Cybersegurança nos Trilhos (ISA-95/NIST CSF/ISO27001)

Roadmap de Cybersegurança nos Trilhos (ISA-95/NIST CSF/ISO27001)

Mapa dos Ativos e Sistemas Críticos:
- Sistemas de controle de tráfego ferroviário
- Redes de comunicação entre trens e estações
- Sistemas de bilhetagem e gestão financeira
- Infraestrutura OT, como sensores, SCADA e PLCs
- Sistemas IT corporativos
- ***Integrações entre IT/OT — Conexões de dispositivos IoT, sistemas de supervisão (SCADA) e plataformas corporativas***

Camadas IT e OT com ISA-95:

— Camada 0–2 (OT): Sensores, atuadores e sistemas SCADA.
— **Camada 3 (Integração OT/IT): MES (Sistemas de Execução de Manufatura) ou sistemas de gerenciamento operacional do metrô.**
— Camada 4 (IT): ERP e sistemas corporativos, como bilhetagem e plataformas de análise de dados.

Tecnologias de Integração

• IoT e Edge Computing:
• Instale sensores IoT nos trilhos, estações e trens para monitoramento de condições operacionais (temperatura, vibração, desgaste).
• Use computação na borda (edge computing) para processar dados próximos à fonte e enviar insights para os sistemas IT.
• Plataformas de Integração:
• Implemente sistemas como MES ou gateways para consolidar dados OT e repassá-los para sistemas IT (ERP, BI).
• Utilize protocolos padronizados, como OPC-UA ou MMS (ISO 9506), para interoperabilidade entre dispositivos.
• Big Data e Analytics:
• Consolide os dados coletados de OT em plataformas de análise IT para criar dashboards e relatórios preditivos.
• Use IA e Machine Learning para prever falhas, otimizar tráfego e melhorar a segurança.

Security-By-Design

A integração IT/OT no metrô deve ser acompanhada de práticas de cibersegurança robustas para proteger infraestruturas críticas:

• Controle de Acessos:
• Use sistemas IAM (Identity and Access Management) para gerenciar acessos a dispositivos OT e IT.
• Segmentação e Zero Trust:
• Adote o modelo de confiança zero e restrinja o acesso entre redes OT e IT.
• Patches e Atualizações:
• Estabeleça um cronograma de atualizações para sistemas OT e controle rigoroso de vulnerabilidades.

Alinhamento ao NIST CSF

Identify (Identificar):
— Crie um inventário de ativos e avalie riscos.

Protect (Proteger):
— Implemente segurança de rede segmentada (IT/OT).
— Gerencie identidades e aplique patches em sistemas legados.

Detect (Detectar):
— Use ferramentas de SIEM, IDS e monitoramento contínuo.

Respond (Responder):
— Desenvolva um Plano de Resposta a Incidentes (IRP).
— Realize simulações de ciberataques regularmente.

Recover (Recuperar):
— Crie planos de continuidade de negócios (BCP) e recuperação de desastres (DRP).

Certificação ISO/IEC 27001

— Defina políticas de segurança para sistemas críticos.
— Implemente controles do Anexo A, como gestão de acessos, segurança de redes e continuidade de negócios.
— Treinamento: Conscientize operadores de IT/OT.
— Auditorias: Estabeleça um ciclo de melhoria contínua (PDCA).

• Desenvolva políticas que cubram os controles específicos para IT e OT.
  * Inclua requisitos específicos para sistemas críticos, como SCADA e IoT.

FONTES: https://www.unescap.org/sites/default/d8files/event-documents/Apr29-10_ROK.pdf