados à produção, tradicionalmente isolados e que agora estão conectados a redes corporativas: agora os dispositivos estão conectados à rede corporativa de IT (tecnologia da informação), com o objetivo que a direção da empresa possa tomar decisões ágeis com base nos dados processados ​​agregados das plantas de produção. Tudo isso com o objetivo de melhorar a competitividade e rentabilidade da empresa, melhorando a eficiência do uso dos recursos, encurtando prazos de entrega, customizando a produção, etc.

Conforme aumenta a conectividade, a área de exposição a ataques cibernéticos em potencial aumenta. A este aumento da área expositiva junta-se a falta de maturidade, em termos de cibersegurança, dos processos de OT.

Um exemplo claro seria uma estação remota que consome um recurso específico. A manutenção e operação da estação teria um custo possivelmente elevado, incluindo também a necessidade de pessoal e controles no local que certificassem seu correto gerenciamento, manutenção e operação. Porém, a operação de um mesmo painel a partir de um nó que agrupa a operação de vários painéis por meio de uma conexão segura e uma solução de software reduziria drasticamente os custos.

Além disso, este software pode permitir a automatização e configuração de determinados processos e parâmetros que permitem um consumo mais inteligente de recursos (eficiência) e que permitem afinar a produção, podendo melhorar a sua eficiência.

Cibersegurança corporativa (IT) versus cibersegurança industrial (OT)

A cibersegurança corporativa trata da proteção das informações daquela empresa em sistemas interconectados processados, armazenados e transportados. O importante são os dados baseados em três parâmetros:

• A confidencialidade: proteger a informação contra o acesso não autorizado e divulgação indevida.
• A integridade: proteção contra modificações não autorizadas
• A disponibilidade: proteção contra interrupções no acesso.

No ambiente industrial (OT) o importante é o processo. É preciso ter em mente que os processos industriais interagem com o mundo físico, ao contrário do que ocorre na esfera corporativa. Portanto, o impacto de um incidente pode ter consequências físicas, ou seja, no “mundo físico”, não apenas no “mundo lógico” como vimos na citação anterior.

Além dos danos econômicos ou de imagem, danos pessoais, ambientais, interrupções de produção, paralisações de fábricas ou o que seria mais preocupante: podem ocorrer alterações na qualidade dos produtos finais. Neste caso:

• A integridade é o mais importante: você não altera os dados, pois seria difícil de detectar e corrigir.
• A disponibilidade: à medida que a indisponibilidade é detectada, pode tomar medidas para reiniciar o processo.
• A confidencialidade é importante, mas geralmente menos do que antes.

Em 2016, o malware Industroyer afetou Kiev, deixando-o sem energia. Assim que atingiu o sistema industrial, esse malware assumiu o controle de interruptores e disjuntores usando protocolos de comunicação industrial típicos.

O malware é modular para que as alterações possam ser implementadas rapidamente para afetar outros sistemas. O facto dos protocolos não implementarem a segurança por defeito significava que, uma vez executada a infecção nos sistemas informáticos, o controlo dos dispositivos industriais era “simples”. A propósito, para os dispositivos afetados pelo ataque havia um patch de segurança meses antes, quem se lembrou de atualizar?

Este exemplo clássico reflete a necessidade de levar em consideração a segurança cibernética em ambientes de IT e OT. Uma vez que a segurança dos sistemas de controle, como um PC ou um sistema SCADA, foi violada, o malware ficou livre para se movimentar livremente. Os protocolos e dispositivos industriais não contavam com medidas de segurança adicionais, mesmo ficando desatualizados. Nessa reflexão, várias medidas fundamentais podem ser inferidas para o combate aos ciberataques em ambientes industriais:

• Definir medidas de segurança na área de IT que visam proteger sistemas e dispositivos industriais.
• Defina medidas de segurança no campo OT que permitam proteger dispositivos e protocolos que não podem ter segurança implementada por padrão. Protocolos amplamente estendidos, como o Modbus (simples, público, mas sem segurança definida na camada de link ou na camada de aplicação), exigem medidas para mitigar essa falta de segurança por padrão.
• Implementar boas práticas definidas em normas tais como o NIST “Cybersecurity Framework”, ISA / IEC 62443 ou o Regime de Segurança Nacional da Indústria (ENSI).

Mais detalhes sobre segurança OT

A segurança do OT geralmente cobre os controles de segurança em torno dos Sistemas de Controle de Processos (PCS), Sistemas de Controle Distribuídos (DCS) e Ambientes de Aquisição de Dados e Controle Supervisório (SCADA), que também são chamados coletivamente de ambientes. Sistemas de controle industrial (ICS).

O ambiente OT (ou ICS) usa sistemas e dispositivos de computação comuns, como servidores de autenticação, switches de rede baseados em IP e firewalls, bem como estações de trabalho de PC executando software de engenharia para gerenciar dispositivos ICS.

Por fim, é importante destacar o volume de vulnerabilidades de que estamos falando e o impacto dos incidentes cibernéticos gerados. De acordo com o Instituto Nacional de Cibersegurança da Espanha, INCIBE, em 2019 foram registrados 207 avisos de segurança relacionados ao setor industrial. As vulnerabilidades registradas por meio desses avisos foram em sua maioria (mais de 75%) de criticidade alta ou muito alta (mais informações em https://www.incibe-cert.es/blog/seguridad-industrial-2019-cifras)

A Indústria 4.0 veio para ficar até ser superada pela 5.0, mas os desafios da cibersegurança que ela representa tornam necessário agir e desenvolver novas soluções que garantam o uso seguro deste grande avanço.

Ah, esqueci… O que é segurança cibernética industrial então?:
Segundo o Centro de Cibersegurança Industrial (CCI), “cibersegurança industrial é o conjunto de práticas, processos e tecnologias destinadas a gerir o risco do ciberespaço derivado da utilização, processamento, armazenamento e transmissão de informação utilizada em organizações e infraestruturas industriais, usando a perspectiva de pessoas, processos e tecnologias”. (Fonte: http://cci-es.org/).

Bonus track

Os dispositivos industriais estão intimamente relacionados a setores críticos devido ao seu impacto em um país, como o setor da saúde, a ferrovia ou o setor marítimo. Mas além do impacto no negócio e na imagem das pessoas afetadas, como e de quantas maneiras poderiam ser quantificados os danos causados ​​por um dispositivo industrial que modifica a composição de um alimento ou bebida para torná-los prejudiciais aos seres humanos ou para deixá-los sem eletricidade ou sem aquecimento no meio do inverno para um país inteiro? E se fossem dispositivos hospitalares ou nucleares ou militares? Que impacto teria no tecido produtivo ou na saúde dos cidadãos? Todos esses aspectos em cada setor merecem comentários separados. Mas essa é outra história que veremos em outros posts.