Resolução traz as diretrizes e os parâmetros mínimos a serem adotados e orientações sobre as melhores práticas
O ataque hacker ao Ministério da Saúde, que derrubou o ConectSus, e contra a Polícia Rodoviária Federal, entre outros órgãos, foram sinais de alerta para os setores de missão crítica no Brasil. Prova disto é que Agência Nacional de Energia Elétrica (Aneel) acelerou a publicação da política de segurança cibernética para o setor elétrico, ou seja, para todas as geradoras, distribuidoras e transmissoras de energia no país.
O Conselho Nacional de Energia Elétrica (CNPE) já tinha aprovado as diretrizes para a política de segurança cibernética, mas essas normas ainda dependiam de uma regulamentação da Aneel para entrar em vigor. A nova resolução traz as diretrizes e parâmetros mínimos a serem adotados, assim como orientações sobre as melhores práticas para o setor.
Segundo documento publicado no site da Aneel, cada agente e entidade deverá descrever em sua política a gestão, a avaliação e o tratamento dos riscos de segurança cibernética, incluindo procedimentos de resposta rápida para contenção de incidentes. Além disso, deve ser promovida junto aos funcionários uma conscientização acerca dos riscos cibernéticos por meio de exercícios cibernéticos. Entre os requisitos estabelecidos, estão:
• Obrigatoriedade de informar à Aneel casos de crise em segurança cibernética;
• Obrigatoriedade de compartilhamento de incidentes cibernéticos relevantes entre os agentes e entre os agentes e a Aneel;
• Obrigatoriedade da empresa escolher e aplicar periodicamente uma metodologia de avaliação de maturidade regulatória;
• Segmentação de redes de operação (TO) da TI e da Internet;
• Procedimentos de resposta rápida para contenção de incidentes;
• Implementação de processos de gestão, avaliação e tratamento dos riscos de segurança cibernética.
Para Marcelo Branquinho, CEO da TI Safe, a implantação da política determinada pela Aneel é mais um importante passo para uma regulação da proteção cibernética para o setor de energia, que vem se somar à Rotina Operacional sobre Segurança Cibernética (RO.CB.BR.01), publicada pelo Operador Nacional do Sistema Elétrico (ONS). “Estamos cada vez mais conectando os sistemas. As redes de TI e TO, no início separadas, agora estão em convergência. A TI já se acostumou a lidar diariamente com problemas de segurança de dados. Porém, a automação passou a herdar também este problema. As estações assistidas remotamente e precisam estar protegidas de ataques cibernéticos e esse é o momento propício para adequar os orçamentos com foco em prevenção”, detalha o executivo.
Na avaliação de Marcelo, os últimos ataques aos órgãos públicos brasileiros não são casos isolados. Em 2021, o mundo presenciou casos de incidentes de ransomware que não só viraram manchetes dos principais jornais mundiais, mas também se tornaram um divisor de águas nas estratégias de defesa, colocando o CISO como protagonista na resolução de problemas. Estudo divulgando pela KPMG indicou que 41% das organizações em todo o mundo reportaram aumento na quantidade de incidentes e mostrou ainda mudanças nas estratégias dos criminosos cibernéticos, que pressionam o máximo possível para obter o pagamento de resgate, assediando até funcionários como medidas adicionais de extorsão.
Saiba mais: Minuta de Resolução Normativa Aneel
