TI Safe – A indústria do futuro requer que as empresas estejam cada vez mais interligadas. Em sua avaliação, quais são os principais riscos da digitalização das redes de energia e como eles podem ser mitigados?
Paulo Antunes – Estamos realmente vivendo a revolução da IoE (Internet of Energy), na qual observamos cada vez mais dispositivos de energia conectados em sistemas na nuvem (Cloud), além de um enorme parque de equipamentos de proteção acessíveis via redes LAN (Local Area Network – Rede de área local). As empresas fazem isso com o objetivo de extrair valor das informações existentes nesses dispositivos para que possam ser mais eficientes e competitivas. No entanto, quanto mais dispositivos conectados, maior a superfície de exposição e, consequentemente, maior o risco de ataques cibernéticos. Por isso, a segurança cibernética é tão importante para a revolução do IoE, pois toda essa tecnologia só irá ganhar escala se as pessoas confiarem neste sistema, se ele for seguro.
Os riscos existentes em sistemas de energia são diversos, sendo os mais perigosos aqueles que estão relacionados com a possibilidade de alguém tomar o controle remoto de uma subestação ou de uma planta de geração de energia. E, assim, atuar para realizar um desligamento amplo no fornecimento de energia elétrica. A exemplo do recente apagão Venezuela, em decorrência de falha na hidrelétrica Guri, que abastece quase 80% do país. O presidente Nicolás Maduro atribuiu a falta de fornecimento de energia elétrica a um ataque cibernético (ainda sem comprovação). Há também o caso clássico na Ucrânia, em que um blackout oficialmente atribuído pelo Department of Homeland Security dos EUA por ataque de hackers.
Na Siemens, consideramos que um sistema de energia demanda uma abordagem holística, passando por:
- Equipamentos e sistemas seguros
- Pessoas capacitadas em segurança cibernética
- Processos adequados para controle e uso das tecnologias de segurança cibernética.
A solução depende de cada instalação e cliente. Entendemos que não existe uma resposta única. Assim, as fases de um projeto passam por:
- Avaliação da infraestrutura do sistema de automação de energia
- Implementação das medidas de segurança
- Manutenção da segurança cibernética ao longo do tempo
A Siemens está muito atenta a esse tema e há cerca de um ano assinou um documento chamado Charter of Trust, em conjunto com diversas empresas multinacionais. Nesse documento, existe um compromisso para que a segurança cibernética faça parte da agenda dos CEOs e do core das empresas, com 10 princípios para um mundo digital mais seguro. Mais informações estão disponíveis no site: https://new.siemens.com/global/en/company/topic-areas/digitalization/cybersecurity.html
TI Safe – De que forma é possível arquitetar redes de automação de energia confiáveis e robustas neste cenário de manufatura avançada?
Paulo Antunes – A Siemens faz uso da norma internacional IEC-62433 para definir os mecanismos de segurança de seus projetos de automação de energia elétrica. Essa norma define como devem ser feitas a proteção e implantação desses sistemas. Utilizamos também o princípio de defesa em profundidade na definição de um sistema seguro, o princípio de design seguro na definição da topologia e arquitetura de rede e o princípio de menor privilégio na definição dos papéis dos usuários no sistema. Para atingir o nível de segurança necessário, combinamos uma série de medidas de segurança. Eles são aplicados de acordo com a realidade de cada empresa e de uma maneira a não interferir em telegramas críticos utilizados, como por exemplo o GOOSE:
Controle de acesso e gestão de credenciais
- Logging
- Hardening
- Patching
- Proteção anti malware
- Acesso remoto seguro
Nossos produtos estão sendo desenvolvidos com uma série de funcionalidades de segurança cibernética embarcados, como por exemplo:
- RBAC – Role-based access control com gestão central de usuários.
- Logging com gestão central de alertas de cyber security
- Firmware digitalmente assinado, com uso de crypto-chip
- Criptografia em protocolos para tráfego de informação sensível
- Armazenamento seguro de informações sensíveis dentro do equipamento
Assim, endereçamos imediatamente dois pontos da nossa abordagem holística:
- Equipamentos seguros
- Processos adequados de uso das tecnologias de segurança cibernética
TI Safe – Como funciona a ferramenta de verificação automática de segurança Cibernética de Sistemas de automação de energia da Siemens?
Paulo Antunes – A ferramenta que usamos chama-se Siesta (Siemens Extensible Security Testing Appliance). É uma solução que nos apoia na execução de projetos podendo ser aplicada nas seguintes fases:
- Avaliação da infraestrutura do sistema de automação de energia
- Implementação e confirmação das medidas de segurança
A solução possuiu uma série de rotinas internas, que testa o sistema existente contra normas e implementa as melhores práticas de configuração de equipamentos para detectar vulnerabilidades e erros de configuração existentes nos componentes da solução. O resultado é um relatório em formato de “Farol”, classificando o nível de problemas encontrados em vermelho / amarelo / verde. Isso serve de base para a definição das medidas de segurança que devem ser aplicadas para garantir uma mitigação dos riscos cibernéticos nas infraestruturas críticas de energia.
