Marcelo Branquinho
marcelo.branquinho@tisafe.com
Renato Teodoro Tocaxelli
tocaxelli@modulo.com.br
Foque no
Conteúdo!!!
Você pode focar no
conteúdo, sem se
preocupar em copiar
os Slides.
A apresentação estará
disponível e...
Providing
Comprehensive
Solutions for
Governance, Risk
and Compliance
Management

PROTEÇÃO DE
INFRAESTRUTURA CRÍTICA
Gestã...
Riscos em redes Industriais e
SCADA
Ataques a Infraestruturas críticas
Normas Internacionais para
Segurança SCADA
Gestão d...
Mobilização
Mundial

PROTEÇÃO DE
INFRAESTRUTURA CRÍTICA
• Homeland Security - ICS-CERT
– Time de Resposta Emergencial a In...
Mobilização
Mundial
sobre Riscos
em redes
industriais e
SCADA

PROTEÇÃO DE
INFRAESTRUTURA CRÍTICA
• ICS-CERT: 1º. Sem 2013...
O Brasil
forte sobre
Riscos em
redes
industriais e
SCADA

PROTEÇÃO DE
INFRAESTRUTURA CRÍTICA
• GSI - PR
– GUIA DE REFERÊNC...
O Brasil
forte sobre
Riscos em
redes
industriais e
SCADA

PROTEÇÃO DE
INFRAESTRUTURA CRÍTICA
• MINISTÉRIO DA DEFESA – EXÉR...
Riscos em
redes
industriais e
SCADA
Sistemas Supervisórios
Riscos em
redes
industriais e
SCADA

Sistemas SCADA – No início
• Sistemas proprietários isolados e...
Evolução dos sistemas
SCADA
Riscos em
redes
industriais e

•

Sistemas abertos

•

Arquitetura centrada em Conectividade

...
Alguns riscos em Redes
Industriais
Riscos em
redes
industriais e
SCADA
Casos de
Ataques à
infraestruturas

críticas e
SCADA
Shodan
http://www.shodanhq.com

Casos de
Ataques à

•

Hackers estão usando o site de busca Shodan para
encontrar computad...
Incidentes SCADA na ficção –
Die Hard 4
Casos de “In”Sucesso
•

1992 -- Chevron -- Emergency system was sabotaged by disgruntled employee in over 22 states
1997 -...
Ataque à planta de
Energia Nuclear de Davis-Besse
Casos de
Ataques à
infraestruturas

críticas e
SCADA
Ataque à planta de
Energia Nuclear de Davis-Besse
•

Em 25 de janeiro de 2003, a usina nuclear Davis-Besse usina nuclear e...
Ataque à ET de Maroochy Shire
Casos de
Ataques à
infraestruturas

críticas e
SCADA
Ataque à ET de Maroochy Shire
31/10/2001

Casos de
Ataques à
infraestruturas

críticas e
SCADA

•

Ataque ao sistema de co...
Ataque Cibernético a Centro de
Comando derruba Satélite
Casos de
Ataques à
infraestruturas

críticas e
SCADA
•

Ataque Cibernético a Centro de
Comando derruba Satélite

Em 2008 investigadores da NASA

reportaram que uma falha no RO...
O Worm Stuxnet
Casos de
Ataques à
infraestruturas

críticas e
SCADA
O Worm Stuxnet
Casos de
Ataques à
infraestruturas

críticas e
SCADA

•

O Governo Obama usou o “Stuxnet” para causar medo ...
O Worm Stuxnet
•

O Stuxnet é um worm desenvolvido para atingir sistemas de controle
industriais que usam PLCs Siemens.

C...
O Worm Stuxnet
•

O Stuxnet foi o primeiro worm conhecido a ter como alvo uma
rede industrial.

