O que aconteceu?
Num artigo convidado para a revista Protector, Uwe Greunke, Business Segment Leiter KRITIS na Rohde & Schwarz Networks and Cybersecurity, descreve cinco regras para a integração segura de tecnologia de segurança em redes de TI. O artigo dirige-se especialmente a operadores de infraestruturas críticas (KRITIS), nos quais sistemas de tecnologia de segurança, como câmaras de vigilância, controlos de acesso, mecanismos de fecho ou tecnologia de alarme e notificação, se tornam cada vez mais parte da arquitetura de rede de TI.
Mensagem central: quando sistemas de segurança são integrados em redes de TI, estes devem colaborar de forma eficiente – sem que isso reduza ou anule o nível de proteção efetivo.
Os detalhes
Segundo o artigo, os sistemas de tecnologia de segurança em áreas KRITIS e OT estão sujeitos às regulamentações da lei-quadro KRITIS, da lei do BSI, bem como a outras normas relevantes, como o BSI IT-Grundschutz e a norma IEC 62443. Greunke deriva daí a necessidade de estruturar a interligação destes sistemas segundo um conceito de segurança e zonas claramente definido e vinculativo. É dada especial atenção às vias de comunicação entre instalações de tecnologia de segurança, centrais de controlo, sistemas de gestão e redes de TI vizinhas – estas devem ser estritamente regulamentadas.
O artigo apresenta cinco regras concretas:
- Criar zonas claramente definidas: Sistemas de câmaras, sensores e componentes de acesso devem ser operados em áreas logicamente ou fisicamente separadas. Sistemas de câmaras, por exemplo, devem interagir apenas com sistemas associados, como NVR (Network Video Recorder) ou VMS (Video Management System). Firewalls ou gateways de segmento monitorizam e protegem as transições entre as zonas.
- Separar a TI de escritório de redes externas: Sistemas de segurança devem, em princípio, funcionar fora da TI empresarial clássica. As transições ocorrem através de pontos definidos, como zonas DMZ ou NAT, que permitem uma utilização controlada de serviços como Active Directory, DNS ou PKI, sem comprometer os segmentos de segurança.
- Garantir operação resiliente e autónoma: Uma rede de segurança OT deve permanecer funcional de forma autónoma mesmo em caso de falhas na TI circundante, quedas de WAN ou ameaças externas. Mecanismos como sondas de rede, watchdogs de câmaras ou reinícios baseados em PoE podem resolver automaticamente falhas típicas.
- Criptografar e monitorizar as vias de comunicação: Dados de vídeo, alarme e controlo devem ser transmitidos de forma criptografada. São mencionadas VPNs (client-to-site ou site-to-site) para acessos de manutenção e ligações entre localizações, bem como proxies reversos com criptografia TLS de ponta a ponta contra ataques man-in-the-middle.
- Garantir modularidade e escalabilidade: Novas câmaras IP ou pontos de acesso devem poder ser integrados sem alterações significativas na arquitetura existente. Arquiteturas baseadas em zonas permitem a integração de novas localizações como segmentos separados, sem alterar as áreas existentes.
Enquadramento
O artigo deixa claro que a tecnologia de segurança em ambientes KRITIS já não pode ser considerada de forma isolada, mas sim como parte integrante da estrutura de rede de TI. Isto significa que os responsáveis pela tecnologia de segurança e pela TI devem colaborar de forma mais estreita do que até agora. Ligações historicamente crescidas ou não controladas entre sistemas de segurança e outras redes estão, segundo Greunke, em conflito com os requisitos regulatórios e são também problemáticas em termos de rastreabilidade e auditabilidade.
Para operadores de infraestruturas críticas – por exemplo, nas áreas de controlo de acesso, videovigilância ou tecnologia de alarme – daqui resulta uma clara pressão regulatória para agir: quem integra câmaras, sistemas de acesso ou tecnologia de alarme em paisagens de TI existentes deve fazê-lo segundo um conceito documentado de zonas e segurança que cumpra as normas e leis mencionadas.
Dicas práticas
- Operar sistemas de tecnologia de segurança (câmaras, controlo de acesso, tecnologia de alarme) em zonas de rede próprias e claramente delimitadas, sem misturá-los indiferenciadamente com a TI de escritório.
- Conduzir as transições entre zonas de segurança e a TI empresarial exclusivamente através de pontos definidos, como zonas DMZ ou NAT, e monitorizá-las tecnicamente.
- Planear mecanismos de monitorização automatizados, como watchdogs de câmaras ou reinícios baseados em PoE, para garantir a disponibilidade mesmo sem intervenção manual.
- Criptografar consistentemente as vias de comunicação – por exemplo, através de ligações VPN e criptografia TLS de ponta a ponta – para evitar manipulação e tentativas de escuta.
- Ao planear novos componentes de instalação, apostar desde o início em arquiteturas modulares baseadas em zonas, para que expansões futuras sejam possíveis sem intervenção nos segmentos existentes.
Perspetivas
Tendo em conta as condições regulatórias mencionadas no artigo – lei-quadro KRITIS, lei do BSI, BSI IT-Grundschutz e IEC 62443 –, é provável que a pressão sobre os operadores de infraestruturas críticas continue a aumentar, no sentido de tornarem as suas redes de tecnologia de segurança conformes com as normas e auditáveis. A conclusão de Greunke resume bem a situação: só uma rede soberana, conforme às normas e auditável cria a base para operar sistemas de tecnologia de segurança de forma regulamentada e estruturada. Para planeadores, instaladores e operadores de tecnologia de segurança, isto significa que, no futuro, a arquitetura de rede de TI deverá ser considerada parte fixa de todo o conceito de segurança – desde o planeamento de zonas até à criptografia das vias de comunicação.
