Estabelecer uma disciplina de OT/IoT

Este artigo descreve a disciplina de Segurança OT/IoT. Ele se concentra em estabelecer ou modernizar a segurança para dispositivos especializados de IoT (Internet das Coisas) e Tecnologia Operacional (OT), preservando a continuidade operacional e a segurança.

As disciplinas de segurança são agrupamentos de trabalhos de segurança relacionados que ajudam as organizações a fornecer resultados de segurança consistentemente em toda a propriedade tecnológica. No modelo de adoção de segurança, as disciplinas ajudam a fornecer uma ponte entre cenários de negócios e implementação técnica, garantindo que os investimentos em segurança se traduzam em resultados reais mensuráveis como parte do modelo de adoção de segurança.

Por que a segurança do OT/IoT?

A segurança do OT/IoT aborda sistemas com restrições exclusivas de segurança, disponibilidade e confiabilidade.

Os sistemas OT e IoT aparecem cada vez mais em caminhos de ataque modernos como pontos de entrada, caminhos de movimento lateral e destinos de alto impacto. O principal desafio é que a maioria dos ambientes OT é composta por sistemas herdados ("brownfield") que são frágeis, sem suporte ou difíceis de modificar. Entre as restrições mais comuns estão:

• Software que não pode ser atualizado facilmente.
• Sistemas operacionais ou hardware que não têm mais suporte.
• Fornecedores encerrando o suporte ao produto ou fora do negócio.
• Requisitos regulatórios ou de segurança que tornam as alterações caras ou impraticáveis.

Sem uma disciplina de segurança OT/IoT moderna, as organizações enfrentam:

• Aumento do risco de interrupções de produção e incidentes de segurança.
• Ataques direcionados, incluindo ransomware, em sistemas de controle industrial.
• Violações regulatórias (por exemplo, NERC CIP, IEC 62443).
• Danos físicos e danos potenciais à segurança humana.
• Tempo de inatividade operacional e danos operacionais e de reputação a longo prazo.

Como esses sistemas geralmente dão suporte a serviços críticos, a segurança de OT/IoT é essencial para a resiliência operacional e a segurança pública.

Missão e resultados

A missão é proteger sistemas OT e dispositivos IoT que controlam processos físicos ou coletam dados operacionais críticos. Os resultados da missão incluem:

• Visibilidade aprimorada em todos os ativos OT/IoT.
• Isolamento de ambientes OT/IoT de ambientes de TI e da Internet.
• Mantenha as operações resilientes e compatíveis.
• Proteja o acesso remoto e do fornecedor sem interromper as operações.
• Detecção antecipada de ameaças específicas de OT.
• Probabilidade reduzida e impacto de interrupções, incidentes de segurança e danos físicos.
• Conformidade com os requisitos regulatórios e do setor.

O diagrama a seguir do Arquitetura de Referência de Segurança Cibernética da Microsoft (MCRA) ilustra o intervalo de dispositivos OT e IoT que devem ser protegidos.

Como aplicar essa disciplina

Para aplicar a disciplina OT/IoT efetivamente, concentre-se em estabelecer uma abordagem coordenada para proteger dispositivos conectados e ambientes operacionais, mantendo a segurança e a disponibilidade:

1. Definir uma estratégia de segurança OT/IoT alinhada ao risco operacional
   Estabeleça uma abordagem clara para identificar, priorizar e mitigar riscos para processos operacionais críticos, sistemas industriais e dispositivos conectados com base em seu potencial impacto na segurança e nos negócios.
2. Obter visibilidade abrangente dos ativos OT e IoT
   Mantenha um inventário preciso de dispositivos, redes e fluxos de comunicação para entender o que existe no ambiente e identificar sistemas não gerenciados ou vulneráveis.
3. Segmentar e proteger ambientes OT/IoT
   Implemente controles de segmentação de rede e acesso para isolar sistemas críticos, limitar a movimentação lateral e reduzir a exposição a ameaças entre limites de TI e OT.
4. Padronizar o monitoramento e a detecção de ameaças para OT/IoT
   Aplique recursos consistentes de monitoramento e detecção em dispositivos conectados e sistemas industriais para identificar anomalias, condições não seguras e possíveis comprometimentos.
5. Alinhar a segurança do OT/IoT com requisitos operacionais e prioridades de segurança
   Verifique se os controles de segurança dão suporte a requisitos operacionais de continuidade e segurança, priorizando proteções para processos críticos e minimizando interrupções em operações industriais.
6. Aprimore continuamente por meio de insights e feedba operacional
   Use aprendizados com incidentes, telemetria de dispositivos e métricas operacionais para fortalecer a visibilidade, melhorar a detecção e refinar controles de segurança ao longo do tempo.