•

Especialistas apontam c...
Normas
Internacionais
para
Segurança
SCADA
Normas para segurança SCADA
•
•

Normas
Internacionais
para
Segurança
SCADA

ANSI/ISA-99 ( www.isa.org )

NIST SP 800-82 (...
A Norma ANSI/ISA 99
•

Normas
Internacionais
para
Segurança
SCADA

Norma elaborada pela ISA (The Instrumentation Systems a...
Normas para segurança SCADA
Representação Brasileira
Normas
Internacionais
para
Segurança
SCADA
ANSI/ISA-TR99.00.02-2004:

Estabelecendo um programa de segurança de
sistemas de controle e automação industrial

Normas
I...
As Etapas para a implementação do
CSMS – cyber security management system

Normas
Internacionais

1. Análise de Riscos
•

...
A norma NIST 800-82
•

Normas

Norma elaborada pelo NIST

•

O documento é um guia para o estabelecimento de sistemas de c...
Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99
800e NIST 80082.
Solução

Análise e Gestão de Riscos
para Automação

Modulo Risk

Software Módulo Risk Manager™ com base de conhecimentos d...
Análise e Gestão de Riscos
para Automação

Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99

Software Módulo Risk ...
Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99
800e NIST 80082.
Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99
800e NIST 80082.

Análise e Gestão de Riscos para
Automação
Softw...
Solução

Análise e Gestão de Riscos para
Automação
Software Módulo Risk Manager™ com base de conhecimentos de
gestão de ri...
Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99
800e NIST 80082.

Análise e Gestão de Riscos para
Automação
Softw...
Solução
Modulo Risk
Manager™
Manager ANSI/ISAANSI/ISA-99
800e NIST 80082.

Análise e Gestão de Riscos para
Automação
Softw...
E-mail,
Internet
Reuniões

Risk
Fiscalização

Gestão por

Manager™:
Manager :
Facilidade

indicadores
Questionários,
Quest...
Análise e Gestão de Riscos para Automação

Risk
Manager™:
Manager :
Facilidade
de Integração

Software Módulo Risk Manager...
Análise e Gestão de Riscos para
Automação
Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade

Software Módulo ...
Análise e Gestão de Riscos para
Automação
Risk

Software Módulo Risk Manager™ com base de conhecimentos de
gestão de risco...
Ativos e Sistemas

Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade e

Alertas

Gráficos

Automatização

Map...
Processo manual de gestão
de riscos
Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade e
Automatização

25%

G...
Processo automatizado no
primeiro ano com a Módulo
Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade e
Automa...
Processo automatizado no
segundo ano com a Módulo
Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade e
Automat...
Risk
Manager™:
Manager :
Facilidade
de Integração
e Mobilidade e
Automatização
Solução
Modulo Risk
Manager™
Manager Casos de
Sucesso
Portfólio de
Soluções
Mais de 30
soluções para
Gestão de Riscos
Corporativos,
Operacionais e
de TI.

Centros de Comando In...
Portfólio de
Soluções
Mais de 30
soluções para
Gestão de Riscos
Corporativos,
Operacionais e
de TI.

Centros de Comando In...
Análise de Riscos − Planta de Automação
do Centro de Operação de Rede Manaus
Modulo Risk Manager™
Base de conhecimento ANS...
Ambiente analisado
COR Manaus: Sistema SCADA – SAGE
• Desenvolvido e implantado pelo CEPEL

Análise de
Riscos − Planta
de ...
Resultado: Riscos por ativos
(quantitativo)
Análise de
Riscos − Planta
de Automação
do Centro de
Operação
Resultado: Riscos por
ativos (qualitativo)
Análise de

Distribuição de Controles por Níveis de Risco

Riscos − Planta
de A...
Sistema de Fiscalização da Produção – SFP
Modulo Risk Manager™
Controle da Movimentação de Gás Natural - CMGN

Módulo – Co...
Sistema de Fiscalização da
Produção - SFP
Análise de
Riscos − Planta
de Automação
do Centro de
Operação
Sistema de Fiscalização da
Produção - SFP
Análise de
Riscos − Planta
de Automação
do Centro de
Operação
Sistema de Fiscalização da
Produção - SFP
Análise de
Riscos − Planta

•
•
•
•

de Automação
•

do Centro de
Operação

Sala...
Gestão de Riscos, Gestão de Continuidade de Negócios,
Política de Segurança e, Campanha de Conscientização
Modulo Risk Man...
Formação em Segurança de Automação Industrial

Módulo – Copyright © Todos os direitos reservados

www.modulo.com.br
DESAFIOS DO NEGÓCIO
A Coordenação do grupo de proteção do conhecimento sensível do Departamento de Contra Inteligência da ...
Empresas formadas em
Segurança de Automação
Industrial
•
•
•
•
•
•
•
•
•
•

USIMINAS
Eletrobrás Distribuição Alagoas
Eletr...
Empresas formadas em
Segurança de Automação
Industrial
• Rio de Janeiro:
– de 29 a 31 de Outubro.

