Opinião: Convergência OT/IT: Novas vantagens trazem novos riscos

Por Daniel Kwong (*)

Os ciberataques são uma preocupação crescente para empresas de todos as dimensões. Desde os primeiros tempos da internet comercial, que as empresas têm tentado encontrar formas de melhorar a segurança. Antigamente, a segurança envolvia a instalação de firewalls básicos e sistemas de deteção de intrusão. No entanto, à medida que as redes e a Internet se tornaram mais complexas e as empresas mais dependentes da tecnologia, manter as redes e sistemas seguros tornou-se um desafio maior.

Até há pouco tempo, as redes OT funcionavam como ambientes isolados, também conhecidas como air-gapped. Em infraestruturas críticas e ambientes de produção, a disponibilidade sempre foi uma prioridade mais elevada do que a cibersegurança. Mas o surgimento e crescimento de aplicações IT que analisam e gerem ambientes industriais em tempo real levaram à convergência das redes OT e IT. Esta convergência expõe as OT às mesmas ameaças de cibersegurança com que as IT lidam há décadas.

A vantagem desta convergência das redes IT e OT é que as máquinas e dispositivos podem ligar-se e partilhar dados. Mas a desvantagem é a crescente ameaça às infraestruturas críticas. Ao compreender melhor as implicações da convergência, pode fazer o seguinte para ajudar a proteger o seu negócio de ciberataques:

5 dicas para ajudar a proteger contra ciberataques da convergência de OT e IT

1. Segmentação de rede de infraestruturas IT e OT: As empresas modernas são orientadas por dados e podem ganhar uma vantagem competitiva simplesmente através da qualidade dos seus dados e da sua capacidade de tomar decisões informadas com base nos mesmos. Para uma utilização eficaz dos dados, é importante compreender como os dados fluem entre IT e OT. As organizações devem colocar uma data classification e um data process framework para dar visibilidade ao fluxo de dados. Os dados também devem ser classificados de acordo com o seu nível de sensibilidade. Só os dados com um elevado nível de sensibilidade devem ser acessíveis àqueles que precisam realmente de saber. O processo de classificação de dados deve ser documentado e a norma deve ser aplicada.

 Com a tecnologia, as organizações podem segmentar inteligentemente os bens de rede e infraestruturas, independentemente da sua localização, seja no local ou em múltiplas clouds.

Uma firewall de próxima geração pode então ser utilizada para a segmentação interna com o objetivo de isolar os ativos críticos de IT para assegurar a rápida deteção e prevenção de ameaças utilizando a análise e a automatização. A segmentação interna proporciona uma segmentação end-to-end que expande as redes e as fronteiras geográficas.

2. Encriptação de dados durante a transmissão: Tendo em conta que a transmissão de dados é suscetível de interceção por terceiros não autorizados, a encriptação é uma medida de segurança vital. Os dados sensíveis devem ser protegidos durante a transmissão, e a encriptação assegura que os dados não sejam legíveis por outra pessoa que não o destinatário pretendido, uma vez que se movem entre ambientes IT e OT. 

3. Avaliação de risco e segurança integrada: Para assegurar que os dados e sistemas da empresa são seguros, a segurança deve ser concebida desde o início, e deve ser feita regularmente uma avaliação de risco adequada. A segurança através da conceção significa que a segurança é incorporada no sistema e não como um pensamento posterior, devendo ser considerada durante a fase de conceção de qualquer novo sistema e implementada de forma rentável e eficiente. A avaliação de riscos é o processo de identificação, quantificação e mitigação de riscos para assegurar que a empresa é o mais segura possível. Os riscos podem provir de várias fontes, incluindo ameaças internas e externas.

Ao incorporar a segurança de aplicações nativas nos processos de desenvolvimento, as organizações podem compreender melhor os riscos de segurança que se podem esconder nas aplicações web, incluindo source code, componentes de open-source e vetores de ataque em tempo de execução. 

4. Segurança ao nível das componentes: A segurança ao nível das componentes é uma questão crítica para as supply chain de software. As vulnerabilidades do software podem ser introduzidas em qualquer fase da supply chain de software, desde o design original até à aplicação de post-deployment patching. As organizações necessitam de soluções que possam dar visibilidade à postura de segurança das cargas de trabalho baseadas em containers em ambientes multi-cloud.

5. Governação da Cibersegurança: Uma framework bem definida de governação da cibersegurança é fundamental para uma organização proteger os seus bens de informação críticos contra acesso, utilização, divulgação, alteração ou destruição não autorizados. Sem este tipo de framework em vigor, as organizações são suscetíveis a uma vasta série de ciberameaças.

Várias métricas de cibersegurança podem ser utilizadas para medir a postura de segurança de uma organização. Estas métricas podem ser utilizadas para acompanhar a eficácia dos controlos de segurança e identificar áreas que precisam de ser melhoradas. Felizmente, nos últimos anos, foram feitos enormes progressos na análise de segurança e em machine learning, de modo que as empresas podem obter mais informações sobre a sua situação de segurança e fazer melhorias.

Novos benefícios trazem novos riscos

 Atualmente, a digitalização dos processos operacionais resultou num aumento de produtividade, eficiência, capacidade de resposta e ganhos de rentabilidade global. Mas apesar das convergências tecnológicas e organizacionais entre IT e OT tenham tido um impacto dramático nas organizações, o acesso a sistemas recentemente ligados abriu novos vetores de ameaça. Dados os desafios únicos dos sistemas e dispositivos OT, as organizações necessitam de novas soluções concebidas para abranger as suas redes IT e OT e satisfazer as necessidades operacionais de ambos os lados da organização.

(*) CISO, South East Asia and Hong Kong, Fortinet