Por Duarte Begonha (*)

Não há dúvida de que a cibersegurança se tornou uma prioridade para as organizações de todos os setores, sobretudo para a indústria transformadora. Em 2021, cerca de 90% das organizações do setor transformador sofreram algum tipo de ciberataque à sua produção ou fornecimento de energia.

Os ciberataques na tecnologia operacional (TO) tendem a produzir efeitos mais evidentes e mais negativos do que aqueles que atingem as Tecnologias de Informação (TI), uma vez que podem ter consequências físicas, como cortes de energia, paragens na produção, fugas ou explosões, entre outros. Evidência disso mesmo é o facto de entre os 64 ciberataques em TO relatados publicamente em 2021 - um aumento de 140% em relação ao número relatado em 2020 - aproximadamente 35% terem tido consequências físicas, com danos estimados em 140 milhões de dólares por incidente.

Melhorar a cibersegurança na TO é um desafio, na medida em que se apresentam barreiras técnicas, operacionais e de investimento. O trabalho junto de diversas organizações do setor ajudou-nos a identificar fatores-chave de sucesso para melhorar a cibersegurança das TO, que se centram em três princípios.

O primeiro deles é reforçar a base tecnológica, protegendo os sistemas de TO com acesso adequado e controlos normalizados segundo a tecnologia mais atual; é necessário separar as redes de TO de outras redes para garantir a segurança do sistema; é crucial compreender os ativos presentes nos ativos fabris, as suas aplicações, vulnerabilidades e ausência de patches para avaliar os riscos e a proteção necessária; finalmente a configuração e seguimento apropriados dos sistemas de controlo e das atualizações de segurança é essencial uma vez que uma implementação inadequada pode comprometer o sistema.

O segundo princípio é garantir que as operações de TO são orientadas pelo valor, por exemplo, evitando paragens na produção. Este princípio inclui fatores como a configuração correta dos equipamentos de TO e TI, reforçando a gestão da cibersegurança e ajudando, assim, a clarificar as funções e responsabilidades relacionadas com a proteção dos ativos das instalações; abordagens operacionais baseadas no risco, ou seja, abordagens que tenham em conta diferentes níveis de criticidade para a continuidade do negócio, tais como fontes de alimentação, sistemas de paragem de emergência, sistemas de gás e de incêndio; e, finalmente, a normalização de processos, de fornecedores de equipamento, e de dispositivos é crucial para facilitar a implementação de novas iniciativas de cibersegurança de TO.

O último princípio é o reforço das competências e de uma mentalidade conscientes do risco, uma vez que é fundamental que todas as equipas estejam cientes dos riscos informáticos e tenham os conhecimentos necessários para identificar e mitigar proativamente as ameaças. Este desenvolvimento de competências internas pode incluir o reforço da formação interna prestada por peritos na matéria e pacotes de incentivos para ajudar a atrair e desenvolver as capacidades de cibersegurança necessárias em TO; estabelecer mecanismos para monitorizar os fornecedores e definir KPIs para os seus serviços, de modo a ajudar a melhorar a responsabilização em situações de recuperação de cenários de crise; e compreender que a cibersegurança, tal como a própria segurança física em todas as fábricas, é um trabalho de todos, pelo que a melhoria dos programas de formação com as áreas de negócio, TI e as partes interessadas da TO ajuda a aumentar a sensibilização para as ciberameaças e as ações de mitigação.

Garantir uma proteção adequada contra ciberataques é um dos maiores desafios que o setor industrial enfrenta neste momento. Estes princípios e fatores-chave para melhorar a cibersegurança da TO podem ajudar a resolver os desafios críticos de qualquer organização e, assim, continuar a gerir a sua atividade normalmente.

(*) sócio da McKinsey & Company