• São Paulo:
– de 19 a ...
Marcelo Branquinho
marcelo.branquinho@tisafe.com
Renato Teodoro Tocaxelli
tocaxelli@modulo.com.br
Apresentação realizada no Webinar com Módulo Security em 15-10-2013
Upcoming SlideShare
Loading in …5
×

Apresentação realizada no Webinar com Módulo Security em 15-10-2013

1,315 views

Published on

Webinar sobre Análise de Riscos em infraestruturas críticas, ministrada no dia 15/01/2013 em parceria com a Módulo Security.

0 Comments
3 Likes
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
1,315
On SlideShare
0
From Embeds
0
Number of Embeds
29
Actions
Shares
0
Downloads
61
Comments
0
Likes
3
Embeds 0
No embeds

No notes for slide

Apresentação realizada no Webinar com Módulo Security em 15-10-2013

  1. 1. Marcelo Branquinho marcelo.branquinho@tisafe.com Renato Teodoro Tocaxelli tocaxelli@modulo.com.br
  2. 2. Foque no Conteúdo!!! Você pode focar no conteúdo, sem se preocupar em copiar os Slides. A apresentação estará disponível em nossas redes sociais. http://www.slideshare.net/ModuloSecurity http://www.slideshare.net/tisafe
  3. 3. Providing Comprehensive Solutions for Governance, Risk and Compliance Management PROTEÇÃO DE INFRAESTRUTURA CRÍTICA Gestão e Análise de Riscos com Base na 800ANSI/ISA99 e NIST 800-82 Marcelo Branquinho marcelo.branquinho@tisafe.com Renato Teodoro Tocaxelli tocaxelli@modulo.com.br
  4. 4. Riscos em redes Industriais e SCADA Ataques a Infraestruturas críticas Normas Internacionais para Segurança SCADA Gestão de Riscos para Infraestruturas Críticas Casos de Sucesso
  5. 5. Mobilização Mundial PROTEÇÃO DE INFRAESTRUTURA CRÍTICA • Homeland Security - ICS-CERT – Time de Resposta Emergencial a Incidentes Cibernéticos - Controle de Sistemas Industriais sobre Riscos em redes industriais e SCADA • Grupo Norte Americano com vistas a redução dos riscos nos setores de Infraestrutura Crítica • Colabora com CERT´s para compartilhar incidentes de segurança e medidas de mitigação
  6. 6. Mobilização Mundial sobre Riscos em redes industriais e SCADA PROTEÇÃO DE INFRAESTRUTURA CRÍTICA • ICS-CERT: 1º. Sem 2013 – 200 incidentes – maior percentual no setor de energia em 53% • watering hole, SQL injection, spear-phishing attacks
  7. 7. O Brasil forte sobre Riscos em redes industriais e SCADA PROTEÇÃO DE INFRAESTRUTURA CRÍTICA • GSI - PR – GUIA DE REFERÊNCIA PARA A SEGURANÇA DAS INFRAESTRUTURAS CRÍTICAS DA INFORMAÇÃO • De acordo com o Diário Oficial da União nº 27, de 11 de fevereiro de 2008, são consideradas infraestruturas críticas as instalações, serviços e bens que, se forem interrompidos ou destruídos, provocarão sério impacto social, econômico e/ou político
  8. 8. O Brasil forte sobre Riscos em redes industriais e SCADA PROTEÇÃO DE INFRAESTRUTURA CRÍTICA • MINISTÉRIO DA DEFESA – EXÉRCITO BRASILEIRO – Sistema Integrado de Proteção de Estruturas Estratégicas Terrestres (Projeto PROTEGER) • Plano Integrado de longo prazo com o objetivo oferecer prevenção, proteção e resposta rápida, em caso de ocorrências, para instalações de infraestrutura • Projetado para atender as 664 Estruturas Estratégicas Terrestres do país, sendo 222 apenas no setor de energia • Contempladas ações de defesa contra agentes cibernéticos, químicos, biológicos, radiológicos e nucleares
  9. 9. Riscos em redes industriais e SCADA
  10. 10. Sistemas Supervisórios Riscos em redes industriais e SCADA Sistemas SCADA – No início • Sistemas proprietários isolados e dependente de fabricantes • Arquiteturas fechadas , “Ilhas de automação”
  11. 11. Evolução dos sistemas SCADA Riscos em redes industriais e • Sistemas abertos • Arquitetura centrada em Conectividade • Integrações cada vez mais frequentes: • Sistemas SCADA e Intranet corporativa • Sistemas SCADA e Internet SCADA
