Recuperação, resistência e resiliência após um ataque cibernético industrial

Cyber ataques aos ambientes industriais: o crescente aumento desperta preocupação e exige estratégia e resiliência. Em nossa publicação, discutimos os caminhos para a recuperação após um incidente de cibersegurança à infraestrutura operacional.

The Day After é o mais recente estudo da KPMG que tem como objetivo explorar não só apenas os crescentes ataques a ambientes de OT (Operation Technology), mas como as organizações devem responder e se recuperar após um incidente de cibersegurança.

O gerenciamento eficaz de um ataque é fundamental para lidar com o impacto inicial nas operações e nos custos e para ajudar a minimizar uma recuperação que pode envolver dias ou semanas de recursos limitados e serviços ao cliente interrompidos.

As empresas precisam se preparar não apenas para uma resposta a um ataque, mas também para uma recuperação rápida — e isso é particularmente crítico nos domínios de OT, onde os processos físicos normalmente estão envolvidos.

Embora muitas empresas estejam correndo para aprimorar os programas de prevenção e resposta, elas também precisam de recursos de recuperação apropriados.

As empresas precisam se preparar para a recuperação rápida dos dados caso sejam vítimas de um crime cibernético. Isso é particularmente crítico nos domínios de OT, em que impactos e, possível, interrupção nas atividades de operações industriais são normalmente envolvidos.

Muitas organizações já atuam para melhorar os programas de prevenção e resposta, mas os recursos de recuperação apropriados são fundamentais. Vale lembrar que a OT envolve o uso de hardwares e softwares para o controle de equipamentos industriais.

Com a integração dos recursos de tecnologia da informação (TI) com os ambientes de OT para criar convergência (TI/OT), as redes de TI e OT não são mais segregadas. Desta forma, os ataques cibernéticos aos ambientes de TI afetam ambientes de OT, e vice-versa.

Isso oferece aos invasores uma superfície de ataque mais ampla e torna uma abordagem de segurança cibernética abrangente absolutamente crucial. No entanto, isso não está sendo priorizado como deveria; dessa forma, tudo o que envolve OT está sendo cada vez mais alvo de ataques disruptivos.

Investir em proteção adequada é parte dos custos atuais de se fazer negócios. É importante entender como as máquinas e os aplicativos de TI e OT se comunicam, o estado de sua segmentação de rede e os riscos concretos envolvidos.

Em nosso estudo, ressaltamos que as primeiras 72 horas após o ataque são críticas para a recuperação dos sistemas e dos dados. Porém, atualmente, predominam as respostas lentas à identificação dos ataques.

Para estes cenários, a KPMG conta com uma abordagem de recuperação estruturada em cinco fases:

Responder

• Não entre em pânico e mantenha a calma.
• Identifique e análise a ameaça.
• Reporte o incidente.

Remediar

• Contenha e elimine a ameaça.
• Faça um registro detalhado do ataque.

Fase de recuperação tática

• Determine o impacto do evento cibernético.
• Identifique a presença do adversário na infraestrutura, canais de comando e controle e ferramentas e técnicas.
• Use todas as informações disponíveis reunidas para criar o plano de restauração.
• Comece a executar a restauração validando e implementando contra medidas de correção em coordenação com a equipe de resposta a incidentes e outros funcionários de segurança da informação.
• Documente todos os problemas que surgirem, quaisquer indicadores de comprometimento e dependências recém-identificadas.

Fase de recuperação estratégica

• Desenvolva um plano para corrigir a causa principal do evento cibernético.
• Implemente alterações para fortalecer a postura de segurança da organização.
• Depois que a recuperação for concluída, analise as métricas que foram coletadas

Resistência

• Priorize capacidades para aprimorar a postura cibernética.
• Desenvolva um projeto pragmático e um plano para implementação.
• Implemente recursos de forma programática.
• Valide a eficácia com testes de nível regulatório.

Resiliência

• Estabeleça uma solução e uma equipe informadas por ferramentas para monitorar o desvio da política.
• Agregue e analise os sinais para identificar problemas.
• Priorizar problemas e integrá-los aos processos de remediação existentes.
• Acompanhar a correção até a conclusão e relatar os indicadores aos executivos.

O estudo demonstra que a recuperação dos dados está diretamente relacionada à resiliência: o cenário adverso deve ser uma motivação para que as empresas adotem estruturas mais robustas de prevenção e enfrentamento dos ataques cibernéticos.