Maturidade · Segurança das infraestruturas críticas e industriais

A segurança das infraestruturas críticas e industriais não se resume à cibersegurança das redes de automação. Reúne a segmentação entre a informática de gestão e os sistemas industriais, o controlo dos acessos remotos de manutenção, o inventário dos autómatos e dos equipamentos de controlo, a segurança física dos recintos técnicos, a deteção de eventos nas redes OT, a continuidade e a retoma da exploração e, por fim, a gestão dos prestadores que intervêm nas linhas. A IEC 62443 estrutura a parte relativa aos sistemas de controlo, a NIS2 e a diretiva relativa à resiliência das entidades críticas acrescentam obrigações de governação e de notificação.

Na prática, o pilotamento esbarra na realidade dos locais. As instalações têm gerações de equipamento diferentes, tempos de vida de vinte anos ou mais, e janelas de paragem raras. Três questões ficavam sem resposta documentada na maioria dos grupos industriais. Quem detém o inventário atualizado dos autómatos, dos variadores e dos postos de supervisão, e com que frequência é atualizado? Como são abertos, rastreados e fechados os acessos de telemanutenção dos integradores? O que acontece concretamente se uma supervisão ficar indisponível a meio de uma campanha de produção?

Uma confusão frequente merece ser esclarecida: segurança industrial e segurança de funcionamento não se sobrepõem. A segurança de funcionamento protege as pessoas e o ambiente de uma falha da instalação, com as suas próprias exigências de níveis de segurança. A segurança no sentido deste referencial protege a instalação de atos intencionais ou de eventos externos. As duas dialogam, nomeadamente quando uma medida de cibersegurança afeta uma função instrumentada de segurança, mas não têm nem os mesmos atores nem as mesmas provas. Muitas organizações tratam-nas na mesma comissão sem distinguir as decisões.

Uma auditoria de conformidade conclui com um resultado binário: a exigência é cumprida ou não é. O diagnóstico de maturidade responde a outra questão. Em que nível de controlo se situa cada local, qual é a dispersão entre as unidades de negócio, e que ação precisa faz passar uma prática do nível documentado para o nível aplicado. A pontuação por domínio e o objetivo geram o desvio, o desvio gera o plano de ação, e a IA agrupa estas ações num roteiro priorizado, reutilizável para preparar uma auditoria regulamentar.

O referencial está pronto a usar na Datamensio e continua adaptável. Ajusta os domínios consoante os seus setores, processo contínuo, fabrico ou redes, e a IA afina as questões e os níveis segundo o método CMMI. Pode ainda construir uma variante a partir dos seus próprios documentos: política de segurança industrial, planos de zonas e condutas, cadernos de encargos de integração.