  12. 12. Alguns riscos em Redes Industriais Riscos em redes industriais e SCADA
  13. 13. Casos de Ataques à infraestruturas críticas e SCADA
  14. 14. Shodan http://www.shodanhq.com Casos de Ataques à • Hackers estão usando o site de busca Shodan para encontrar computadores de sistemas SCADA que utilizam mecanismos potencialmente inseguros para autenticação e autorização. infraestruturas críticas e SCADA
  15. 15. Incidentes SCADA na ficção – Die Hard 4
  16. 16. Casos de “In”Sucesso • 1992 -- Chevron -- Emergency system was sabotaged by disgruntled employee in over 22 states 1997 -- Worchester Airport -- External hacker shut down the air and ground traffic communication system Casos de for six hours 1998 -- Gazprom -- Foreign hackers seize control of the main EU gas pipelines using trojan horse attacks 2000 -- Queensland, Australia -- Disgruntled employee hacks into sewage system and releases over a Ataques à million liters of raw sewage into the coastal waters 2002 -- Venezuela Port -- Hackers disable PLC components during a national unrest and general workers strike, disabled the country's main port infraestruturas 2003 -- U.S East Coast blackout -- A worm did not cause the blackout, yet the Blaster worm did significantly infect all systems that were related to the large scale power blackout 2003 -- Ohio Davis-Besse Nuclear Plant -- Plant safety monitoring system was shut down by the Slammer críticas e worm for over five hours 2003 -- Israel Electric Corporation -- Iran originating cyber attacks penetrate IEC, but fail to shut down the power grid using DoS attacks SCADA 2005 -- Daimler Chrysler -- 13 U.S manufacturing plants were shut down due to multiple internet worm infections (Zotob, RBot, IRCBot) 2005 -- International Energy Company -- Malware infected HMI system disabled the emergency stop of equipment under heavy weather conditions 2006 -- Middle East Sea Port -- Intrusion test gone wrong. ARP spoofing attacks shut down port signaling system 2006 -- International Petrochemical Company -- Extremist propaganda was found together with text files containing usernames & passwords of control systems
  17. 17. Ataque à planta de Energia Nuclear de Davis-Besse Casos de Ataques à infraestruturas críticas e SCADA
  18. 18. Ataque à planta de Energia Nuclear de Davis-Besse • Em 25 de janeiro de 2003, a usina nuclear Davis-Besse usina nuclear em Oak Harbour, Ohio, foi infectada com o worm "Slammer" do MS SQL. • A infecção causou uma sobrecarga de tráfego na rede local. Como resultado, o Sistema de Segurança de Display de Parâmetros (DOCUP) ficou inacessível por quase cinco horas, e o computador de processos da planta por mais de 6 horas. • Um firewall estava no local para isolar a rede de controle da rede da empresa, no entanto, havia uma conexão T1 a partir de uma empresa de consultoria de software, que entrou na rede de controle por trás do firewall, ignorando todas as políticas de controle de acesso impostas pelo firewall corporativo. • O worm infectou servidor do consultor e foi capaz de entrar na rede Davis-Besse através da linha T1. Casos de Ataques à infraestruturas críticas e SCADA
  19. 19. Ataque à ET de Maroochy Shire Casos de Ataques à infraestruturas críticas e SCADA
  20. 20. Ataque à ET de Maroochy Shire 31/10/2001 Casos de Ataques à infraestruturas críticas e SCADA • Ataque ao sistema de controle de tratamento de resíduos de Maroochy Shire em Queensland, Austrália. • A Planta passou por uma série de problemas: bombas não acionavam quando comandadas, alarmes não estavam sendo reportados, e havia uma perda de comunicações entre o centro de controle e as estações de bombas. • Estes problemas causaram o alagamento do terreno de um hotel próximo, um parque, e um rio com mais de 7 milhões de litros de esgoto bruto.
