A segurança cibernética está entre os riscos que mais ameaçam empresas e sociedade. Prova disso é um estudo da Deloitte, que destacou a cibersegurança como um dos riscos que mais preocupam, do ponto de vista da gestão corporativa. Os riscos de ataques cibernéticos aparecem no top 1 entre as principais ameaças, seguido de confidencialidade e privacidade e LGPD.
O World Economic Forum também apresentou um relatório com um cenário dos riscos globais que enfraquecem o progresso no desenvolvimento humano, deixando estados e indivíduos vulneráveis a riscos novos e ressurgentes. Além de crises climáticas, desinformação, poluição, entre outros problemas que preocupam a sociedade, a segurança cibernética se destaca, ocupando o 4º lugar em uma perspectiva de curto prazo (2 anos) e o 8º lugar em uma perspectiva de médio prazo (10 anos).
A empresa Vale S.A., atenta a esse cenário e também ao retrato da segurança cibernética em seu segmento de atuação, iniciou em 2016 um movimento para implantar um programa de “Risk-based security” em OT na companhia. O case foi apresentado por Rafael Roseira, risk compliance and information security da Vale, durante a 5ª edição da CLASS – Conferência Latino Americana de Segurança em SCADA, realizada nos dias 14, 15 e 16 de maio, no Museu do Amanhã, no Rio de Janeiro (RJ). Vamos conferir como tudo aconteceu?
Início da jornada
O final de 2016 foi marcado na Vale pelos primeiros passos do programa de gestão de riscos cibernéticos no ambiente de OT. As ações foram sendo implantadas aos poucos e se tornando parte da estrutura corporativa ao longo dos anos.
Dados de diversos estudos e casos de incidentes ao redor do mundo foram motivadores do pontapé inicial de um “Risk-based security” em OT, entre eles um relatório da Ernst & Young, que apresenta os 10 principais riscos de negócios para o setor de mineração e metais. Nesse material, a segurança cibernética só saiu do radar dos top 10 entre 2020 e 2023. Em 2018 chegou a estar em terceiro lugar. No último estudo, realizado em 2023, a cibersegurança figurou em oitavo lugar.
Por que a segurança cibernética se tornou uma preocupação da Vale S.A.?
“Porque estamos em uma época em que é inadmissível termos uma operação funcionando nos moldes antigos, de forma isolada”, destacou Rafael, mencionando a necessidade atual de criar conexões.
“Há soluções que se conectam com a internet, há soluções de operação se conectando a sistemas corporativos, há os processos logísticos da cadeia de produção que precisam estar ligados. Como eu posso unir as informações de uma mina, de uma ferrovia, de um porto e da navegação até outro lado do mundo? Como eu conecto a venda de minério com a produção?”, perguntou.
Se as informações e operações estão isoladas, não há como uni-las. E foi esse movimento mundial de conectividade e de integração de dados, sistemas, equipamentos e operações que contribuiu para a evolução do tema de gestão de riscos cibernéticos em OT na Vale. “Foi em 2016 que vimos essa explosão de soluções aparecendo, tecnologias, projetos que exigiam mudanças na nossa arquitetura. Naquela época, a cibersegurança ainda não estava entre as prioridades”, enfatizou.
Estruturando a gestão de riscos cibernéticos no ambiente de OT
Foi em 2017 que a Vale iniciou o programa de gestão de riscos de forma mais estruturada. Para isso, algumas ações foram planejadas e um conjunto de serviços básicos, executados.
Análises de segurança: Para este tópico, os times do programa foram a campo para realizar análises de segurança nas operações, incluindo análises de vulnerabilidade, análises de controles (elaborados com base na norma ISA 62443 e parceria com companhias de OT, gerando uma nova lista de controle de OT customizada para as operações) e testes de invasão, executados em parceria com uma empresa especializada, de forma cautelosa e controlada.
“Os testes de invasão no ambiente de OT são ferramentas fantásticas. Não sob o ponto de vista técnico, mas sob o ponto de vista de convencimento, pois trata-se de uma alternativa de impacto e de engajamento para as equipes cumprirem as normativas internas de controle. Não há nada melhor do que isso”, frisou Rafael.
Roseira pontuou também a importância de colocar em prática o conceito de zero trust. “Não é porque há proteção nas camadas anteriores da rede de OT que ela estará protegida. Precisamos ter proteções nas camadas de OT também. E era exatamente nesses locais que fazíamos os testes”, destacou.
Gestão de riscos: Ao longo do processo, a gestão de riscos cibernéticos no ambiente industrial, alinhada com a metodologia corporativa, foi sendo implementada, de fato, na Vale. Neste processo, a preocupação da empresa era checar quais as chances de incidentes ocorrerem nas operações, considerando o ambiente de proteção existente. “E, ainda, se tivermos um incidente, qual o tempo de retorno, qual seria o tamanho daquele ataque”, salientou Roseira.
Um ponto de atenção elencado por Rafael é aceitar que gestão de riscos é um processo que não tem data para terminar. São necessárias análises, acompanhamento quanto aos tipos de riscos, probabilidades, impactos e aperfeiçoamento contínuo.
Treinamento: A conscientização e capacitação das equipes também fez parte do pacote de serviços do programa “Risk-based security” em OT, abrangendo diversos níveis da organização.
Expansão do programa
Quando iniciou, em 2017, o programa de “Risk-based security” em OT foi implementado em seis operações da Vale, sendo quatro no Brasil e duas no exterior. A partir de 2018, iniciou-se um processo de expansão para as principais operações da Vale no mundo.
2018: 24 operações no Brasil e 2 no exterior
2019: 7 operações no Brasil e 4 no exterior
2020 (início da pandemia): 2 operações (1 no Brasil e 1 no exterior)
Outro evento que fortaleceu a segurança de riscos cibernéticos, além de outras rotinas na Vale, foi o incidente de Brumadinho, que aconteceu em 2019. “Esse evento gerou uma avalanche de mudanças na empresa. Até hoje vivemos essa reconstrução cultural e forma mais sólida de atuação”, revelou Rafael.
Integração de IT e OT
Em 2020, Rafael apontou o início de outro movimento muito importante para o sucesso do programa de gestão de riscos no ambiente industrial: a integração de IT e OT. Uma nova Diretoria foi constituída, a de Tecnologia. “As mudanças foram lentas e duraram até 2022, uma vez que a nova área exigia uma organização diferente em termos de gestão de pessoas, processos e procedimentos”, ressaltou.
Os riscos das divisões de IT e OT também foram integrados, elevando a maturidade da gestão e da segurança cibernética, bem como os níveis de conformidade com controles diversos, como gestão de vulnerabilidades, acesso e controle de USB’s, backups, monitorização de segurança, detecção e respostas a incidentes, entre outros.
Momento atual do “Risk-based security” em OT na Vale
Roseira finalizou sua fala no palco da CLASS mencionando o quanto a gestão de riscos cibernéticos no ambiente industrial tem suportado diversas outras iniciativas importantes para a organização. Entre eles, citou:
- Processos de tomada de decisão:“Atualmente, redução de riscos é uma categoria que pode justificar projetos que necessitam de orçamento, desde que o gestor apresente sistematicamente qual é o risco que está sendo gerenciado e quais melhorias serão geradas futuramente”.
- Ciclo de vida dos ativos, com gerenciamento da obsolescência dos equipamentos e análise do risco para a operação.
- Definição de ativos críticos, identificando e sinalizando o conjunto de ativos cuja indisponibilidade ou quebra de integridade pode gerar impactos significativos nas operações. Para os ativos críticos identificados, há controles específicos de cibersegurança.
