Briskcom - TUDO O QUE VOCÊ PRECISA SABER SOBRE A NOVA ROTINA OPERACIONAL DE SEGURANÇA CIBERNÉTICA DO ONS

Com o avanço da tecnologia e a crescente dependência das empresas em seus sistemas operacionais, a preocupação com a segurança cibernética tem se tornado cada vez maior. No setor elétrico brasileiro, esse cenário não é diferente. Dados recentes mostram um aumento significativo nas tentativas de ataques cibernéticos, o que tem levado as empresas a adotarem medidas para proteger sua infraestrutura e operações.

De acordo com o FortiGuard Labs, laboratório especializado em análise de ameaças cibernéticas, Foram impressionantes 103,16 bilhões tentativas de ataques cibernéticos, representando um aumento de 16% em relação a 2021, quando foram registrados 88,5 bilhões de ataques. E os números continuam preocupantes em 2023, com um aumento de 1% somente no primeiro trimestre, chegando a uma média de 1.593 ataques semanais por organização, conforme apontado pela Check Point Research.

Diante desse cenário alarmante, alguns setores críticos, como é o caso do setor elétrico, têm acelerado seus esforços em busca de fortalecer as políticas de segurança cibernética. Nesse contexto, o Operador Nacional do Sistema Elétrico (ONS) lançou a Rotina Operacional de Segurança Cibernética, denominada RO-CB.BR.01, que estabelece controles de segurança relevantes para os “Agentes” em geral, como as empresas de geração e transmissão de energia que possuem interface com o Operador Nacional.

Segundo Geraldo Fonseca, especialista em Segurança Cibernética do ONS, a Rotina Operacional de Segurança Cibernética representa um marco importante para o setor elétrico. Acredita-se que ela elevará o nível de cibersegurança em toda a operação, auxiliando os agentes e o ONS a desenvolver políticas alinhadas às boas práticas internacionais e aos procedimentos de rede exigidos.

Os principais objetivos dessa iniciativa são a prevenção e a definição de protocolos bem estabelecidos em caso de eventuais ataques, evitando problemas no abastecimento de energia em nível nacional. Atualmente, cerca de 99% dos serviços de energia no Brasil estão conectados ao ONS, evidenciando a importância de se fortalecer a segurança cibernética nesse setor.

A implementação da Rotina Operacional de Segurança Cibernética pelo ONS é fundamental para elevar o nível de proteção cibernética para as empresas e para o próprio Operador, além de garantir o fornecimento de energia de forma segura e confiável para o país. Essa iniciativa reflete o compromisso das empresas do setor elétrico em alinhar-se às melhores práticas de cibersegurança.

MAS AFINAL, O QUE É A ROTINA OPERACIONAL DE SEGURANÇA CIBERNÉTICA (RO-CB.BR.01)?

A RO-CB.BR.01 estabelece os controles mínimos de segurança cibernética a serem adotados pelos agentes e pelo ONS no Ambiente Regulado Cibernético (ARCiber). Seu principal objetivo é proteger a integridade, a disponibilidade e a confidencialidade dos dados, garantindo uma infraestrutura elétrica segura e resiliente. Essa rotina padronizada cria uma base sólida para enfrentar as ameaças cibernéticas em constante evolução.

Para implementar a Rotina Operacional, é essencial que os gestores conduzam uma análise minuciosa dos ambientes internos. Isso envolve identificar vulnerabilidades em sistemas e redes de comunicação das empresas. Ao compreender as fraquezas, é possível tomar medidas proativas para fortalecer a segurança e reduzir os riscos de violação de dados e ataques cibernéticos.

Assim sendo, com base em alguns conceitos definidos pelo ONS, é responsabilidade dos gestores, desenvolver um projeto de infraestrutura que se adapte às necessidades e características de cada agente e operador. Isso implica em implementar algumas medidas de segurança como firewalls, segmentação de redes, sistemas de detecção de intrusões, criptografia de dados e políticas de acesso restrito.

Veja, a seguir, quais são estes conceitos:

• ARCiber: (Ambiente Regulado Cibernético) formado pelas redes e equipamentos considerados no escopo da Rotina Operacional.
• Patch: é a atualização periódica de software para corrigir falhas e vulnerabilidades.
• MFA (Múltiplos Fatores de Autenticação): para assegurar mais confiabilidade e dificultar o acesso às informações e sistemas, já que exige que os usuários realizem a confirmação de autenticação mais de uma vez, com tokens e dispositivos biométricos, por exemplo.
• OTP (One Time Password): autenticação multifatorial válida apenas para uma sessão de login ou transação.
• VPN (Virtual Private Network): é a conexão de uma infraestrutura pública ou compartilhada e que criptografa os dados para mantê-los seguros.
• Antimalware: é um software que protege os dispositivos contra infecções e/ou arquivos maliciosos.
• Ambiente Operativo da ONS: compreende toda a infraestrutura computacional e de telecomunicações em tempo real e histórico, a qual atende à sala de controle, data center, e mais áreas da ONS, a qual é protegida por Firewall.
• Incidente de Segurança Cibernética: é determinado por um ou mais eventos de segurança cibernética indesejados ou inesperados, que podem levar ao comprometimento dos ativos do ARCiber ou prejudicar as operações tanto do ONS ou do agente em questão.

Esta nova rotina não deve ser encarada como uma mera formalidade, mas sim como um conjunto de diretrizes importantes para segurança da infraestrutura elétrica. A importância da adaptação e conformidade às políticas de proteção deve ser compreendida por todos os envolvidos, isso inclui fornecer treinamentos regulares para os colaboradores, atualização dos sistemas de segurança e monitoramento constante das ameaças cibernéticas, que estão sempre em evolução.

