São muitas as dúvidas sobre uso da abordagem em infraestruturas cr¡ticas em ambientes de tecnologia operacional (OT) e internet das coisas (IoT)
O modelo baseado em Zero Trust é considerado um avanço significativo na cibersegurança em relação às arquiteturas tradicionais e, segundo um relatório da Microsoft divulgado em 2021, 96% dos 1200 decisores entrevistados afirmaram que a abordagem ZT é fundamental para o sucesso dos negócios. Mas, ao mesmo tempo que a discussão está em alta e acompanhamos as lideranças da maioria das empresas correndo para colocar o conceito em ação e proteger ambientes de TI, também surgem muitas dúvidas sobre a implementação dessa abordagem em infraestruturas críticas de ambientes de tecnologia operacional (OT) e Internet das Coisas (IoT).
Tradicionalmente, dentro de OT o nível de maturidade de implementação de controles tecnológicos está alguns passos atrás do que já pode ser realizado na TI. E são essas as particularidades que vamos tratar.
O principal ponto que deve ser levado em consideração é que as redes industriais são completamente heterogêneas e possuem requisitos específicos. Em TI se parte do princípio de que os controles granulares envolvem usuários, aplicações e sistemas protegidos por uma tecnologia que não confia na comunicação entre esses componentes, até que se prove o contrário. Essa camada criada em Zero Trust requer que o ambiente tenha certa flexibilidade que inclui possibilidades de interrupção de tráfego e a capacidade de adicionar novos elementos tecnológicos aos sistemas – e é aí que as coisas mudam drasticamente quando falamos em ambientes de automação.
O cenário de OT é composto por sistemas legados que se comunicam, em sua maioria, de forma aberta e não criptografada e por ambientes críticos que não suportam latência ou quaisquer outros elementos que possam gerar ainda mais complexidades em infraestruturas, como por exemplo, riscos disruptivos em operações e processos industriais existentes. Além disso, a OT é envolvida por um conceito de segurança que precisa ir além do virtual, protegendo equipamentos e pessoas. É uma filosofia completamente diferente do que encontramos nas redes de TI.
A segmentação básica de cibersegurança em OT é possível e já começou a avançar. Com apoio da norma ISA99 para estabelecer a segurança da informação em redes industriais e da IEC 62443 prevista nesta norma e que traz padrões de segurança cibernética para tecnologia operacional em sistemas de automação, é possível criar zonas e conduítes, segmentar os níveis de operações industriais para isolar os ambientes por meio da criação de zonas lógicas com firewalls e tecnologias de segregação. O Zero Trust Network Access (ZTNA), por exemplo, que provê uma camada de acesso seguro às redes e é embarcado no conceito ZT, pode ser aproveitado em OT.
Mas, estamos falando do conjunto de avanços que compõem o Zero Trust como o conhecemos agora. A evolução do ZT coloca não só a segmentação da rede como algo essencial, mas também a microssegmentação desses ambientes, que consiste em dividir toda a organização em segmentos e atribuir controles de segurança específicos para cada um. A microssegmentação é um componente central de um modelo de segurança Zero Trust na nuvem e no data center, ela reforça as políticas de segurança da rede interna da organização e não apenas no perímetro. Este conceito é extremamente complexo de ser portado para um mundo de automação industrial on-premise legado, quando parece não haver apetite para adicionar sequer autenticação básica em controladores lógicos programados (PLCs) e outros dispositivos de OT. É uma lógica inversa ao modelo do Zero Trust, porque geralmente a automação industrial confia em tudo sem autenticar a origem ou a integridade dos dados durante alguma solicitação ou comando.
A segmentação pode ser adotada, mas o conceito Zero Trust não consegue ser transferido ou estendido para redes industriais em sua totalidade sem ajustes. Isso significa que, ao aplicar hoje o ZTNA, é preciso combiná-lo ao uso de ferramentas de inventário e visibilidade para detecção de anomalias de redes, operacionais e de ameaças cibernéticas – isso a fim de aumentar a proficiência de segurança do ambiente OT com monitoramento. Essa medida é fundamental por não haver a implementação de camadas que possam impactar a operação dessas infraestruturas críticas.
A questão do Zero Trust é muito discutida e faz os olhos dos gestores das empresas brilharem, mas para que o conceito seja aplicado em sua plenitude em OT, esses ambientes ainda precisam atingir uma maturidade de segurança muito maior.
Os gestores das indústrias precisam compreender que Zero Trust não é uma solução pronta para uso e que converter todos os ambientes da noite para o dia é uma missão impossível. Além disso, não é apenas um conceito ou abordagem, é um conjunto explícito de recursos e capacidades de segurança que precisam conversar com as estruturas existentes nos ambientes de automação e devem estar dentro das normas. A partir dessa mentalidade, os responsáveis pela segurança podem dar os passos iniciais para um nível de proteção granular que é indicado às indústrias com objetivo de começar o processo de adaptação e implementação das políticas necessárias, seguindo as normas que abrirão mais portas para OT no universo Zero Trust no futuro.
* Alexandre Freire é Technical Sales Engineer da Nozomi Networks América Latina
