Desafios da cibersegurança na indústria de moldes

A “Internet das Coisas” (IoT – Internet Of Things) está progressivamente a invadir o espaço onde vivemos, onde trabalhamos e onde nos divertimos. De acordo com estudos recentes, o número total de dispositivos IoT ligados chegará a 75 mil milhões até 2025, com quase 30% deles instalados em ambientes industriais.

Apesar dos desafios técnicos inerentes ao IoT, um grande número de indústrias tem vindo a adotar soluções Industrial IoT (IIoT), um dos principais pilares do paradigma “Indústria 4.0”, como veículo para melhorar as suas operações, nomeadamente ao nível da manutenção preditiva, da gestão de inventários e monitorização de ativos, da gestão de frotas e da previsão da procura.

Atualmente, um dos mais importantes processos no mercado de IIoT é a convergência das tecnologias da informação (IT) e das tecnologias operacionais (OT) utilizada no chão de fábrica, tais como sistemas ICS (Industrial Control Systems), SCADA (Suspervisory Control and Data Acquisition), PLC (Programming Logic Controllers) e interfaces homemmáquina (HMI – Human-Machine Interface). Uma das considerações principais a ter em conta neste processo é que a convergência IT/ OT não se deve limitar à mistura destas duas tecnologias, mas sim à fusão de duas realidades inteiramente distintas, o que também requer formas completamente novas de conceber os sistemas industriais.

A adotação de tecnologia IIoT, a par com a convergência bem-sucedida de IT/OT, permitem um melhor nível de automação, um desempenho mais otimizado, uma redução significativa de custos e uma visibilidade total de todo o processo operacional. Estas contribuições positivas devem-se, em larga medida, a uma maior interação e relacionamento entre os sistemas interligados no chão de fábrica e à recolha de dados numa escala nunca vista, permitindo assim tirar partido da informação e do conhecimento deles extraído, para apoio à decisão e definição de novos processos de produção. Embora os benefícios sejam significativos, este novo paradigma aumenta significativamente a exposição do ambiente operacional a ataques cibernéticos.

NOVOS DESAFIOS DE CIBERSEGURANÇA NA INDÚSTRIA

Estudos recentes indicam que quase metade dos fabricantes de dispositivos IoT adotam tecnologia vulnerável a ataques cibernéticos, nomeadamente a utilização de aplicações móveis (App) para interagir com esses equipamentos, e que 75% utilizam redes sem fios para transmitir dados de e para esses dispositivos. É igualmente conhecido que o firmware embebido nos dispositivos IoT, e que constitui o cerne do respetivo controlo, não é atualizado regularmente pelos respetivos fabricantes, de modo a resolver vulnerabilidades entretanto identificadas.

É importante ainda notar que os sistemas de IT do sector produtivo são vitais na adoção da “Indústria 4.0”. Estes sistemas não servem apenas para os funcionários verificarem e-mails, efetuarem consultas na Internet, criarem projetos e lidarem com tarefas de engenharia; é também a rede por onde circulam os dados de produção que vão sendo reportados, designadamente os referentes a pedidos de produção, entrega e logística.

Como consequência da inevitável utilização de tecnologia IIoT no chão de fábrica e da integração IT/OT, a indústria tem de saber lidar com um conjunto de aspetos que contribuem para a insegurança do IIoT:

1. Deficiente análise e mitigação de riscos – Os operadores e engenheiros que operam e gerem os equipamentos de chão de fábrica não têm um conhecimento abrangente e profundo sobre as questões associadas à cibersegurança. O espaço de operação tradicional dos sistemas OT é frequentemente tido como seguro e imune a ataques cibernéticos. Por outro lado, é frequente os profissionais de IT não estarem familiarizados com os sistemas instalados no chão de fábrica, e os sistemas de segurança com que lidam diariamente nas redes IT não preverem as especificidades dos protocolos industriais e dos dispositivos IoT. Este cenário leva a que não exista uma estratégia coerente e integrada para a avaliação de risco e consequente mitigação de vulnerabilidades nos ambientes IT e OT.