Gerenciar alteração

A modernização da Segurança de OT e IoT concentra-se em melhorar a capacidade organizacional de descobrir, monitorar e proteger dispositivos OT/IoT especializados que geralmente não estão incluídos em esforços, controles ou escopo de segurança de TI. Ao contrário dos ambientes de TI, a maioria dos sistemas OT/IoT são de longa duração, críticos à segurança e difíceis de alterar.

Os principais princípios de alteração incluem:

• Visibilidade: use o monitoramento passivo para descobrir e entender os ativos e as comunicações do OT/IoT.
• Isolamento: segmentar e isolar ambientes OT para reduzir a exposição antes de aplicar outros controles.
• Segurança operacional: verifique se os controles de segurança não interrompem operações em tempo real ou sistemas de segurança.
• Aquisição: insira requisitos de segurança nas decisões de compra.
• Alinhamento: torne a segurança sustentável alinhando pessoas, processos e tecnologia. Por exemplo, treine operações, atualize os procedimentos e imponha controles consistentemente.

Estratégia de modernização

A estratégia de segurança do OT/IoT combina a redução de risco de curto prazo com melhorias estruturais de longo prazo para reduzir a probabilidade e o impacto de incidentes de segurança cibernética que podem causar danos humanos, danos físicos ou interrupções nos negócios.

Ao contrário da segurança de TI, a segurança do OT/IoT tem poucos controles de segurança viáveis. A estratégia de segurança deve reconhecer restrições, concentrar-se na execução consistente e eficaz disponível em controles práticos e sustentáveis sem interromper a segurança ou a disponibilidade.

Prioridades estratégicas

As restrições de segurança OT/IoT exclusivas exigem o foco em um pequeno número de prioridades estratégicas de curto e longo prazo:

• Curto Prazo – Monitorar – Usar o monitoramento passivo de dados de rede para inventariar dispositivos e identificar atividades anômalas que podem representar um ataque. Observe que a varredura ativa em busca de vulnerabilidades de software pode fazer com que alguns sistemas remotos travem, às vezes exigindo uma visita ao local, distante ou desabitado, para reiniciar fisicamente o sistema.
• Curto Prazo – Isolar – Isolar dispositivos OT e IoT do acesso direto à Internet e de outros dispositivos conectados à Internet, incluindo redes e dispositivos de TI de usuário padrão.
• Curto Prazo – Outros Controles (conforme aplicável) – Projete e implemente outros controles disponíveis para proteger os sistemas que podem incluir isolamento físico de sistemas altamente confidenciais, aplicação de práticas recomendadas de TI, como atualizações de software (se disponíveis) e muito mais.
• Longo Prazo – Compra ou Substituição – A política de aquisição requer a capacidade de proteger dispositivos para seu tempo de vida operacional completo

A combinação específica de controles variará com base em tipos de dispositivo, restrições operacionais e ciclos de aquisição.

Este diagrama mostra as principais prioridades.

Curto prazo – Isolar ambientes OT/IoT

O isolamento efetivo requer mais do que apenas segmentação de rede simples com regras de firewall para bloquear o tráfego. Alcançar um isolamento eficaz contra ameaças que não interrompem as operações requer uma abordagem abrangente e pensativa implementada consistentemente ao longo do tempo.

A abordagem deve incluir:

• Modelando processos de negócios, tecnologia e ameaças: descubra e documente sistemas OT/IoT. Como eles são usados em fluxos de trabalho de negócios, como a tecnologia é configurada e como os atores de ameaças podem obter acesso.

• Contabilizando pessoas, processos e tecnologia – adotar uma abordagem holística. Por exemplo:

  • No contexto da tecnologia, bloqueie comunicações não autorizadas, detecte ameaças e estabeleça controles de segurança rigorosos para todos os dispositivos de interconexão/trânsito.
  • Para processos, estabeleça, monitore e atualize a política organizacional, os procedimentos comerciais e técnicos e a governança para manter garantias ao longo do tempo.
  • Para as pessoas, treine todos os stakeholders sobre o que, por quê e como executar procedimentos.

