Riscos Cibernéticos nos Sistemas e Equipamentos de Usinas de Geração de Energia. Alan Denis Bronaut Fernando Santos Varela

Transcrição

1 Riscos Cibernéticos nos Sistemas e Equipamentos de Usinas de Geração de Energia Alan Denis Bronaut Fernando Santos Varela

2 Nesta apresentação veremos... Evolução do Sistemas de controle industriais. A tendência e os desafios de se conectar, criação de padrões, Convergências e Interoperabilidade. Sistemas Industriais - Ataques cibernéticos com foco nos Sistemas de infraestrutura Automatizados SCADA. Plano de ação e o Grupo de segurança em SCI Sistemas de Controles Industrias da Engie Tractebel Energia. 2

3 Até pouco tempo atrás. Sala de Comando Controlador / Intertravamentos Sala de relés CCM Produção 3

4 Até pouco tempo atrás. 4

5 Até pouco tempo atrás. Sala de controle de UTE Jorge lacerda B 240 MW 5

6 Sistemas de Controle Digital Sala de Comando Painéis de comunicação CCM Produção 6

7 Sistemas de Controle Digital Sala de Comando Remoto Sala de Comando Local Painéis de comunicação CCM Produção 7

8 Centro de Operação Engie Tractebel COS TBLE 8

9 SCADA Tratamento de água e esgoto 9

10 SCADA Controle de Tráfego 10

11 SCADA Redes de óleo e gás natural 11

12 Convergência Controle e supervisão Painel de alarmes Dados históricos Gráficos e Relatórios Servidores de aplicação e base de dados estações de operação Dados estatísticos e de desempenho Lógica Intertravamento Acionamento CLP - UAC Sequência de partida e parada Aquisição de dados Proteção Controle Relé de Proteção Supervisão 12

13 Interoperabilidade o As primeiras soluções tinham as seguintes características: o Sistemas Isolados; o Protocolos de comunicação e SCADA desenvolvido pelo proprietário. o COTS Commercial available Off-The-Shelf Hardware e Software de prateleira. o Necessidade de diversos equipamentos de diferentes fabricantes comunicar entre si. o SCADA, Sistemas operacionais e Protocolos padronizados. o TCP IP, OPC, DNP 3.0, IEC

14 Conectividade e Acesso Remoto o Vantagens: o Redução do custos de O&M. o Suporte em tempo real Agilidade na manutenção. o Otimização da performance do sistema. o Operação remota. o Atendimento aos Procedimento de Rede do ONS e CCEE. 14

15 Stuxnet 15

16 Cenário Atual de Segurança em SCI o o o Crescente dependência dos processos industriais pelos recursos de tecnologia e automação Significativo aumento no número de ameaças e vulnerabilidades relacionadas a tecnologia e automação Aumento na quantidade e qualidade de ferramentas especializadas para ataque a sistemas industriais o Disponíveis na Internet o Preocupação crescente de governos, entidades públicas e regulatórias com a segurança de processos que suportam os Sistemas de infraestrutura críticos 16

17 Auditoria Interna o Foco: Segurança em SCI Sistemas de Controle Industrial. o Principal constatação: O nível de controle de segurança em SCI não é suficiente. o Principais pontos: o Falta de uma equipe centralizada em Segurança Industrial. o Padronização das arquiteturas de redes de controle. o Avaliação do impacto de acidentes cibernéticos na continuidade do negócio e Plano de contingência para incidentes de Segurança. o Vários pontos de vulnerabilidades nas redes industrias: o Controle de acesso. o Uso de mídias removíveis Pen Drive, o Segregação física e lógica das redes. o Obsolescência do Sistema de controle. 17

18 Auditoria Monitora o cumprimento das politicas Estrutura do Trabalho Princípios de Governança Planejamento Estratégico Origens Domínios Responsabilidades Normas ISO ANSI / ISA 99 NIST Estratégico Tático Elaboração das politicas de segurança em sistemas de controle industrial Elaboração de padrões e requisitos de integração Gestão do Programa de Segurança em SCI Operacional Implementação e comissionamento Administração do Sistema / Solução 18

19 Grupo de SCI Sistemas de Controle Industrial o Plano de ação Principais ações: o Criar um grupo de trabalho o Alteração na estrutura das equipes de trabalho o Criação e Capacitação de novo Perfil profissional conhecimento sólido em TI 19

20 Grupo de SCI Sistemas de Controle Industrial o Resultados: o Criação do Comitê de SCI participação ativa da Alta Administração da companhia o Proteção de Borda Aplicação de Segurança de Perímetro o Treinamento e Programas de Conscientização o Arquitetura Padrão o Cláusulas Contratuais de fornecimento Integradores Alinhados com a política de Segurança o Report de incidentes o Gestão de Mudancas o Gerenciamento da Obsolescência o Hardening 20

21 Algumas Referências... o o Trustworthy Computing Cybersecurity white paper_ptbr[1].pdf - Março de 2012 o Could hackers turn the lights out_ - BBC News.pdf Março de 2016 o INL-Vulnerability Analysis of Energy Delivery Control Systems.pdf Setembro 2011 o NIST-SP pdf

22 Fim. Obrigado. Alan Denis Bronaut Fone: (48)