Fábricas inteligentes estão negligenciando a cibersegurança

Não basta ser inteligente; é preciso zelar pela cibersegurança. Essa máxima parece estar sendo negligenciada pelos diretores de instalações fabris, segundo um estudo da Capgemini. Por sua natureza, as fábricas que se tornaram mais inteligentes com a onda das transformações digitais também estão agora mais conectadas à Internet e às nuvens, em geral. Com isso, expandiram suas superfícies vulneráveis a ataques de cibercriminosos, porém a alta diretoria não está preparando suas fábricas à altura para prevenir ou reagir às invasões de agentes mal-intencionados.

A pesquisa abrangeu 950 fábricas em diferentes partes do mundo nos setores de indústria pesada, farmacêutico e ciências da vida, químico, alta tecnologia, produtos de consumo, automotivo, aeroespacial e de defesa. Cerca de 73% que disseram ter sofrido um ataque mencionaram que o fato ocorreu nos 12 meses anteriores à entrevista, 13% entre 12 e 24 meses e 14% há mais de 24 meses. De modo geral, 40% relataram um aumento nos incidentes cibernéticos desde 2019.

Foi citado que suas equipes de segurança cibernética estão sobrecarregadas com o enorme volume de operações de dispositivos de Internet das Coisas Industrial (IIOT) e Tecnologias Operacionais (OT) que precisam rastrear para identificar e desengatilhar tentativas de invasão. E a tendência é que a intensidade e a complexidade administrativas aumentem, visto que até 2025, o número de conexões IIoT deva atingir 37 bilhões. Além disso, a maioria das fábricas inteligentes não possui suficiente visibilidade dos dispositivos OT/IIOT em suas instalações.

O que se observou é que conscientização não é o mesmo que preparação. Ainda que 80% das organizações entrevistadas concordem que cibersegurança é um fator crítico para as operações de uma fábrica inteligente, que 79% sintam que o nível de exposição a ameaças é maior em uma fábrica inteligente do que em uma tradicional não conectada e ainda que 51% reconheçam que o volume de ciberataques provavelmente crescerá nos próximos 12 meses, os níveis de preparação permanecem baixos.

Em geral, as fábricas estão mal preparadas em termos de conscientização, governança, proteção, detecção e resiliência. A análise da Capgemini indica que governança é uma área particular de preocupação, demonstrando o nível mais baixo de preparação em vários parâmetros. Em termos de conscientização, é preciso garantir o acesso a informações em tempo real sobre ameaças atuais e a dados históricos para que seja possível se preparar usando os principais casos de uso do setor de fábricas inteligentes.

No campo de proteção, a Capgemini recomenda segurança um esquema abrangente em todos os cinco níveis de uma fábrica inteligente, do nível 0 (controle do processo de produção) ao nível 5 (planejamento de negócios e controle logístico). Os recursos de detecção e resiliência devem contar com sistemas de monitoramento avançados para rastrear a segurança de recursos críticos e acelerar a identificação de incidentes, além de mecanismos de resiliência para combater e reagir a ataques cibernéticos de forma eficaz. Para elevar o patamar da governança, é necessário transformar a cibersegurança das fábricas inteligentes uma preocupação de alta diretoria e fazer com que líderes seniores definam prioridades e responsabilidade para IIoT e OT.

Os principais desafios para aprimorar a cibersegurança das fábricas inteligentes são falta de colaboração entre líderes das fábricas e diretor de segurança; orçamento insuficiente destinado à cibersegurança; e incapacidade de detectar ataques cibernéticos precocemente, o que acaba gerando mais prejuízo às operações.

A pesquisa mostrou que também há barreiras a serem superadas para treinar adequadamente os funcionários sobre como lidar com os vários aspectos das ciberameaças. Como primeira linha de defesa, eles deveriam os funcionários devem estar cientes de sinais precoces de alerta em caso de possíveis ataques e como garantir respostas rápidas. Uma causa comum para esse cenário é a falta liderança para o programa de requalificação necessário. Isso, combinado com a escassez de talentos em cibersegurança para fábricas inteligentes, torna-se um grande desafio. Para 57% das organizações entrevistadas, a falta de profissionais nesse campo é muito mais aguda do que a crise de talentos em cibersegurança para TI.

Com base na análise e em insights de líderes do setor, a Capgemini recomenda algumas ações para implementar esquemas robustos de cibersegurança em fábricas inteligentes:

1. Realizar uma avaliação de riscos que considere cenários específicos de ataque para identificar quais precisam ser mitigados. Criar um inventário e um mecanismo de monitoramento para todos os dispositivos conectados.  Também é imperativo compreender o padrão de interconexão da rede. Isso permitirá dar uma resposta mais eficaz em caso de ataque porque será possível identificar imediatamente quais funções podem ser impactadas e adaptar a ação corretiva de acordo. Essa análise abrangente poderá ser usada para desenvolver um esquema personalizado e revelar a maturidade da preparação dos negócios como um todo.

2. Promover a conscientização sobre as ameaças. É essencial informar sobre a eventual seriedade da falta de preparação para agir em caso de ataques cibernéticos para que seja priorizar a cibersegurança das fábricas inteligentes.

3. Definir responsabilidades pela cibersegurança das fábricas inteligentes é importante, pois o impacto nos negócios resultante de ataques geralmente é alto. A alta diretoria deve estar atenta à distribuição do orçamento compatível com os riscos. Também é recomendável desenvolver um roteiro detalhado que defina as diversas estruturas de risco. Etapas incorporando várias unidades de negócios, perfis e prioridades podem ser úteis para criar soluções de cibersegurança sem afetar as linhas de produção.

4. Estabelecer infraestruturas de cibersegurança que sejam aderentes a protocolos globais para fábricas inteligentes e alinhados com um ecossistema amplo de fornecedores. Entre outros pontos, esses esquemas podem facilitar a instalação de patches e atualizações contra ameaças.

5. Criar práticas de cibersegurança adaptadas ao ambiente das fábricas inteligentes. Adotar uma visão integrada para segurança cibernética por toda a empresa é evidentemente benéfico, mas de acordo com a Capgemini, pode ser seriamente problemático se isso não for feito corretamente. Medidas e controles inadequados visando a convergência entre IT e OT só vão agravar o problema e aumentar a superfície de ataque.

6. Determinar uma estrutura de governança e de comunicação com a IT corporativa também é relevante. Deve-se usar uma estrutura de matrizes que garanta autonomia para tomada de decisões à equipe de cibersegurança das fábricas inteligentes, que se reportará ao CISO. Isso também facilitará a colaboração com os gerentes de fábrica e dará visibilidade à estratégia da segurança cibernética organizacional.

A chave para se ter uma cibersegurança eficaz em fábricas inteligentes é contar com equipes que conheçam e compreendam o funcionamento da cadeia de produção, dos equipamentos e das redes industriais, e sejam capazes de analisar eventos em detalhe e, sobretudo, criar um plano de remediação que minimize impactos na produção. Além disso, é preciso ter um representante da cibersegurança inserido no ambiente das fábricas com bom conhecimento das instalações, a fim de poder analisar alertas e, sobretudo, contribuir para a construção desse plano de remediação.