Building Cybersecurity for BAS

Etapas para fortalecer a cibersegurança da automação predial

Por: Harry Koujaian, Engenheiro, Siemens Smart Infrastructure USA

Ameaças cibernéticas contra edifícios inteligentes estão aumentando. Um relatório de 2019 da empresa global de cibersegurança Kaspersky revelou que 38% dos edifícios inteligentes foram afetados por um ataque cibernético. Na maioria desses eventos, os hackers ganharam acesso aproveitando-se das vulnerabilidades no sistema de automação predial.

 

A adoção de tecnologia de construção inteligente que conecta a construção de tecnologia operacional a sistemas de IT e dispositivos IoT aumentou exponencialmente a exposição de edifícios a criminosos cibernéticos. Projetistas de edifícios, proprietários e operadores conscientes da segurança estão adotando uma abordagem proativa e multicamadas de "Defesa em Profundidade" que fortalece a segurança do sistema de automação predial para evitar ser alvo. Essa estratégia holística considera todos os aspectos da segurança predial através dos olhos de um hacker, com um foco fundamental no fechamento de lacunas nos protocolos de rede de controle de automação predial.

 

A proteção da rede começa com uma avaliação de segurança cibernética

Sistemas de automação predial são tão seguros quanto seu elo mais fraco. Uma avaliação de segurança cibernética pode fornecer insights e identificar potenciais vulnerabilidades que podem convidar hackers. Entender as vulnerabilidades do sistema de automação predial é um primeiro passo eficaz para fortalecer a segurança. Após uma avaliação, as organizações estão melhor posicionadas para aproveitar novas tecnologias de segurança, como o BACnet Secure Connect (BACnet/SC), uma atualização de segurança cibernética que criptografa as comunicações entre dispositivos e a nuvem, para proteger seus sistemas.

 

A Siemens realiza regularmente avaliações cibernéticas para clientes de automação predial e fornece uma análise completa da arquitetura do sistema do edifício; políticas, planos e procedimentos; planos de recuperação de desastres, programas de treinamento e sistemas e serviços de terceiros.  Embora cada edifício tenha vulnerabilidades únicas, aqui estão alguns itens de ação comuns para organizações que querem fortalecer sua segurança de automação predial.

 

Crie uma cultura de segurança. Todos ligados a uma organização devem ser responsáveis por mantê-la segura. Criminosos cibernéticos encontrarão e explorarão qualquer potencial ponto de ataque nas defesas de um sistema de construção. Empresas que criam uma cultura de conscientização sobre segurança, com políticas fortes que promovem as melhores práticas e treinamento contínuo de segurança, podem reduzir efetivamente o risco de um ataque cibernético.  

 

Pense como um hacker. A melhor defesa contra ataques cibernéticos é um bom ataque. Uma avaliação de ameaças e riscos que aborda a segurança do ponto de vista de um hacker é uma ferramenta útil para identificar e resolver vulnerabilidades e ajudar as organizações a ficar um passo à frente dos criminosos cibernéticos. A realização de um ataque "amigável" contra a infraestrutura de segurança predial irá descobrir e verificar possíveis caminhos de acesso e fornecerá pontos de prova para justificar investimentos adicionais em infraestrutura de segurança.

 

Entenda a configuração e o uso do sistema. Sistemas de automação predial devidamente projetados têm uma abordagem holística que considera controles críticos de segurança, como segmentação e segregação de rede, proteções de limites, acesso remoto, menos privilégio, responsabilidade e regras de firewall. Proprietários e operadores devem fazer questão de entender como esses recursos de segurança são aplicados. Eles também devem exigir documentação de integradores e outros terceiros para mostrar o que fizeram para garantir que os sistemas sejam configurados adequadamente para apoiar uma estratégia de segurança global que esteja alinhada com a estrutura de arquitetura corporativa e política de segurança da informação.

 

Forneça treinamento. As pessoas são a primeira linha de defesa contra ataques cibernéticos. O treinamento contínuo ajudará a manter a segurança no topo da mente e preparar qualquer pessoa que se conecte à rede de construção para seguir as melhores práticas para evitar acessos maliciosos. O treinamento também é essencial para evitar danos não intencionais causados por funcionários que desconhecem o uso e o funcionamento adequados de sistemas e equipamentos.

 

Implementar um plano de recuperação de desastres. As organizações que têm um forte processo de backup são capazes de mitigar danos e se recuperar de ataques cibernéticos mais rapidamente.  Um plano sólido deve abordar funções e responsabilidades, listar o pessoal designado e suas informações de contato e detalhar as atividades associadas à resposta e restauração das operações do sistema após uma interrupção ou falha. Um plano de recuperação só é eficaz se estiver operacional, portanto, as organizações devem exercer periodicamente esses planos para garantir que o sistema possa ser recuperado dentro do Objetivo de Ponto de Recuperação especificado.

 

Preparando-se para uma maior segurança de automação predial

Uma avaliação de segurança cibernética fornece uma base sólida para entender o atual protocolo de comunicação do sistema de gerenciamento de edifícios da organização e determinar como o BACnet/SC se encaixa no plano de segurança. Especialistas da Siemens podem ajudar as organizações a integrar o BACnet/SC em um design abrangente de defesa em profundidade.

 

Entender os sistemas de gerenciamento e os recursos de segurança de um edifício inteligente é um passo importante na prevenção e mitigação dos riscos de ataques cibernéticos. Saiba mais sobre avaliações de segurança cibernética e suporte disponível.