• Aplicar a todas as camadas – não restrinja a análise, o design e a implementação a apenas um controle, como rede. Considere todo o sistema, incluindo identidades e acesso, conectividade de rede, acesso físico, sistemas operacionais e aplicativos.

• Dispositivos transitórios seguros – O acesso do dispositivo a ambientes OT/IoT isolados deve ser fortemente protegido para garantir a segurança de ambientes frágeis. Aplique controles rigorosos de pessoas, processos e tecnologia a:

  • Todos os dispositivos que estão permanentemente conectados ao ambiente, como monitoramento de estações de trabalho.
  • Dispositivos que entram ou saem, como notebooks de manutenção de fornecedores. Verifique se você segue os princípios de dispositivo privilegiados.

Este diagrama mostra pontos-chave para isolar ativos de alto valor.

Longo prazo – comprar ou substituir

Verifique se a segurança e a produtividade do OT/IoT aumentam ao longo do tempo, incluindo seus requisitos na política de aquisição. Sem essa etapa, os custos e os riscos das operações de OT/IoT aumentarão ao longo do tempo.

O diagrama compara o resultado com e sem a inclusão de requisitos de segurança.

• Em A, a organização faz uma grande compra sem requisitos de segurança. O exemplo mostra um contrato de suporte terminando mais cedo e um fornecedor fechando. Isso pode incorrer em despesas de suporte não avaliadas e risco elevado.

• No B , a organização inclui requisitos de segurança durante a aquisição. A negociação considera os principais fatores que incluem:

  • O fornecedor fornece atualizações de tempo de vida ou fornece sistemas operacionais mais modernos para equipamentos para fechar um negócio.
  • O fornecedor oferece suporte vitalício. Ou pelo menos estão dispostos a estender o suporte regular ou fornecer um desconto para fechar um negócio.
  • O fornecedor deve seguir práticas sólidas de desenvolvimento de software para reduzir as falhas de design e o risco antecipadamente.
  • O fornecedor está sujeito a verificações que estimam a capacidade do fornecedor de fornecer continuidade e permanecer no negócio.
  • Os planos estão em vigor caso o fornecedor saia do negócio.

Obter valor

A avaliação antecipada dos requisitos ajuda você a maximizar o valor do equipamento e reduzir o risco futuro. Quando você tem essas informações mais cedo, ela protege contra:

• Motivação do fornecedor para atender aos requisitos de segurança após a compra.
• A necessidade de negociar atualizações e suporte em uma data posterior, o que pode ser mais difícil ou caro.

Obviamente, os requisitos de segurança devem ser equilibrados com outras prioridades de negócios e compensações.

Substituição

Seja proativo ao solicitar atualizações, upgrades e sistemas e equipamentos de substituição.

• Não suponha que o custo de substituir um sistema herdado seja sempre muito caro.
• Considere os benefícios comerciais e de segurança ou atualização ou substituição.
• Os ganhos de produtividade com equipamentos mais recentes podem compensar os custos de atualização.
• Considere o custo oculto de sistemas herdados em termos de manutenção, agilidade nos negócios e risco de segurança e interrupção operacional.
• Realize uma análise completa do custo ao longo do ciclo de vida da manutenção de sistemas legados em comparação com a atualização.

Funções de disciplina e colaboradores

As funções de segurança OT e IoT protegem dispositivos e sistemas OT/IoT. Eles garantem que os controles de segurança sejam implementados, mantendo as operações e a segurança. Em organizações menores, essas responsabilidades podem ser combinadas em funções de infraestrutura ou SecOps. Empresas maiores podem ter especialistas dedicados em OT/IoT.

As funções primárias incluem:

• Setores de segurança – Projetar arquiteturas seguras para ambientes OT, aplicando princípios Confiança Zero respeitando os requisitos de lacuna de ar e as restrições operacionais.

• Engenharia e operações de OT – proteja os sistemas de controle industrial (ICS), os ambientes de SCADA (controle de supervisão e aquisição de dados) e os PLCs (controladores lógicos programáveis) usados para controlar e monitorar processos físicos.

