Projeto, implantação, gestão e monitoramento de Cibersegurança no Grupo Gerdau.
No dia 29 de junho, a partir das 10h, o CISO Global da Gerdau, Vitor Sena, em parceria com o Consultor de Segurança da Informação, Daniel Quintão, apresentará a iniciativa mundial de segurança adotada pela companhia, abordando aspectos de governança, tecnologias e dia a dia das operações. O TI Safe News conversou com Vitor Sena sobre o projeto da Gerdau e sobre como ele enxerga a crescente necessidade de aprimorar a segurança cibernética na indústria siderúrgica. Confira a entrevista a seguir:
TI Safe News – Conte sobre as suas atribuições e área de atuação na Gerdau
Vitor Sena – Atuo hoje como head de segurança da informação. Sou o CISO global da Gerdau. Nessa função eu tenho responsabilidade pela estratégia e operação da segurança da informação em todas as unidades nos 10 países em que a Companhia está presente, desde o Canadá até o Uruguai. Também sou responsável pela estratégia de cibersegurança de redes industriais, ou seja, de TO (Tecnologia Operacional). Estou na empresa desde 2018 quando iniciei a estruturação de algumas disciplinas de segurança da informação. O meu time também é global e está espalhado pelas localidades em que a Gerdau atua. Nosso objetivo é elevar a maturidade de segurança da informação a um patamar de maior tranquilidade em relação a incidentes cibernéticos e a outros que possam afetar as nossas operações industriais.
TI Safe News – A Gerdau opera na América do Norte, Argentina, Brasil, Colômbia, México, Peru, República Dominicana, Uruguai e Venezuela. São quantas plantas fabris ao todo e como a digitalização das usinas está inserida na operação da companhia?
Vitor Sena – A Gerdau é a maior produtora de aço do Brasil, uma das maiores produtoras de aços longos e planos das Américas e de aços especiais do mundo. Operamos em 10 países, como comentado anteriormente. Nossa maior operação é no setor de aços longos e planos nas plantas do Brasil e Estados Unidos, mas também temos usinas importantes em outros países como no México, Peru, Uruguai, Argentina e Colômbia. São cerca de 38 usinas, sendo que algumas delas são integradas e fazem a produção do aço desde o minério até o produto final, já em outras trabalhamos com reciclagem. A companhia é, também, a maior recicladora das Américas, sendo que aproximadamente 70% da nossa produção é oriunda dessa atividade. O aço é o único produto que é eternamente reciclável. A nossa atuação no setor gera um ciclo virtuoso sustentável que ajuda a desenvolver as cadeias de fornecedores das matérias primas utilizadas na reciclagem de pequenos a grandes empreendedores. Levando tudo isso em consideração, a Gerdau tem uma frente de digitalização muito avançada. Estamos nessa jornada desde 2015 utilizando várias tecnologias e produtos digitais como, por exemplo, digital twins para fazer análise de produção e de demanda em ambiente virtualizado. Fazemos, ainda, a classificação de sucata com uso de drones e de filmagem com captação de realidade aumentada. Também usamos muito a digitalização para assegurar a segurança das pessoas, que é o nosso princípio mais valioso. Robôs e sistemas de automação introduzidos no setor de siderurgia, que é uma fabricação hostil, evitam que um operador se exponha ao risco desnecessário. Ou seja, temos muitas aplicações digitais, seja na parte de segurança física dos colaboradores como em todo o processo de produção industrial, além das aplicações corporativas para gerar análises de dados, que fornecem para os nossos clientes maior precisão em relação a prazos e produtos. A inteligência artificial atua para aumentar a velocidade de especificação dos materiais que são encomendados. A digitalização é, portanto, parte do nosso dia a dia. Hoje os operadores de fábrica dominam essas tecnologias, gente do negócio que opera e gera produtos digitais usando uma fundação que foi criada pela TI.
TI Safe News – Quais são os principais mecanismos de controle nas redes de automação (TA) das plantas da Gerdau?
Vitor Sena – Iniciamos a implementação de uma frente de segurança para operações onde focamos em três grandes blocos: 1) visibilidade de ameaças, 2) segregação das redes industriais com análise de malwares e tráfego malicioso e 3) o acesso remoto. Para cada uma dessas frentes, temos uma abordagem diferente. Por exemplo, na parte de visibilidade, estamos implementando IDSs industriais conectados aos SOCs terceirizados em TO. Entendemos que num primeiro momento não fazia sentido integrar essa visualização de ameaças em um SOC tradicional, em virtude da abordagem e da leitura dos eventos serem diferentes. O próprio relacionamento com as áreas de TO tem suas particularidades.
Em relação a segregação de redes, tínhamos alguns cenários em que os ambientes eram isolados por questão de vocação, ou seja, não havia necessidade de conexão desses ambientes. Com o advento dos projetos de indústria 4.0, esses ambientes começaram a se conectar uns aos outros, gerar logs e informações, o que veio ao encontro da segregação física das nossas redes. O objetivo é gerar maior segurança de perímetro e controle de acesso aos ambientes. Por fim, na parte de acesso remoto, que é um vetor relevante de segurança para processos industriais, criamos um padrão específico que gera mais controle. Nessas implementações, temos como parceiros tecnológicos Nozomi Networks, Palo Alto e a TI Safe.
TI Safe News – Como funciona a proteção nas usinas em relação a integração IoT?
