IEC 62443: reforçando a segurança cibernética em infraestrutura crítica

A ABNT publicou em 24/08/2023 a Norma Técnica Brasileira adotada ABNT IEC TS 62443-1-1, iniciando a série em português, e este é um marco a ser celebrado.

Segurança cibernética é uma preocupação cada vez mais premente em um mundo interconectado, em que dispositivos e sistemas industriais estão cada vez mais plugados à internet. Para garantir a integridade, a confidencialidade e a disponibilidade de sistemas críticos, é essencial adotar padrões rigorosos de segurança. 

A norma ISA99, originalmente publicada em 2007, foi desenvolvida pela International Society of Automation (ISA) para fornecer um conjunto de melhores práticas para a segurança cibernética de sistemas de automação e controle industrial (IACS). A norma foi atualizada em 2013 e em 2016 para refletir as mudanças inerentes a ameaças cibernéticas e no ambiente de IACS. Em 2016, a ISA99 foi adotada pela International Electrotechnical Commission (IEC) como a norma IEC 62443, que é uma série de normas que fornecem um framework abrangente para a segurança cibernética de IACS.

Mas, sabemos como aplicar a norma? Podemos empregá-la em todo tipo de infraestrutura crítica? Este artigo discutirá sua aplicação, que, sim, inclui todo tipo de infraestrutura crítica.

O que é a IEC 62443?

A IEC 62443 é uma norma internacional que estabelece diretrizes e requisitos para a segurança cibernética de sistemas de automação industrial e sistemas de controle. Ela foi desenvolvida para abordar os desafios únicos enfrentados por ambientes industriais, onde a integridade dos processos e a segurança dos trabalhadores são críticas. A norma oferece um conjunto de padrões e práticas recomendadas que podem ser aplicadas em toda a cadeia de suprimentos industrial, desde o projeto até a operação.

Estrutura da IEC 62443

A norma IEC 62443 é composta por várias partes, cada uma abordando um aspecto específico da segurança cibernética em sistemas industriais. Algumas das partes mais importantes incluem:

Parte 1 – Terminologia e conceitos fundamentais: esta parte estabelece os termos e os conceitos-chave usados em toda a norma, proporcionando uma base sólida para a compreensão das diretrizes subsequentes;

Parte 2 – Gerenciamento de segurança de sistemas de controle industrial: aqui, são definidos os requisitos para o estabelecimento e manutenção de um sistema de gerenciamento de segurança, incluindo políticas, procedimentos e processos;

Parte 3 – Sistema de avaliação de risco: esta parte descreve como identificar, avaliar e gerenciar os riscos de segurança cibernética em sistemas industriais. Isso é essencial para determinar as medidas de segurança adequadas;

Parte 4 – Requisitos de sistema de segurança cibernética: são estabelecidos os requisitos técnicos detalhados para projetar, implementar e operar sistemas de controle industrial seguros.

Aplicando a IEC 62443

Fonte: ISA Industrial Cybersecurity Technical Resources, pág. 4.

A aplicação da IEC 62443 envolve várias etapas cruciais:

• Identificação de ativos críticos: primeiramente, é necessário identificar os ativos industriais críticos, como controladores lógicos programáveis (PLCs), sistemas de supervisão e a rede de comunicação;
• Avaliação de riscos: com base na identificação dos ativos críticos, uma avaliação de riscos deve ser realizada para determinar as ameaças potenciais e suas consequências. Isso ajuda a priorizar os recursos de segurança;
• Implementação de medidas de segurança: com a compreensão dos riscos, é hora de implementar as medidas de segurança apropriadas, como firewalls, sistemas de detecção de intrusão e autenticação robusta;
• Monitoramento contínuo: a segurança cibernética é uma jornada contínua, portanto, é essencial monitorar regularmente os sistemas industriais em busca de ameaças emergentes e vulnerabilidades;
• Conformidade com a norma: certifique-se de que todas as práticas de segurança adotadas estejam em conformidade com os requisitos da IEC 62443.

Benefícios da IEC 62443

A aplicação eficaz da IEC 62443 oferece vários benefícios, incluindo:

• Redução de riscos: a norma ajuda a identificar e mitigar riscos cibernéticos, reduzindo a probabilidade de incidentes de segurança;
• Melhoria da resiliência: os sistemas industriais tornam-se mais resilientes a ataques, permitindo uma recuperação mais rápida em caso de violações;
• Conformidade com regulamentos: a adoção da IEC 62443 pode ajudar as organizações a cumprir regulamentos e padrões de segurança relevantes;
• Proteção da reputação: evitar violações de segurança cibernética ajuda a proteger a reputação da empresa e a confiança dos clientes.

Em resumo, a IEC 62443 é uma norma fundamental para a segurança cibernética em ambientes industriais. Sua aplicação diligente pode ajudar a proteger ativos críticos, reduzir riscos e garantir a continuidade das operações industriais. À medida que o cenário de ameaças cibernéticas continua a evoluir, a IEC 62443 é uma ferramenta vital para manter a segurança e a integridade dos sistemas industriais. Logo, investir na compreensão e na aplicação dessa norma é uma decisão estratégica sábia para todas as organizações envolvidas com automação industrial.

Autor:

Por Eduardo Honorato, graduado em Ciências da Computação, com MBA em Business Administration. Especialista em cibersegurança, é coordenador adjunto da CE 003.065.001 da ABNT e CEO da Munio Security.