  Essas funções implementam e gerenciam o monitoramento de segurança, a segmentação de rede e a detecção de ameaças sem interromper as operações de negócios.

• Profissionais de IoT – integrar dispositivos E dados IoT em fluxos de trabalho, serviços e aplicativos personalizados de negócios.

Os principais colaboradores internos incluem:

• Trabalhos de linha de frente (operações de negócios e equipes de engenharia) – manter sistemas de produção e garantir que os processos operacionais sejam executados sem problemas. Eles integram o registro em log e telemetria ao SIEM (gerenciamento de eventos e incidentes de segurança) e aos sistemas de segurança.
• Trabalhos de linha de frente (gerenciamento de fornecedores) – supervisionar o acesso de terceiros aos sistemas OT.
• Equipes de infraestrutura, plataforma, engenharia de rede/operações – coordena a segmentação de rede e a conectividade entre ambientes de TI/OT.
• SecOps – Monitorar ameaças OT/IoT e responder a incidentes.
• Gerenciamento de conformidade de segurança, conformidade e equipe de auditoria – verifique a conformidade com regulamentos específicos do setor (NERC CIP, IEC 62443, NIST CSF).
• CISO, diretores/gerentes de segurança – defina prioridades estratégicas, tolerância a riscos e objetivos de conformidade para segurança de OT/IoT.

Nenhuma função opera isoladamente. Os profissionais de segurança devem entender os princípios de segurança cibernética e os requisitos operacionais de OT/IoT.

A segurança e a disponibilidade geralmente têm precedência sobre os controles de segurança tradicionais em ambientes OT, exigindo o equilíbrio de segurança com as necessidades operacionais.

Integração com outras disciplinas

A segurança de OT e IoT deve se integrar firmemente a outras disciplinas:

• Segurança de infraestrutura – A segurança de OT/IoT é um subconjunto especializado focado em sistemas industriais.
• SecOps – A equipe do SecOps precisa de treinamento, processos definidos e tecnologia para detectar e responder a ataques de OT/IoT, evitando pontos cegos.
• Gerenciamento da postura de segurança - Essas equipes devem incluir dispositivos IoT/OT nos esforços de descoberta e de priorização/mitigação da postura. Isso ajuda a identificar o risco de OT/IoT, incluindo superfícies de ataque e possíveis caminhos de acesso.

Integração com pilares de tecnologia

Executar a estratégia da disciplina de segurança OT e IoT requer controles de segurança em vários pilares de tecnologia.

• Identidades: os controles de identidade para ambientes OT/IoT devem considerar identidades de máquina, contas de serviço usadas por sistemas de automação e operadores humanos que exigem acesso a controles industriais.
• Pontos de extremidade: pontos de extremidade OT, incluindo estações de trabalho industriais, estações de engenharia e terminais de operadores, exigem segurança especializada para proteger esses sistemas especializados sem impedir operações em tempo real.
• Infraestrutura: a infraestrutura de OT, incluindo sistemas de controle industrial, servidores SCADA, historiadores de dados industriais e PLCs, exige visibilidade e proteção, mantendo os requisitos operacionais e as arquiteturas com isolamento físico, quando apropriado.
• Aplicativos: os aplicativos que interfacem com dispositivos OT/IoT devem ser protegidos para impedir o controle não autorizado de sistemas físicos. Isso inclui HMI (interfaces de máquina humana), aplicativos SCADA e software industrial.
• Dados: dados operacionais de sensores, sistemas de controle e processos industriais devem ser protegidos em repouso e em trânsito, mantendo a integridade crítica para operações seguras.
• Redes: a segmentação de rede entre ambientes de TI e OT é essencial, juntamente com o monitoramento de protocolos industriais (Modbus, OPC, DNP3) e acesso remoto seguro para fornecedores e operadores.
• IA: A IA e machine learning podem aprimorar a segurança de OT por meio da detecção de anomalias em processos industriais, manutenção preditiva e identificação automatizada de ameaças, respeitando as restrições operacionais.

Recursos da Microsoft

Tecnologias

Microsoft oferece soluções de tecnologia que permitem e aceleram a modernização da segurança de OT e IoT.

Isso inclui tanto a tecnologia principal de viabilização quanto as principais tecnologias habilitadoras.

Próximas Etapas 

Saiba mais sobre a infraestrutura e a disciplina de rede.