Observamos três características que tornam o setor particularmente vulnerável a ameaças cibernéticas. Primeiramente, há um número cada vez maior de ameaças enfrentadas pelas concessionárias de serviços públicos: desde atores do tipo estado-nação em busca de causar desarranjos econômicos e de segurança até criminosos cibernéticos que entendem o valor econômico representado por esse setor. Em segundo lugar está a ampla e crescente pegada das concessionárias, decorrente da complexidade geográfica e organizacional, o que inclui a natureza descentralizada da liderança em segurança cibernética. Em terceiro lugar, as interdependências específicas do setor de energia elétrica e gás entre a infraestrutura física e a cibernética tornam as empresas vulneráveis à exploração, inclusive à destruição física.
Em junho de 2020, uma empresa de energia elétrica sediada no Brasil foi alvo de ransomware por parte de hackers. A empresa não revelou os detalhes do ataque, mas os invasores exigiram um resgate de $ 14 milhões 2 2. Ionut Arghire, “Ransomware operators demand $14 million from power company”, SecurityWeek, 2 de julho de 2020, securityweek.com. .
No final de abril de 2020, uma empresa de energia elétrica brasileira foi atingida por um ataque cibernético que deixou muitos serviços offline por vários dias. Os clientes só conseguiam acessar os serviços de atendimento ao cliente por meio de um call center e da plataforma WhatsApp.
Para fazer frente a esses desafios, aplicamos nosso trabalho em setores ciberneticamente mais avançados (como bancos e segurança nacional) e nossa experiência prática internacional com concessionárias
Informações estratégicas sobre ameaças e atores antes de ataques na rede. As empresas devem implementar uma abordagem de segurança com visão de futuro e que integre a função de segurança às decisões cruciais sobre a expansão corporativa e o correspondente aumento da complexidade infraestrutural e geográfica.
Programas para reduzir as defasagens geográficas e operacionais em termos de conscientização e comunicação, criando uma cultura de segurança. Um aparato altamente funcional de segurança de concessionária deve ser alinhado para garantir que as melhores mentes da empresa – não apenas em segurança – estejam cientes das ameaças e tenham processos robustos para divulgar potenciais vulnerabilidades e incidentes emergentes.
Colaboração no setor como um todo para lidar com a crescente convergência de ameaças físicas e virtuais. As parcerias setoriais, na qualidade de observadoras das tecnologias de ponta (e das respectivas vulnerabilidades), devem manter um diálogo ininterrupto sobre como proteger os delicados elos entre a infraestrutura física e a virtual, bem como entre as redes de TI e de tecnologia operacional (TO). Na América Latina, há muitos stakeholders que participam do setor de energia (por exemplo, organizações privadas, governos / órgãos reguladores) e que devem continuar a colaborar no campo da segurança cibernética.
Começar por uma avaliação holística para determinar a maturidade atual da segurança cibernética, fazer benchmarking de suas capacidades em relação às de seus pares do setor e identificar oportunidades para desenvolver capacidades adicionais. .
Mapear as principais funções empresariais em uma cadeia de valor, permitindo que as unidades de negócios priorizem e protejam os ativos e sistemas de informação mais essenciais que geram valor empresarial.
Assegurar que o programa de segurança cibernética tenha um robusto modelo operacional subjacente, inclusive um catálogo de serviços de segurança cibernética e respectivos fluxos de processos, papéis principais e pontos de contato entre stakeholders, além de mensurações do sucesso do programa.
Diversas características do setor de energia aumentam o risco e o impacto das ameaças cibernéticas contra concessionárias (Quadro 1).
Atores do tipo estado-nação e outros players sofisticados vêm demonstrando maior disposição para ter os provedores de infraestrutura como alvo dentro de suas campanhas mais amplas 4 4. “National Terrorism Advisory System Bulletin: Summary of terrorism threat to the US homeland”, Departamento de Segurança Interna dos Estados Unidos, 4 de janeiro de 2020, dhs.gov. .
Além disso, criminosos cibernéticos visam às concessionárias e outros players de infraestrutura essencial para obterem lucro. Um exemplo marcante ocorreu em Porto Rico. Ataques cibernéticos a medidores inteligentes pertencentes a uma empresa de energia elétrica porto-riquenha causaram a ela uma perda de receita de até $ 400 milhões 5 5. Brian Krebs, “FBI: Smart meter hacks likely to spread”, Krebs on Security, 12 de abril de 2012, krebsonsecurity.com. . À medida que as empresas de energia da América Latina expandem sua implantação de medidores inteligentes, ameaças como essas precisam ser minimizadas. O foco desses ataques já não se limita apenas às redes de TI; um órgão governamental alertou recentemente sobre um caso de ransomware destinado a prejudicar a visibilidade das operações de gasodutos por uma empresa de gás, levando à perda de produtividade e receita até que o ransomware fosse removido 6 6. “Alert (AA20-049A): Ransomware impacting pipeline operations”, Agência de Segurança Cibernética e Segurança de Infraestrutura, 18 de fevereiro de 2020, us-cert.cisa.gov. .
Os hacktivistas podem representar ameaças que tendem a ser menos sofisticadas, mas que, mesmo assim, têm potencial para causar disrupção nas operações de energia elétrica e gás, por meio, por exemplo, de ataques distribuídos de negação de serviço (DDoS, na sigla em inglês de “distributed denial-of-service”) 7 7. Eduard Kovacs, “DDOS attacks more likely to hit critical infrastructure than APTs: Europol”, SecurityWeek, 27 de setembro de 2017, securityweek.com. .
Embora a maioria das concessionárias esteja ciente dos riscos relacionados à segurança cibernética, ainda há incoerências nos investimentos em controles de segurança cibernética de TI e TO e no desenvolvimento de estratégias coordenadas. Na América Latina, a maioria dos países conta com leis e padrões de segurança cibernética, mas muitos estão nos estágios iniciais de maturidade 8 8. Critical infrastructure in Latin America, 2016. .