  21. 21. Ataque Cibernético a Centro de Comando derruba Satélite Casos de Ataques à infraestruturas críticas e SCADA
  22. 22. • Ataque Cibernético a Centro de Comando derruba Satélite Em 2008 investigadores da NASA reportaram que uma falha no ROSAT Casos de estava ligada à uma cyber invasão no Goddard Space Flight Center, Ataques à centro de comando do satélite. • infraestruturas Segundo o relatório da NASA: “Atividades hostis comprometeram sistemas de computadores que críticas e direta ou indiretamente lidam com o controle do ROSAT” SCADA • Após sucessivas falhas nos meses seguintes, em 23/10/11 o satélite alemão ROSAT explodiu ao reentrar na atmosfera terrestre. Seus destroços caíram em áreas inabitadas do planeta não causando vítimas.
  23. 23. O Worm Stuxnet Casos de Ataques à infraestruturas críticas e SCADA
  24. 24. O Worm Stuxnet Casos de Ataques à infraestruturas críticas e SCADA • O Governo Obama usou o “Stuxnet” para causar medo e mostrar o controle sobre a Guerra na Internet - @notalemming - YourDaddy's Politics
  25. 25. O Worm Stuxnet • O Stuxnet é um worm desenvolvido para atingir sistemas de controle industriais que usam PLCs Siemens. Casos de • Seu objetivo aparenta ser a destruição de processos industriais específicos. Ataques à • O Stuxnet é muito grande, muito codificado, muito complexo para ser compreendido imediatamente. Ele tem em seu bojo, incríveis truques novos, como a tomada de controle de um sistema de computador sem o usuário tomar qualquer ação ou clicar em qualquer botão, apenas inserindo um pendrive infectado. • O Stuxnet infecta computadores com sistema operacional Windows no controle de sistemas SCADA, independente de ser ou não Siemens. • O Worm somente tenta fazer modificações em controladoras dos PLCs modelos S7-300 ou S7-400, entretanto ele é agressivo e pode afetar negativamente qualquer sistema de controle. Computadores infectados também podem ser usados como uma entrada para futuros ataques. infraestruturas críticas e SCADA
  26. 26. O Worm Stuxnet • O Stuxnet foi o primeiro worm conhecido a ter como alvo uma rede industrial. • Especialistas apontam como alvo inicial do worm a infraestrutura do Irã, que utilizava o sistema de controle da Siemens em suas principais plantas de enriquecimento de urânio. • A infestação do worm danificou as instalações nucleares iranianas de Natanz, e atrasou o início da produção da usina de Bushehr. infraestruturas • críticas e Em Israel, centrífugas nucleares virtualmente idênticas às localizadas no Irã permitiram testes do Stuxnet em condições muito próximas das reais. • Foi comprovado que o Stuxnet tinha duas funções: • Fazer com que as centrífugas iranianas começassem a girar 40% mais rapidamente por quinze minutos, o que causava rachaduras nas centrífugas de alumínio. • Gravar dados telemétricos de uma típica operação normal das centrífugas nucleares, sem que o alarme soasse, para depois reproduzir esse registro para os operadores dos equipamentos enquanto, na verdade, as centrífugas estavam literalmente se destruindo sob a ação do Stuxnet sem que os funcionários soubessem. Casos de Ataques à SCADA
  27. 27. Normas Internacionais para Segurança SCADA
  28. 28. Normas para segurança SCADA • • Normas Internacionais para Segurança SCADA ANSI/ISA-99 ( www.isa.org ) NIST SP 800-82 (http://csrc.nist.gov/publications/PubsDrafts.html )
  29. 29. A Norma ANSI/ISA 99 • Normas Internacionais para Segurança SCADA Norma elaborada pela ISA (The Instrumentation Systems and Automation Society) para estabelecer segurança da informação em redes industriais • É um conjunto de boas práticas para minimizar o risco de redes de sistemas de controle sofrerem Cyber-ataques
  30. 30. Normas para segurança SCADA Representação Brasileira Normas Internacionais para Segurança SCADA