2. Vulnerabilidades dos sistemas industriais – Os fabricantes de sistemas industriais tradicionais não consideravam a cibersegurança como um requisito fundamental na conceção e desenvolvimento dos seus produtos. Tal pode justificar-se pelo facto de estes dispositivos se destinarem a ser instalados em redes fechadas e muitas das vezes proprietárias, tidas como seguras e “inatingíveis” a partir da Internet. A mudança para um paradigma de redes abertas, integradas com a redes IT e com a Internet, veio colocar a claro muitas vulnerabilidades existentes nos sistemas tradicionais em operação. Para agravar esta situação, muitas destas vulnerabilidades devem-se a falhas na conceção destes sistemas que não podem ser solucionadas.

3. Falta de atualizações de segurança – Muitas das atualizações de segurança implicam a paragem dos sistemas industriais. Outras, embora possam ser aplicadas com os sistemas em operação, poderão correr mal e colocar os sistemas fora de serviço. Qualquer destas situações é inaceitável em ambientes produtivos onde se privilegiam tempos de uptime perto dos 100%. Como consequência, raramente são aplicadas as atualizações necessárias para resolver as vulnerabilidades dos sistemas.

4. Utilização de sistemas operativos sem manutenção – Mais de 70% dos equipamentos que usam sistemas operativos Windows estão desatualizados, como o Windows 2000, XP e 7, uma vez que estas versões deixaram de receber atualizações de segurança da Microsoft. Esses sistemas operativos Windows são a base para o funcionamento de muitos equipamentos industriais, nomeadamente os relacionados com a interação homem-máquina, utilizados para monitorizar e controlar processos OT, as estações de trabalho de engenharia, utilizadas para programar controladores, e os sistemas de bases de dados relacionais, onde são guardadas informações sobre os processos de produção. Esta situação leva a que vulnerabilidades conhecidas e já debeladas em versões mais recentes dos sistemas operativos, se continuem a manifestar nas versões sem suporte do fabricante, tais como o WannaCry e NotPetya. Esta situação pode ser agravada se estes sistemas estiverem diretamente ligados à Internet.

5. Protocolos OT inseguros – Os equipamentos industriais comunicam através de redes e utilizam protocolos de utilização específica em ambientes industriais, nomeadamente o Modbus, DNP3 e PROFINET. Estes protocolos apresentam falhas ao nível da segurança da informação, nomeadamente ao nível da autenticação de entidades, da autorização de acesso a recursos e processos, e da confidencialidade da informação.

MELHORIA DA SEGURANÇA DOS SISTEMAS INDUSTRIAIS

A maioria das organizações reconhece que não existe uma solução única capaz de garantir a cibersegurança. Pelo contrário, é necessário dispor de uma estratégia de segurança integrada, baseada em abordagens complementares para melhorar a segurança dos sistemas IIoT, que considerem, nomeadamente, as seguintes medidas:

1. Adoção de processos de gestão de riscos e ameaças específicos para os ambientes industriais, no sentido de acautelar a proteção dos ativos críticos para a empresa.

2. Utilização de aplicações de gestão de ativos para descobrir e identificar ativos industriais relevantes, com vista a acompanhar a sua atualização relativamente a vulnerabilidades de segurança.

3. Utilização de sistemas de monitorização de ameaças de malware nas redes IT, já que os atacantes podem sabotar todo o pipeline produtivo, quer invadindo servidores críticos e, a partir daí, atingirem a rede OT, quer roubando propriedade intelectual (e.g. patentes) armazenada em servidores de ficheiros, partilhas de rede ou unidades de backup.

4. Implementação de metodologias de segurança de dispositivos terminais com base na abordagem de security by design, exigindo aos fabricantes dos dispositivos evidências da adoção deste conceito.

5. Realização de ações de sensibilização dos funcionários internos e das empresas prestadoras de serviços, para as boas práticas de cibersegurança, no sentido de mitigar comportamentos inadequados e que podem ser uma das portas de entrada de um ciberataque.

A implementação eficiente destas medidas implica necessariamente um investimento efetivo e substancial em cibersegurança. Devemos ter presente que quando os sistemas industriais são atacados, o efeito pode ser catastrófico – paragem das linhas de produção e consequente perda de rendimentos, roubo de propriedade industrial, grandes danos no equipamento e até mesmo lesões corporais nos operadores de equipamentos industriais.

-

Carlos Manuel da Silva Rabadão| Professor Coordenador; Departamento de Engenharia Informática; Escola Superior de Tecnologia e Gestão do Politécnico de Leiria