Verificação e adequação da segurança informática de redes de rádio e sistemas de monitorização, segundo ISA/IEC 62443-3-3 SL2 e a diretiva NIS2.

A diretiva NIS2 (UE 2022/2555) aplica-se às organizações, não a cada equipamento: identifica as entidades sujeitas às obrigações em função do setor e da dimensão, e cada Estado transpõe a diretiva através de uma norma nacional própria. Se a organização estiver entre essas entidades, a rede de rádio e os sistemas de monitorização que sustentam o serviço têm de ser protegidos juntamente com o resto da infraestrutura informática. Determinar se a obrigação existe compete à própria organização: nós intervimos nas medidas técnicas da parte da instalação que executamos e mantemos.

Sim, porque uma rede verdadeiramente isolada é rara. Nos levantamentos no local encontramos quase sempre um acesso remoto aberto para um fornecedor, uma ligação à rede informática dos escritórios ou a outra unidade da organização, ou ainda os suportes amovíveis e os computadores portáteis com que os técnicos intervêm nos equipamentos. O isolamento, em todo o caso, não resolve os defeitos que encontramos com mais frequência: credenciais predefinidas do fabricante ainda ativas, uma única conta partilhada por todos os técnicos e configurações de que ninguém guarda uma cópia.

Nem sempre. Quando um equipamento não permite a autenticação multifator ou expõe apenas protocolos de gestão não cifrados, o risco reduz-se atuando sobre o resto da instalação: separação da rede em que o equipamento se encontra, acesso permitido apenas a partir de postos identificados, desativação dos serviços não utilizados e recolha centralizada dos eventos. Quase todos estes trabalhos são executados com a instalação em serviço; os que exigem um reinício são acordados numa janela de intervenção. Quando nem estas medidas chegam, o relatório indica o desvio residual e as razões pelas quais convém programar a substituição, para que o cliente a possa incluir no plano de investimentos em vez de a enfrentar como um imprevisto.

Não existe um prazo fixo: a avaliação deve ser repetida quando a instalação muda. Uma nova ligação para o exterior, um fornecedor que recebe um acesso remoto, a substituição de equipamentos ou o acrescento de uma estação alteram o quadro levantado anteriormente e tornam o relatório desatualizado nesses pontos. Se houver um contrato de manutenção em vigor, a verificação periódica das contas de utilizador, das versões de firmware e das cópias de segurança pode ser acordada dentro desse contrato.