  31. 31. ANSI/ISA-TR99.00.02-2004: Estabelecendo um programa de segurança de sistemas de controle e automação industrial Normas Internacionais para Segurança SCADA
  32. 32. As Etapas para a implementação do CSMS – cyber security management system Normas Internacionais 1. Análise de Riscos • 2. Endereçando riscos com o CSMS • para Segurança SCADA Racional do negócio, identificação de riscos, classificação e análise • • Política de Segurança, Organização e Treinamento • Definir escopo, segurança organizacional, treinamento da equipe, plano de continuidade de negócios, políticas e procedimentos Selecionar contramedidas de segurança • Segurança pessoal, segurança física, segmentação de rede, controle de acesso, autenticação e autorização Implementação • Gerência de riscos e implementação, desenvolvimento e manutenção de sistemas, gestão da informação e documentos, planejamento de incidentes 3. Monitorando e Melhoria Contínua do CSMS • • Compliance Revisar, melhorar e manter o CSMS
  33. 33. A norma NIST 800-82 • Normas Norma elaborada pelo NIST • O documento é um guia para o estabelecimento de sistemas de controle de segurança para indústrias (ICS). Internacionais • para Estes sistemas incluem controle supervisório e aquisição de dados em sistemas SCADA, sistemas de controle distribuídos (DCS), e outras configurações de sistema para PLCs. Segurança SCADA http://csrc.nist.gov/publications/drafts/800-82/draft_sp800-82-fpd.pdf
  34. 34. Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 800e NIST 80082.
  35. 35. Solução Análise e Gestão de Riscos para Automação Modulo Risk Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82 Manager™ Manager - • Objetivos • Avaliar ameaças aos ativos • Levantar vulnerabilidades existentes • Definir a probabilidade de ocorrência de incidentes • Quantificar o impacto no negócio • Definir medidas para prevenir e responder aos incidentes • Avaliar o risco residual • Procedimentos • Aprovação da execução • Levantamento de ativos da planta de automação • Análise de riscos qualitativa e/ou quantitativa em áreas de automação • Definição de ações prioritárias • Execução do plano de tratamento de riscos: Mitigação / Transferência / Aceitação • Manutenção e gestão continuada ANSI/ISAANSI/ISA-99 800e NIST 80082.
  36. 36. Análise e Gestão de Riscos para Automação Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82 • A norma ANSI/ISA-99 detalha uma estratégia para análise, mitigação e monitoramento de riscos de segurança denominada CSMS (Cyber Security Management System). • A implantação do CSMS em uma rede industrial é uma tarefa bastante complexa e que envolve diversos atores na empresa, desde gerentes industriais ao pessoal da rede de TI devem participar e o controle de todas as atividades relacionadas requer ferramentas automatizadas. • Verificando esta necessidade e de acordo com o foco da empresa em segurança de automação industrial, a TI Safe Segurança da Informação desenvolveu durante o ano de 2011 uma completa base de conhecimento que relaciona todos os 70 controles de segurança que devem ser avaliados em uma rede industrial e sistemas SCADA durante a implantação do CSMS preconizado pela norma ANSI/ISA-99. 800e NIST 80082.
  37. 37. Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 800e NIST 80082.
  38. 38. Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 800e NIST 80082. Análise e Gestão de Riscos para Automação Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82
  39. 39. Solução Análise e Gestão de Riscos para Automação Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82 Modulo Risk Requisito de documento de referência Manager™ Manager - Nível de processo ANSI/ISAANSI/ISA-99 800e NIST 80082. Escopo do projeto definido pelo usuário. Nível de aplicação Nível de banco de dados Nível de SO Virtualização Nível de rede
