Cibersegurança por Design na OT

Se esperar até que o edifício esteja concluído para decidir onde instalar as câmaras de segurança e os sistemas de contenção de riscos biológicos, terá de derrubar paredes e gastar muito mais dinheiro. Ao incluir os especialistas em segurança nas plantas iniciais, garante que os médicos (os sistemas elétricos) possam agir rapidamente e salvar vidas (manter o fornecimento de energia) sem que as medidas de segurança os impeçam de o fazer.

Este impulso para o reforço da cibersegurança é, em grande parte, impulsionado por um panorama regulamentar global cada vez mais rigoroso. Na Europa, a Diretiva NIS2 está a estabelecer novos padrões de referência para as infraestruturas críticas, enquanto a Suíça introduziu regulamentação específica para o setor energético, a fim de garantir a resiliência do abastecimento a longo prazo. Da mesma forma, nos Estados Unidos, a conformidade com as normas do NIST está a tornar-se um requisito padrão para produtos e instalações. Para as empresas de engenharia, estas já não são orientações abstratas, mas sim requisitos obrigatórios dos clientes que têm de ser cumpridos para garantir a adjudicação de concursos e o sucesso dos projetos.

No cerne desta transição regulamentar está a necessidade de colmatar a lacuna entre as diferentes abordagens de segurança no mundo da IoT/TI e o domínio especializado da engenharia elétrica. Esta discrepância conduz frequentemente a conflitos técnicos.

Embora as normas de cibersegurança, como a IEC 62443, recomendem normalmente a encriptação da rede, a aplicação desta medida às redes de energia em tempo real pode aumentar a latência, atrasando potencialmente os relés de proteção de ação rápida que evitam danos no equipamento ou cortes de energia. É por isso que algumas medidas de segurança amplamente utilizadas na TI não são diretamente aplicáveis na OT. Para que se consiga, ainda assim, atingir o nível exigido de cibersegurança, devem ser implementadas medidas compensatórias adequadas para limitar o risco ao nível desejado. Estas devem ser tidas em conta numa fase muito precoce do processo de conceção, a fim de minimizar o esforço e os custos.

O principal mecanismo para traduzir este «ADN de segurança» da fase inicial em medidas concretas é a avaliação abrangente dos riscos de segurança. Em vez de ser um mero «exercício de preenchimento de formulários», uma avaliação de risco funciona como um roteiro estratégico para identificar quais os ativos que são críticos e qual o nível de proteção necessário (e realisticamente exequível).

Por exemplo, durante a expansão de uma subestação no Reino Unido, uma avaliação de riscos identificou que os dispositivos mais antigos não suportavam a encriptação recomendada pela norma IEC 62443. Em vez de comprometer o projeto e o interromper, os engenheiros documentaram o risco e implementaram controlos compensatórios, tais como políticas de acesso rigorosas e monitorização especializada. O resultado foi um sistema que se manteve funcionalmente seguro, ao mesmo tempo que reconhecia e mitigava as ameaças digitais. Ao documentarem estas soluções de compromisso, os engenheiros traçaram um caminho a seguir que equilibrava as normas de segurança ideais com as duras realidades da funcionalidade operacional.

À medida que o setor avança de forma decisiva no sentido da normalização global e da conformidade obrigatória com quadros normativos como a ISO 27019, a construção de uma rede elétrica resiliente já não é uma tarefa isolada. A tendência no setor da energia está a avançar de forma decisiva no sentido da normalização e da conformidade obrigatória com normas internacionais como a ISO 27019. Os projetos mais bem-sucedidos são aqueles encarados como um «esforço de equipa», que envolvem uma colaboração profunda entre clientes, engenheiros e especialistas em cibersegurança. Ao integrar a segurança desde o primeiro dia, documentar os riscos de forma transparente e utilizar monitorização específica para as tecnologias operacionais (OT), o setor energético pode construir um futuro em que o abastecimento se mantenha seguro e a rede digital continue resiliente face às ameaças em constante evolução.