Tecnologia da Informação e Tecnologia de Operação
Tecnologia da Informação (TI) e Tecnologia de Operação (TO) se complementam. TI foca dados para o negócio. TO em componentes eletrônicos inteligentes.
Edison Fontes, CISM, CISA, CRISC, Ms. 2023
Tecnologia da Informação (TI) e Tecnologia de Operação (TO) se complementam. TI foca dados para o negócio. TO em componentes eletrônicos inteligentes.
Existem muitas definições para a Tecnologia da Informação e a para a Tecnologia de Operação. Normalmente todas estão certas, embora cada uma, normalmente, destaque um aspecto. Faço minha colaboração, evidentemente inspirado na experiencia e em várias leituras. Mas sintetizo da seguinte forma:
Tecnologia da Informação (TI)
Tecnologia da Informação para a Gestão do Negócio e Objetivos Corporativos
=> Utiliza recursos de tecnologia para tratar informação para a realização do negócio, na sua operacionalização ou para tomada de decisões. Independente dos dispositivos de tecnologia utilizados.
Tecnologia de Operação ou Tecnologia Operacional (TO)
Tecnologia da Informação para a Gestão Operacional de Coisas e Seres Vivos.
=> Utiliza recursos de tecnologia para tratar a informação gerada por componentes eletrônicos independentes ou por uma rede de controladores de peças com capacidade de processamento, armazenamento e transmissão de dados, mesmo que em pequena escala.
A Tecnologia de Operação é mais recente e tem crescido de maneira exponencial em função da sofisticação técnica dos componentes eletrônicos. Há alguns anos, os dados de equipamentos industriais (ou de outros segmentos como agricultura) eram tratados apenas no próprio equipamento ou em um conjunto de equipamentos próximos. Possuíam protocolos de comunicação próprios e a informação tinha objetivo do funcionamento das máquinas. Era um “mundo isolado”. Mesmo para grandes indústrias ou empreendimento como barragens ou tratamento de água.
A Tecnologia de Operação cresceu, está sofisticada na sua automação, tem uma demanda muito grande e já existem equipamentos e softwares para diversas soluções. Desta maneira existem duas grande questões a serem resolvidas:
- A Tecnologia de Operação precisa melhorar a maturidade de controles de tratamento e de segurança da informação. Pelo menos estar equivalente à maturidade possível da Tecnologia da Informação.
- É necessário a integração da Tecnologia de Operação com a Tecnologia da Informação. A organização precisa das informações operacionais para tratá-las de maneira estruturas e integradas com TI, inclusive com informações de Governança da Tecnologia Operacional com a Governança da Tecnologia da Informação.
A Tecnologia de Operação possui certas características e preocupações que devemos considerar quando do tratamento deste ambiente.
- Camadas de tratamento da informação.
Partindo do macro universo para o microambiente da Tecnologia de Operação temos:
– IIoT – Internet Industrial da Coisas.
– Ambiente Estruturado da Tecnologia de Operações
– Sistemas de Controles Industriais (ICS).
– Sistema se supervisão de controle e aquisição de dados (Scada).
– Infraestrutura de medição avançada (AMI).
– Controladores Lógicos Programáveis (PLC).
- Limitações
Os componentes utilizados em TO possuem (normalmente) algumas limitações:
– Autonomia de existência (Bateria).
– Capacidade de processamento.
– Capacidade de armazenamento.
– Capacidade de transmissão de informação.
- Gestão de Controles de segurança
Os conceitos de Gestão de Controles de Segurança, são equivalentes, possuem a mesma diretriz.
- Identificação e autenticação.
Em vez de pessoas, como na TI, teremos a identificação e autenticação de componentes eletrônicos.
- Registro (log de auditoria)
Necessário, porém às vezes será sacrificado em função de limitação de espaço.
- Responsabilidades
De alguma maneira é necessário a existência de Gestor de Recursos, para autorizar o uso do recurso, e
que tipo de informação é tratada.
- Normativos Estruturais
Já existem normativos que estruturam o tratamento de dados e informações. Destacamos:
– ISA/IEC 62443 (Trilha Estrutural)
– Framework for Improving Critical Infrastructure Cybersecurity – NIST/USA.
Mas os controles definidos nestes normativos estes normativos, tem referência (ou inspiração) nos controles das Normas ISO Família 27000, Cobit e NIST SP 800. A experiência em TI ajudará bastante a implementação dos controles para a Tecnologia de Operação.
- Responsabilização
Este tema é mais crítico em função de que erros ou ação de criminosos podem acarretar mais facilmente impacto físico nas pessoas, ocasionando até a morte. Quando falamos de Infraestrutura Crítica (barragens, tratamento de água) ou de aplicações de IIoT no ambiente de equipamentos de saúde, este ponto fica mais possível. Vários institutos e organizações que estudam tendências, como o Gartner, já apontam o aparecimento e crescimento de situação de falecimento de pessoas e a possível responsabilização do Conselho de Administração, e no caso Conselheiros, caso este não tenha exigido a existência de uma efetiva Gestão de Segurança da Informação e das Coisas.
- Rede de computadores
A Tecnologia de Operação vai utilizar redes de computadores, componentes isolados, conjunto de controladores lógicos e uma variedade de elementos. É necessária a proteção para este ambiente. Firewalls e toda a estrutura de proteção encontrada no ambiente de Tecnologia da Informação, também deverá existir, devidamente adaptada.
- Maior Ameaça
Atualmente já existem várias soluções técnicas de alta qualidade e com boa garantia de segurança. A questão é fazer uma boa implementação e implantação. Pela sua juventude em Maturidade de Gestão de Segurança, a Tecnologia de Operação é um alvo para criminosos, sejam quais forem seus objetivos. E normalmente o ambiente industrial trata com valores muto altos. Uma indisponibilidade de uma unidade de fábrica um de um campo no agronegócio é impacto financeiro de mais alto nível. E muitas vezes por falta de maturidade em segurança da informação a organização paga resgates aos criminosos.
CONCLUSÃO
Evidentemente este texto apresentou principais (e macro) tópicos da Tecnologia de Operação. Ambiente que organizações como o Gartner estima que é 10 (dez) vezes maior do que o ambiente de Tecnologia da Informação. Sendo assim vamos ao trabalho e proteger e amadurecer a Gestão da Segurança da Tecnologia de Operação.
Edison Fontes, CISM, CISA, CRISC, Ms. [email protected]
Cybersecurity Evangelist NTT DATA Europe & Latam – Brasil