  40. 40. Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 800e NIST 80082. Análise e Gestão de Riscos para Automação Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82
  41. 41. Solução Modulo Risk Manager™ Manager ANSI/ISAANSI/ISA-99 800e NIST 80082. Análise e Gestão de Riscos para Automação Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82
  42. 42. E-mail, Internet Reuniões Risk Fiscalização Gestão por Manager™: Manager : Facilidade indicadores Questionários, Questionários, Redes Sociais. Sociais. EntreEntrevistas de Inventário e Coleta Automatização de Auditoria Mídias Abertas Smartphone, Smartphone, Tablet. Tablet. Sistemas, Sistemas, Totem, Bancos de Dados, Call Center, Planilhas Sensores Ouvidoria. Ouvidoria.
  43. 43. Análise e Gestão de Riscos para Automação Risk Manager™: Manager : Facilidade de Integração Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82
  44. 44. Análise e Gestão de Riscos para Automação Risk Manager™: Manager : Facilidade de Integração e Mobilidade Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82
  45. 45. Análise e Gestão de Riscos para Automação Risk Software Módulo Risk Manager™ com base de conhecimentos de gestão de riscos ANSI/ISA-99 e NIST 800-82 Manager™: Manager : Facilidade Gerente do Ambiente de Integração e Mobilidade e Automatização Infraestrutura $$$ adicionado CTO Infraestrutura
  46. 46. Ativos e Sistemas Risk Manager™: Manager : Facilidade de Integração e Mobilidade e Alertas Gráficos Automatização Mapas Tabelas
  47. 47. Processo manual de gestão de riscos Risk Manager™: Manager : Facilidade de Integração e Mobilidade e Automatização 25% GRC 25% 15% 35%
  48. 48. Processo automatizado no primeiro ano com a Módulo Risk Manager™: Manager : Facilidade de Integração e Mobilidade e Automatização GRC25% 15% 45% 15%
  49. 49. Processo automatizado no segundo ano com a Módulo Risk Manager™: Manager : Facilidade de Integração e Mobilidade e Automatização 5% GRC20% 70% 5%
  50. 50. Risk Manager™: Manager : Facilidade de Integração e Mobilidade e Automatização
  51. 51. Solução Modulo Risk Manager™ Manager Casos de Sucesso
  52. 52. Portfólio de Soluções Mais de 30 soluções para Gestão de Riscos Corporativos, Operacionais e de TI. Centros de Comando Integrados Monitoramento Físico Integração da Gestão de TI, Operações e Corporativa Tecnologia da Informação Operações Corporativa Soluções para Gestão de Segurança da Informação, Governança, Riscos e Compliance (GRC)
  53. 53. Portfólio de Soluções Mais de 30 soluções para Gestão de Riscos Corporativos, Operacionais e de TI. Centros de Comando Integrados Monitoramento Físico Integração da Gestão de TI, Operações e Corporativa Tecnologia da Informação Operações Corporativa Soluções para Gestão de Segurança da Informação, Governança, Riscos e Compliance (GRC)
  54. 54. Análise de Riscos − Planta de Automação do Centro de Operação de Rede Manaus Modulo Risk Manager™ Base de conhecimento ANSI/ISA99 e NIST 800-82 Módulo – Copyright © Todos os direitos reservados www.tisafe.com www.modulo.com.br
  55. 55. Ambiente analisado COR Manaus: Sistema SCADA – SAGE • Desenvolvido e implantado pelo CEPEL Análise de Riscos − Planta de Automação do Centro de Operação • Arquitetura fechada
  56. 56. Resultado: Riscos por ativos (quantitativo) Análise de Riscos − Planta de Automação do Centro de Operação
  57. 57. Resultado: Riscos por ativos (qualitativo) Análise de Distribuição de Controles por Níveis de Risco Riscos − Planta de Automação Muito Alto 69% do Centro de Operação Baixo 3% Médio 13% Alto 15%
  58. 58. Sistema de Fiscalização da Produção – SFP Modulo Risk Manager™ Controle da Movimentação de Gás Natural - CMGN Módulo – Copyright © Todos os direitos reservados www.tisafe.com www.modulo.com.br
