Uma lista de verificação de um cliente na indústria metalúrgica e de manufatura quase sempre gira em torno do mesmo tema: como seu ambiente de produção está protegido e o que acontece quando esse ambiente é afetado por uma falha ou um ataque. Isso não é coincidência. Máquinas, sistemas operacionais e equipamentos de medição estão cada vez mais conectados à mesma rede que a automação de escritório, e é justamente essa conexão entre produção e TI que um cliente investiga.
As perguntas em si variam de cliente para cliente, mas as categorias são notavelmente consistentes: quais sistemas você mapeou, sua rede de produção está separada da de escritório, como você lida com máquinas obsoletas, quem tem acesso remoto para manutenção e o que você faz quando uma linha de produção para devido a uma falha. Quem reconhecer essas categorias não precisa encarar uma lista de verificação como uma surpresa.
Por que o ambiente de produção é central
Uma empresa de usinagem de metais ou fabricante de máquinas opera com equipamento que frequentemente dura anos ou décadas: máquinas CNC, CLPs, sistemas SCADA. Esse equipamento raramente foi projetado com conexão à internet em mente, mas na prática é conectado, por exemplo, para monitoramento remoto ou para transmissão de dados de produção. Um cliente que se enquadra na obrigação de due diligence da Diretiva NIS2 deve avaliar que riscos seus fornecedores trazem. Um ambiente de produção conectado à rede sem separação clara do resto da infraestrutura é, portanto, um ponto de atenção óbvio.
Isso explica por que listas de verificação neste setor frequentemente aprofundam a distinção entre TI (ambiente de escritório) e OT (tecnologia operacional, sistemas de produção). Uma pergunta geral como "você possui uma política de segurança da informação" é quase sempre complementada na indústria metalúrgica e de manufatura com uma mais específica: "sua rede de produção está separada logicamente ou fisicamente de sua rede de escritório".
As perguntas que quase sempre retornam
Em listas de verificação para fornecedores neste setor, alguns tópicos retornam notavelmente frequentemente. Primeiro, o mapeamento: você possui um inventário atualizado de todos os sistemas conectados ao seu ambiente de produção, incluindo máquinas que não são mais suportadas pelo fabricante. Depois, a separação de redes e a questão de se existe um segmento separado para sistemas que não podem mais receber patches.
Um terceiro bloco recorrente trata de acesso remoto: quais fornecedores ou técnicos de manutenção podem fazer login remotamente em suas máquinas e como esse acesso é protegido e registrado. Um quarto bloco trata de continuidade: o que acontece se uma linha de produção para devido a um problema técnico ou um ataque e com que rapidez você pode retomar. Finalmente, um cliente frequentemente pergunta sobre registro de incidentes: você documenta quando algo dá errado em seu ambiente de produção e quem em sua organização é informado.
Quem quiser verificar se sua própria organização será afetada por esse tipo de pergunta através de suas relações comerciais e em que categoria se enquadra encontra em algumas perguntas que fornecem uma primeira indicação em alguns minutos um ponto de partida para essa explicação.
Máquinas mais antigas nem sempre são fáceis de responder
Para muitas empresas deste setor, a pergunta mais desafiadora não é a própria pergunta, mas a resposta. Uma máquina de quinze anos funciona frequentemente com software que não é mais atualizado, e a substituição é cara. Uma lista de verificação não exige necessariamente que substitua essa máquina, mas que demonstre que compreende onde está o risco e que medidas tomou em torno dele, por exemplo, colocando o dispositivo num segmento de rede separado sem conexão direta à internet.
Essa distinção — entre "eliminar o risco" e "conhecer e gerir o risco" — é exatamente o que um contratante geralmente procura. A própria diretiva e as leis nacionais que dela decorrem, como a Lei de Segurança Cibernética, descrevem este tipo de medidas de due diligence em termos gerais; a autoridade reguladora publica, para além disso, orientações práticas. Um resumo do que esses conceitos significam exatamente está em os tópicos que foram desenvolvidos por situação.
Acesso remoto como ponto de atenção específico
A manutenção remota é muitas vezes inevitável na indústria de metais e manufactura: um fornecedor de uma máquina às vezes precisa de poder acompanhar remotamente uma avaria. As listas de verificação dedicam deliberadamente atenção a isto, porque é uma das formas mais comuns como um problema de uma parte pode afetar a outra. Uma resposta clara descreve quem tem acesso, como esse acesso é concedido e revogado, e se um registo é mantido de quem iniciou sessão e quando.
O que faz com uma lista de verificação recebida de um contratante
Uma lista de verificação de um contratante é, antes de mais, um pedido de visibilidade, não um exame com um número de pontos fixo. Uma resposta clara, mesmo que signifique que uma medida ainda está em desenvolvimento, é geralmente melhor recebida do que uma lista de caixas de seleção sem justificação. Para questões sobre o que um contratante pode exatamente pedir e até que ponto essa pergunta pode ir, é aconselhável consultar as publicações da autoridade reguladora ou envolver um jurista; secria.eu prepara respostas e documentos, mas nunca apresenta ou registra em nome do cliente.
Mais informações sobre como esta informação foi compilada e quais fontes foram utilizadas estão em a página que mostra de onde vem a informaçãoRespostas a perguntas frequentes sobre listas de verificação e o papel dos fornecedores estão disponíveis via a coleção de perguntas frequentes.
Quer saber se a sua empresa, através da cadeia de abastecimento, terá de lidar com este tipo de listas de verificação, ou procura esclarecimentos sobre um conceito específico de uma lista de verificação que já recebeu? A verificação rápida gratuita e a base de conhecimento dão uma primeira impressão em meia hora, sem necessidade de uma conta.