Gestão de riscos e ameaças cibernéticas: retornando aos princípios fundamentais
Todos os dias surgem notícias de um novo ataque cibernético.
Revelações sobre hacking de organizações criminosas independentes e grupos patrocinados por Estados estão causando crescente preocupação dentro das diretorias de empresas, do governo e órgãos legislativos. O hack da SolarWinds que afetou grandes empresas; o ataque ao Colonial Pipeline que interrompeu o fornecimento de petróleo e gás devido à paralisação operacional preventiva; e os ataques de ransomware LockBit, só para citar alguns.
Esses ataques cibernéticos não estão usando necessariamente novas técnicas de ataque e, infelizmente, estão se tornando mais graves e mais frequentes. Embora nenhuma organização de manufatura possa garantir que nunca será afetada por uma, existem cinco ações fundamentais que os líderes podem tomar para reduzir o risco e manter operações eficientes.
Envolva-se no mapeamento de operações de negócios
Os fabricantes devem mapear seus sistemas de negócios e fabricação para cada função, fluxo de receita ou missão. Isso ajudará na compreensão e propriedade de cada processo e a alcançar os objetivos de continuidade de negócios e resiliência em torno de ataques cibernéticos, assim como em cenários de gerenciamento de crises de negócios. Normalmente, o mapeamento das operações comerciais requer patrocínio executivo para que dele participem partes interessadas multifuncionais como operações de fabricação, segurança cibernética da planta, segurança de TI, sistemas de fabricação e sistemas empresariais. Isso pode ser um grande passo, então esteja preparado para aprender muito e buscar orientação para ajudar na implementação de uma abordagem em toda a estrutura.
Analise minuciosamente as ameaças
Os fabricantes também devem realizar uma análise completa de ameaças. É um procedimento recomendado, como parte desse processo, revisar as matrizes MITRE ATT&CK, especificamente a Matriz MITRE ICS ATT&CK desenvolvida recentemente, fundamentada em uma base de conhecimento global de táticas e técnicas adversas usadas em ataques do mundo real.
Avaliação de segurança cibernética
É importante determinar e avaliar os controles e operações de segurança cibernética atualmente em vigor por meio de uma avaliação ou auditoria de segurança cibernética. Isso deve incluir a avaliação de três pilares principais:
- Pessoas –foca na qualificação para novas tecnologias e processos
- Processos – os fluxos de trabalho e procedimentos operacionais
- Tecnologia – os sistemas e controles em vigor
A tecnologia funciona, mas são as pessoas que impulsionam o sucesso. Trabalhar com um líder em tecnologia de automação como a Emerson, que tem experiência em sistemas de controle industrial e operações, fortalecerá a avaliação.
Desenvolva uma estratégia de defesa
Usando aprendizados da análise de ameaças e avaliação de segurança cibernética, as empresas devem desenvolver uma estratégia de defesa profunda para corrigir fraquezas e mitigar riscos em todas as operações que poderiam ser impactadas por ataques cibernéticos diretos, ataques cibernéticos indiretos ou perda de capacidades operacionais. Essa estratégia deve incluir uma priorização baseada em riscos de quaisquer lacunas ou ameaças para garantir que os principais riscos sejam corrigidos primeiro, garantindo a resiliência dos controles.
Ao avaliar esses mesmos três pilares de pessoas, processos e tecnologia, muitas vezes, vemos os clientes encontrar valor na busca de recursos externos, treinamento ou aprimoramento de seu pessoal, ou na alteração de certos processos, controles tecnológicos, sistemas ou arquiteturas para garantir uma defesa robusta. O plano de ação também deve estar alinhado aos planos de continuidade de negócios e recuperação de desastres da organização. Assim como uma paralisação operacional de sistemas com erros ou hardware com falha, os planos de resposta a ataque cibernético precisam de processos definidos e ativos com objetivos focados na contenção e tempo de recuperação.
Essa estratégia defensiva deve incluir o planejamento para os piores cenários. Para uma instalação de fabricação, por exemplo, ter um plano de backup claro para sistemas de computador danificados, além de cópias impressas de pedidos, etiquetas e contatos, pode ser vital para manter as operações manuais em funcionamento se os computadores falharem. Isso pode não ser possível em todos os cenários, mas ter planos de backup e continuidade frequentemente revisados colocará as empresas na posição certa para permanecerem operacionais mesmo no caso de um ataque cibernético.
Revise e atualize regularmente quanto à eficácia
Após implementar a estratégia de defesa profunda, ela deve ser testada e revisada de maneira metódica, proposital e frequente para garantir que seja eficaz e não comprometa as operações contínuas nem apresente outros riscos. As funções, responsabilidades e treinamentos dos funcionários devem ser atualizados quando qualquer nova prática e tecnologia forem implementadas.
À medida que o risco continua a crescer, a segurança cibernética deve ser uma prioridade para todas as empresas. As operações e controles de segurança cibernética proativos e defensivos apropriados devem estar em vigor para proteger dados, processos e operações de negócios importantes. Os líderes empresariais desempenham um papel crítico nessa mudança e, ao fazer parceria com especialistas em segurança cibernética, podem tomar medidas cruciais para mitigar os riscos.
