Desafios da cibersegurança na indústria de moldes

Carlos Manuel da Silva Rabadão *

* Professor Coordenador; Departamento de Engenharia Informática; Escola Superior de Tecnologia e Gestão do Politécnico de Leiria

A “Internet das Coisas” (IoT – Internet Of Things) está progressivamente a invadir o espaço onde vivemos, onde trabalhamos e onde nos divertimos. De acordo com estudos recentes, o número total de dispositivos IoT ligados chegará a 75 mil milhões até 2025, com quase 30% deles instalados em ambientes industriais.

Apesar dos desafios técnicos inerentes ao IoT, um grande número de indústrias tem vindo a adotar soluções Industrial IoT (IIoT), um dos principais pilares do paradigma “Indústria 4.0”, como veículo para melhorar as suas operações, nomeadamente ao nível da manutenção preditiva, da gestão de inventários e monitorização de ativos, da gestão de frotas e da previsão da procura.

Atualmente, um dos mais importantes processos no mercado de IIoT é a convergência das tecnologias da informação (IT) e das tecnologias operacionais (OT) utilizada no chão de fábrica, tais como sistemas ICS (Industrial Control Systems), SCADA (Suspervisory Control and Data Acquisition), PLC (Programming Logic Controllers) e interfaces homemmáquina (HMI – Human-Machine Interface). Uma das considerações principais a ter em conta neste processo é que a convergência IT/ OT não se deve limitar à mistura destas duas tecnologias, mas sim à fusão de duas realidades inteiramente distintas, o que também requer formas completamente novas de conceber os sistemas industriais.

A adotação de tecnologia IIoT, a par com a convergência bem-sucedida de IT/OT, permitem um melhor nível de automação, um desempenho mais otimizado, uma redução significativa de custos e uma visibilidade total de todo o processo operacional. Estas contribuições positivas devem-se, em larga medida, a uma maior interação e relacionamento entre os sistemas interligados no chão de fábrica e à recolha de dados numa escala nunca vista, permitindo assim tirar partido da informação e do conhecimento deles extraído, para apoio à decisão e definição de novos processos de produção. Embora os benefícios sejam significativos, este novo paradigma aumenta significativamente a exposição do ambiente operacional a ataques cibernéticos.

NOVOS DESAFIOS DE CIBERSEGURANÇA NA INDÚSTRIA

Estudos recentes indicam que quase metade dos fabricantes de dispositivos IoT adotam tecnologia vulnerável a ataques cibernéticos, nomeadamente a utilização de aplicações móveis (App) para interagir com esses equipamentos, e que 75% utilizam redes sem fios para transmitir dados de e para esses dispositivos. É igualmente conhecido que o firmware embebido nos dispositivos IoT, e que constitui o cerne do respetivo controlo, não é atualizado regularmente pelos respetivos fabricantes, de modo a resolver vulnerabilidades entretanto identificadas.

É importante ainda notar que os sistemas de IT do sector produtivo são vitais na adoção da “Indústria 4.0”. Estes sistemas não servem apenas para os funcionários verificarem e-mails, efetuarem consultas na Internet, criarem projetos e lidarem com tarefas de engenharia; é também a rede por onde circulam os dados de produção que vão sendo reportados, designadamente os referentes a pedidos de produção, entrega e logística.

Como consequência da inevitável utilização de tecnologia IIoT no chão de fábrica e da integração IT/OT, a indústria tem de saber lidar com um conjunto de aspetos que contribuem para a insegurança do IIoT:

1. Deficiente análise e mitigação de riscos – Os operadores e engenheiros que operam e gerem os equipamentos de chão de fábrica não têm um conhecimento abrangente e profundo sobre as questões associadas à cibersegurança. O espaço de operação tradicional dos sistemas OT é frequentemente tido como seguro e imune a ataques cibernéticos. Por outro lado, é frequente os profissionais de IT não estarem familiarizados com os sistemas instalados no chão de fábrica, e os sistemas de segurança com que lidam diariamente nas redes IT não preverem as especificidades dos protocolos industriais e dos dispositivos IoT. Este cenário leva a que não exista uma estratégia coerente e integrada para a avaliação de risco e consequente mitigação de vulnerabilidades nos ambientes IT e OT.

2. Vulnerabilidades dos sistemas industriais – Os fabricantes de sistemas industriais tradicionais não consideravam a cibersegurança como um requisito fundamental na conceção e desenvolvimento dos seus produtos. Tal pode justificar-se pelo facto de estes dispositivos se destinarem a ser instalados em redes fechadas e muitas das vezes proprietárias, tidas como seguras e “inatingíveis” a partir da Internet. A mudança para um paradigma de redes abertas, integradas com a redes IT e com a Internet, veio colocar a claro muitas vulnerabilidades existentes nos sistemas tradicionais em operação. Para agravar esta situação, muitas destas vulnerabilidades devem-se a falhas na conceção destes sistemas que não podem ser solucionadas.

3. Falta de atualizações de segurança – Muitas das atualizações de segurança implicam a paragem dos sistemas industriais. Outras, embora possam ser aplicadas com os sistemas em operação, poderão correr mal e colocar os sistemas fora de serviço. Qualquer destas situações é inaceitável em ambientes produtivos onde se privilegiam tempos de uptime perto dos 100%. Como consequência, raramente são aplicadas as atualizações necessárias para resolver as vulnerabilidades dos sistemas.

4. Utilização de sistemas operativos sem manutenção – Mais de 70% dos equipamentos que usam sistemas operativos Windows estão desatualizados, como o Windows 2000, XP e 7, uma vez que estas versões deixaram de receber atualizações de segurança da Microsoft. Esses sistemas operativos Windows são a base para o funcionamento de muitos equipamentos industriais, nomeadamente os relacionados com a interação homem-máquina, utilizados para monitorizar e controlar processos OT, as estações de trabalho de engenharia, utilizadas para programar controladores, e os sistemas de bases de dados relacionais, onde são guardadas informações sobre os processos de produção. Esta situação leva a que vulnerabilidades conhecidas e já debeladas em versões mais recentes dos sistemas operativos, se continuem a manifestar nas versões sem suporte do fabricante, tais como o WannaCry e NotPetya. Esta situação pode ser agravada se estes sistemas estiverem diretamente ligados à Internet.

5. Protocolos OT inseguros – Os equipamentos industriais comunicam através de redes e utilizam protocolos de utilização específica em ambientes industriais, nomeadamente o Modbus, DNP3 e PROFINET. Estes protocolos apresentam falhas ao nível da segurança da informação, nomeadamente ao nível da autenticação de entidades, da autorização de acesso a recursos e processos, e da confidencialidade da informação.

MELHORIA DA SEGURANÇA DOS SISTEMAS INDUSTRIAIS

A maioria das organizações reconhece que não existe uma solução única capaz de garantir a cibersegurança. Pelo contrário, é necessário dispor de uma estratégia de segurança integrada, baseada em abordagens complementares para melhorar a segurança dos sistemas IIoT, que considerem, nomeadamente, as seguintes medidas:

Continue a ler este artigo na versão digital da revista MOLDE, disponível em www.cefamol.pt.

-

Carlos Manuel da Silva Rabadão | Professor Coordenador; Departamento de Engenharia Informática; Escola Superior de Tecnologia e Gestão do Politécnico de Leiria