Vitor Sena – Consolidamos numa rede apartada dentro da área de automação para termos controle maior de tráfego de informação. A comunicação com o mundo externo, no nosso modelo de arquitetura de segurança, passa por uma camada de segurança de perímetro em que fazemos algumas verificações como, por exemplo, se esse ambiente está se conectando a uma fonte confiável, se o que está passando por ela tem alguma comunicação ou tráfego malicioso. Ou seja, há um controle intenso porque é segregado das demais redes e também por conta da camada de checagem adicional quando sai do perímetro de automação e o tratamento migra para dentro de um consolidador ou de um outro sistema na camada de TI.
TI Safe News – Quais são os aspectos de segurança mais importantes para operação de uma usina siderúrgica?
Vitor Sena – Em geral, quando falamos de segurança de TO voltamos aos três pontos mencionados anteriormente. Temos preocupação com acesso remoto, principalmente, porque muitos dos nossos fornecedores de soluções de automação não estão no Brasil e, por isso, não tem outra forma de dar manutenção no sistema a não ser remotamente. Esse acesso precisa ser controlado. A segregação das redes é importante porque não é possível trabalhar a atualização dos computadores da mesma maneira que se faz em TI. É necessário conviver com a realidade de que os ambientes estão com pendências de atualização de segurança, alguns não suportam antivírus. Por isso, é importante esses ambientes serem segregados para que se, por acaso, houver um incidente seja possível isolá-lo de maneira mais efetiva e assim não comprometer a operação da usina toda. Em relação a visibilidade, é importante o tratamento das ameaças e anomalias que acontecem nessas redes. Ou seja, é preciso adotar tecnologias que identifiquem as ameaças e ter uma camada de serviços que trate e responda pelos incidentes. Esses três pilares cobrem de maneira macro todo o risco de segurança cibernética para no ambiente siderúrgico.
TI Safe News – Qual a importância do monitoramento remoto das redes de comunicação? De que forma a Gerdau implementa?
Vitor Sena – Os eventos no ambiente de TA, gerados por ferramentas de segurança, são consolidados numa console, que é monitorada pelo SOC. Um time de especialistas, de pessoas treinadas em tecnologia de automação tratam essas informações. Se os dados não estiverem de acordo com o padrão de comunicação ou de comportamento de uma rede de automação, será investigado. A função do SOC passa, portanto, por identificar o que não está dentro de um padrão esperado de comportamento e se é uma ameaça cibernética ou não. Depois segue o tratamento através de ferramentas de segurança ou direcionamento para o time de campo para que eles façam uma validação do ambiente por meio de remediação do caso. É comum nesse processo a criação de playbooks (script de correção, de atendimento e ação) pré-acordados de acordo com a identificação do incidente.
TI Safe News – De que forma a companhia mapeia e faz o gerenciamento dos riscos cibernéticos e quais seriam os impactos de uma parada na produção devido a um ataque cibernético?
Vitor Sena – O processo de gestão de riscos é trabalhado dentro do time de segurança, seja para TI ou para TO. Os riscos são mapeados e no caso da TO estão diretamente vinculados à probabilidade de interrupção da operação. Por exemplo, se ocorrer um incidente em uma usina e por conta disto o sistema de gestão de produção ficar indisponível, quase que imediatamente é necessário parar a linha. No caso de uma usina, se interromper uma linha de produção de aço, o que foi produzido até aquele momento deve ser descartado. Ou seja, é um impacto direto na receita. Isto porque o planejamento de uma determinada carga de produtos não será realizado de acordo com a programação e o cliente não vai receber o que adquiriu. Até mesmo os equipamentos podem ser danificados, uma vez que o aço pode solidificar dentro um forno e gerar custo indireto de manutenção. Fora possíveis outros desdobramentos indiretos como o impacto na reputação junto aos clientes. Também pode ocasionar prejuízo para a cadeia de produção por impacto na programação de empresas de logística e transporte. Um ataque cibernético pode gerar um verdadeiro efeito cascata.
TI Safe News – Em relação à governança, qual a importância da conscientização das equipes sobre os riscos cibernéticos para a estratégia de segurança da operação? Como isto acontece na Gerdau?
Vitor Sena – Dentro do nosso time de segurança temos pessoas dedicadas a para a conscientização. Entendemos que o tema tem uma relevância especial e, por isso, dentro dos programas que implantamos na Gerdau existem capítulos específicos dedicados à conscientização de segurança industrial. São vários tipos de abordagem, desde a comunicação por canais digitais como e-mail, rede social interna (Yammer), comunicados em circuitos de TV interno até treinamentos específicos para as áreas operacionais e, também, a realização de workshops nas plantas fabris com a participação de especialistas para discutir o tema e apresentar cenários de ameaças de segurança cibernética. Rodamos, ainda, alguns simulados de incidentes cibernéticos, pontualmente em unidades específicas, para medir tempo de resposta, resiliência e prontidão da planta.
TI Safe News – Quais são as suas expectativas em relação à participação na CLASS 2022?
Vitor Sena – Estou animado e empolgado com o evento. É uma oportunidade interessante de networking, para conhecer pares que enfrentam desafios similares e trocar experiências. Também é importante poder falar sobre o tema de segurança de TO de maneira centralizada. Participo de muitos eventos de segurança em que vez ou outra a abordagem sobre OT Security aparece, mas não de forma dedicada. Portanto, a discussão costuma ser superficial. Num evento como a CLASS, temos a oportunidade de tratar o tema com foco e, ainda, levar pessoas da equipe para também tenham a oportunidade de enxergar as novidades em tecnologias e processos numa perspectiva de 360 graus. São interações que os eventos online não são capazes de suprir.