  59. 59. Sistema de Fiscalização da Produção - SFP Análise de Riscos − Planta de Automação do Centro de Operação
  60. 60. Sistema de Fiscalização da Produção - SFP Análise de Riscos − Planta de Automação do Centro de Operação
  61. 61. Sistema de Fiscalização da Produção - SFP Análise de Riscos − Planta • • • • de Automação • do Centro de Operação Sala de Controle com informações diárias Aumento da confiabilidade dos números da produção de petróleo e gás Otimização do trabalho de fiscalização Redução dos desvios para aumento da arrecadação Emissão de alertas a partir de variações críticas
  62. 62. Gestão de Riscos, Gestão de Continuidade de Negócios, Política de Segurança e, Campanha de Conscientização Modulo Risk Manager™ Módulo – Copyright © Todos os direitos reservados www.tisafe.com www.modulo.com.br
  63. 63. Formação em Segurança de Automação Industrial Módulo – Copyright © Todos os direitos reservados www.modulo.com.br
  64. 64. DESAFIOS DO NEGÓCIO A Coordenação do grupo de proteção do conhecimento sensível do Departamento de Contra Inteligência da ABIN (CGPC/DCI), que integra o Grupo de Trabalho para Segurança de Infraestruturas Críticas do Gabinete de Segurança Institucional da Presidência da República - GSI/PR entrou em contato relatando que seu grupo desenvolve metodologia para diagnóstico e análise de risco e que necessitam adaptá-la para aplicação específica nas infraestruturas nacionais críticas. SOLUÇÃO Formação em Segurança de Automação Industrial Foi fornecida consultoria para as equipes de agentes da ABIN baseada na norma ANSI/ISA 99. Incluso na consultoria foi ministrada, para 3 turmas, a formação de segurança de automação industrial, treinamento único no setor e que fornece recursos tecnológicos para ajudar no trabalho desenvolvido pelo CGPC/DCI. A capacitação foi ministrada em períodos distintos nos anos de 2009, 2010 e 201 A Agência Brasileira de Inteligência (ABIN) é o Serviço de Inteligência de Estado do Brasil. A função principal da ABIN é neutralizar ameaças reais e potenciais, bem como identificar oportunidades de interesse da sociedade e do Estado brasileiro, e defender o estado democrático de direito e a soberania nacional. A Inteligência Brasileira tem uma longa trajetória de serviços prestados ao País, tendo como objetivo a defesa do Estado e da Sociedade. A área de atuação da ABIN é definida pela Política Nacional de Inteligência, definida pelo Congresso Nacional de acordo com as diretrizes indicadas pelo Poder Executivo Federal, como de interesse do País. RESULTADOS OBTIDOS • Com o treinamento a equipe da ABIN pôde perceber novos aspectos da segurança de sistemas SCADA e também verificar algumas vulnerabilidades proporcionadas por equipamentos e aplicações de mercado e também por seus fornecedores. Estes conceitos estão sendo aplicados diretamente na auditoria das principais infraestruturas críticas nacionais.
  65. 65. Empresas formadas em Segurança de Automação Industrial • • • • • • • • • • USIMINAS Eletrobrás Distribuição Alagoas Eletrobrás Distribuição Acre Eletrobrás Amazonas Energia Eletrobrás Distribuição Rondônia Eletrobrás CHESF Eletrobrás Furnas Eletrobrás Eletrosul Eletrobrás CEPEL Itaipu Binacional • • • • • • • • • • • • Eletrobras Holding Eletrobrás Eletronorte Eletrobrás Distribuição Roraima Eletrobrás CHESF Eletrobrás Eletronuclear ABB EDP DETEN Gerdau TKCSA Petrobrás ANP
  66. 66. Empresas formadas em Segurança de Automação Industrial • Rio de Janeiro: – de 29 a 31 de Outubro. • São Paulo: – de 19 a 21 de Novembro. • Salvador: – de 26 a 28 de Novembro. Matrículas abertas para próximas turmas
  67. 67. Marcelo Branquinho marcelo.branquinho@tisafe.com Renato Teodoro Tocaxelli tocaxelli@modulo.com.br

×