Política de Segurança de IoT/OT

A Política de Segurança de IoT/OT (P35) estabelece um conjunto abrangente de requisitos obrigatórios de segurança da informação para a implementação, operação, monitorização e descomissionamento de sistemas da Internet das Coisas (IoT) e sistemas de tecnologia operacional (OT) em toda a organização. O seu objetivo principal é integrar estas tecnologias no sistema de gestão da cibersegurança da organização, assegurando uma proteção robusta contra comprometimento, uso indevido ou sabotagem da produção. O âmbito desta política abrange todos os sistemas de IoT e OT, quer sejam detidos pela empresa, alugados ou obtidos a partir de terceiros, utilizados em qualquer ambiente operacional, administrativo ou de produção. Os dispositivos IoT abrangidos incluem sensores ambientais, mecanismos de autenticação, iluminação inteligente, equipamento de vigilância e dispositivos vestíveis, enquanto os sistemas OT variam desde controladores lógicos programáveis (PLCs) e Sistema de Supervisão, Controlo e Aquisição de Dados (SCADA)/Sistemas de Controlo Distribuído (DCS) até painéis de interface homem-máquina (IHM) e controladores de campo. A política descreve requisitos para todos os ambientes (nas instalações, nuvem, dispositivos de borda), fases do ciclo de vida (conceção, aquisição, implementação, operação, descomissionamento) e partes interessadas, incluindo utilizadores internos, integradores, fornecedores terceiros e contratados. Os principais objetivos centram-se em salvaguardar estas infraestruturas contra ameaças como negação de serviço, acesso não autorizado, ransomware e adulteração de firmware. A política exige a adoção de segurança desde a conceção e defesa em profundidade, requerendo que todas as implementações cumpram controlos padrão essenciais como ISO/IEC 27001 e orientações relevantes para o setor (IEC 62443, NIST SP 800-82). A integração segura com operações de segurança, incluindo escalonamento de resposta a incidentes, classificação de eventos OT críticos para o negócio e a documentação de procedimentos interdepartamentais, é um componente integral. Os requisitos de governação especificam configurações de segurança do dispositivo (credenciais únicas, certificados vinculados ao hardware, arranque seguro), impõem segmentação de rede rigorosa entre TI/OT e proíbem protocolos inseguros, salvo se protegidos e com aceitação do risco. A monitorização e deteção de ameaças são contínuas, com atividades de dispositivos e de rede analisadas através de ferramentas de deteção passiva sensíveis a ICS/SCADA, conjuntos de regras de SIEM específicos de OT, inspeção profunda de pacotes e práticas de retenção de logs. A aplicação de correções nos sistemas e a validação de firmware assinado são essenciais, e o descomissionamento de dispositivos em fim de vida útil exige apagamento remoto, revogação de credenciais de dispositivo e atualizações do inventário de ativos. O tratamento de exceções e o tratamento de riscos estão claramente definidos para sistemas legados incapazes de cumprir requisitos, exigindo exceções documentadas, controlos de mitigação de riscos, sub-redes restritas dedicadas e monitorização. A política está estreitamente integrada com políticas relacionadas que regem gestão de riscos, inventário de ativos, proteção de endpoint, registo de auditoria e monitorização, resposta a incidentes e auditoria e conformidade. As revisões são realizadas anualmente ou após alterações significativas no sistema, fornecedor ou panorama de ameaças, assegurando alinhamento contínuo com exigências regulamentares, contratuais e operacionais. Os mecanismos de aplicação incluem revisões do desempenho dos controlos, procedimentos disciplinares, sanções a fornecedores e escalonamento de ações legais em casos de violação regulamentar ou sabotagem.