AS TRÊS ONDAS DE ADEQUAÇÃO

A Rotina Operacional e seu conjunto de requisitos e critérios, deve ser implementada em duas principais ondas, sendo a primeira finalizada com 18 meses e a segunda com 27 meses após o início de vigência do documento, datado de 09 de agosto de 2021. A denominada terceira onda é a parte prática da Rotina, considerada uma onda de monitoramento do funcionamento e adequações necessárias.

Onda 1 (até 09/01/23):

• Avaliação de maturidade;
• Identificação de riscos de cibersegurança do negócio;
• Planejamento de atividades;
• Design de arquitetura inicial;
• Criação de políticas e processos;

Onda 2: (até 09/10/23)

• Implementação das ferramentas, tecnologias, políticas e processos;

Onda 3 (a partir de 09/10):

• Monitoramento das medidas e maturidade;
• Reavaliação e melhoria contínua.

Na imagem a seguir, é possível visualizar quais são as principais atividades em cada fase, veja:

Como dito anteriormente, a ARCiber é o conjunto de redes e equipamentos que estão considerados no escopo da RO.CB.BR-01 e é composto pelos centros de operação dos agentes que atuam no setor elétrico, equipamentos que participam da infraestrutura de envio ou recebimento de dados e voz para ambientes operativos do ONS ou para centros de operação de outros agentes.

Entretanto, segundo o próprio Operador, grande parte dos agentes que compõem o setor elétrico não se atentou ao prazo da primeira fase, que se encerrou em janeiro deste ano, e o risco é de não conseguirem se adequar às regras determinadas pelo órgão a tempo. Deixar para última hora é arriscar em um ambiente de missão crítica, que é o setor elétrico.

A seguir, veja quais são os oito itens da RO-CB.BR.01 que compõem a Onda 1 e que já deveriam estar implementados são:

Conexão externa

1) Todos os agentes do setor elétrico que compõem o ARCiber não devem ser diretamente acessíveis através da internet, mesmo que protegido por um ou mais firewalls. Seus ativos também não devem ser visíveis nem ser acessíveis a partir da internet, exceto nos casos previstos em: 4.1.3 (abaixo) e não devem ser capazes de se conectar com a internet.

2) O acesso ao ARCiber a partir de redes externas à organização (como, por exemplo, a internet) somente deve ser permitido para o desempenho de atividades autorizadas. Este acesso deve ser realizado por meio de Rede Privada Virtual (VPN), ou tecnologia similar, através de um gateway ou serviço que oferece controles de segurança.

Governança e segurança da informação

3) Deve ser nomeado pelo menos um gestor e um suplente, responsáveis pela segurança cibernética do agente do ARCiber para atuar como ponto de contato externo.

4) Também deverá ser estabelecida uma política que defina papéis e responsabilidades em relação à segurança cibernética da empresa.

Inventário de ativos

5) Todos os ativos, softwares e hardwares, conectados ao ARCiber devem ser inventariados a cada 24 meses e considerar: tipo de dispositivo, fabricante do equipamento, função; endereço IP ou MAC Address e protocolo de aplicação e/ou porta de serviço, versão do firmware e/ou sistema operacional quando aplicável.

6) O inventário dos ativos deve ser armazenado de forma segura, com políticas bem definidas e acesso restrito às pessoas que necessitem das informações para o exercício de suas funções.

7) Padrões de configuração segura (hardening) devem ser criados conforme política de segurança do agente para os sistemas operacionais, firmwares, banco de dados e demais versões de softwares existentes no ARCiber. Também devem ser implementados mecanismos de monitoramento da conformidade destes padrões no ARCiber produtivo, automatizados ou manuais.

Monitoramento e respostas a incidentes

8) Os ativos do ARCiber devem estar configurados para gerar logs de segurança apropriados para suportar investigações e a reconstrução de possíveis incidentes de segurança. Esses logs devem ser armazenados por prazo definido nas políticas de segurança cibernética da organização.

COMO PROCEDER PARA SE ADEQUAR À ROTINA OPERACIONAL A TEMPO

Infelizmente casos de ataques cibernéticos a empresas de energia são cada vez mais comuns, justamente por se tratar de um serviço essencial para a sociedade, os criminosos virtuais sequestram dados e solicitam resgastes milionários. Sendo assim, mais do que nunca, os sistemas de telecomunicações dessas companhias precisam ser projetados de maneira cuidadosa para que dados importantes não fiquem expostos e corram risco de serem capturados.

Projetos de cibersegurança são complexos, e requerem não apenas a adoção de novas tecnologias, mas também uma mudança cultural e de processos dentro das organizações. A proteção eficaz dos ativos digitais exige uma abordagem abrangente, englobando pessoas, processos e tecnologias. Nesse sentido, contar com uma empresa especializada, como a Briskcom, que possui um time de especialistas e um ecossistema de parceiros que pode orientar e guiar todo este processo, pode ser a melhor escolha para empresas que desejam enfrentar os desafios da segurança cibernética de forma eficiente e produtiva.

A Briskcom, com toda a sua expertise no setor elétrico, auxilia os agentes na adequação de todas as ondas, indo desde a consultoria inicial até as implantações tecnológicas.

Quer saber mais sobre a nossa consultoria de Adequação a Rotina Operacional de Segurança Cibernética? Entre em contato conosco.