A Lei Australiana de Segurança da Infraestrutura Crítica de 2018 (SOCI) é a pedra angular da estratégia do governo para gerenciar riscos à infraestrutura crítica. Seus objetivos são garantir que os operadores de ativos de infraestrutura essencial tomem as medidas de segurança adequadas e fornecer ao governo as informações e os poderes necessários para responder às ameaças.
Originalmente voltada para apenas quatro setores (eletricidade, gás, água e portos), a SOCI foi ampliada para abranger 11 setores da economia. A lei tem como objetivo manter os ativos e serviços de infraestrutura crítica nesses 11 setores protegidos e resilientes contra interrupções na segurança, na economia e na sociedade australiana.
Para isso, a lei impõe obrigações aos proprietários de ativos críticos, na forma de Obrigações de Segurança Positiva (PSOs), Obrigações de Segurança Cibernética Aprimorada (ECSOs) e Medidas de Assistência Governamental.
Por exemplo, as entidades responsáveis devem registrar os detalhes dos ativos e podem ser obrigadas a relatar incidentes cibernéticos ao Centro Australiano de Segurança Cibernética (ACSC) e manter um programa formal de gestão de riscos conhecido como Programa de Gestão de Riscos de Infraestrutura Crítica (CIRMP). Os ativos considerados Sistemas de Importância Nacional poderão enfrentar requisitos ainda mais rigorosos, incluindo, por exemplo, planos obrigatórios de resposta a incidentes, exercícios cibernéticos e avaliações de vulnerabilidade. A SOCI essencialmente transforma o que antes era considerado uma prática recomendada do setor em uma lei aplicável. A Lei de Segurança Cibernética (SOCI) basicamente transforma o que antes era considerado uma prática recomendada do setor em uma lei aplicável.
Dois campos de impacto: setores tradicionais x novos participantes
Os setores originalmente regulamentados provavelmente veem a SOCI como uma extensão das estruturas existentes. Durante décadas, os setores de energia e serviços públicos operaram sob rigorosos padrões de confiabilidade e segurança (como os códigos NEM ou as leis de segurança da água), de modo que a formalização dessas práticas na SOCI pode parecer uma continuação da governança existente.
Por outro lado, as organizações nos setores incluídos mais recentemente, como comunicações, armazenamento e processamento de dados, saúde, ensino superior e transporte, estão enfrentando um novo cenário regulatório. Esses setores muitas vezes não possuem um histórico de regulamentação de infraestrutura, o que significa que a conformidade com a SOCI exige a criação de muitos processos a partir do zero. Isso inclui a criação de registros de ativos, a elaboração de CIRMPs, a implementação de controles e o treinamento de equipes nos procedimentos de notificação de incidentes.
Por exemplo, uma rede universitária ou hospitalar pode agora ser classificada como operadora de infraestrutura crítica, o que exige que ela identifique os ativos abrangidos, avalie as dependências e implemente um CIRMP em conformidade.
Isso geralmente envolve a criação de uma governança de segurança formal desde o início – alinhada a estruturas como o ASD Essential Eight, a ISO 27001 ou a Estrutura de Cibersegurança do NIST – e o estabelecimento de mecanismos para detecção, resposta e notificação oportuna de incidentes ao ACSC.
Por outro lado, as operadoras de setores tradicionalmente regulamentados podem já ter programas de risco maduros em vigor e podem adaptar os controles existentes para atender aos requisitos da SOCI. Independentemente do setor, todas as organizações devem agora integrar o gerenciamento de riscos cibernéticos aos principais processos de negócios, e não tratá-lo como uma atividade paralela ou isolada.
OT e o desafio da convergência de TI
Um desafio significativo apresentado pela SOCI está na proteção de ambientes de Tecnologia Operacional (TO): os sistemas de controle industrial que sustentam muitos ativos essenciais. A OT traz seu próprio conjunto de riscos.
Muitos dispositivos nunca foram projetados levando em conta a segurança cibernética. Eles geralmente executam sistemas operacionais ou firmwares desatualizados que não podem ser facilmente corrigidos e utilizam protocolos proprietários ou legados, como Modbus, DNP3 ou Profibus, que não possuem autenticação e criptografia básicas.
Ao mesmo tempo, a convergência das redes de TI e TO ampliou a superfície de ataque. Ambientes anteriormente isolados agora estão cada vez mais conectados aos sistemas de TI corporativos e à Internet para permitir o monitoramento remoto, a análise e a automação. Isso cria novos caminhos para que os invasores se movimentem lateralmente entre os ambientes e introduz o risco de interrupção operacional devido a ataques cibernéticos.
Os operadores industriais precisam encontrar um equilíbrio entre a disponibilidade do sistema e a proteção cibernética. Colocar os sistemas off-line para atualizações ou segmentação pode interferir nas operações, mas deixá-los expostos aumenta o risco.
A SOCI incentiva as organizações a adotarem estratégias específicas para a OT. Essas estratégias podem incluir segmentação rigorosa da rede, acesso com privilégios mínimos, monitoramento fora de banda e projetos à prova de falhas para proteger esses ambientes.
Provedores de serviços de dados e obrigações de notificação
Um dos elementos menos discutidos, mas de extrema importância, do SOCI é a responsabilidade de notificar os prestadores de serviços de dados. Se um terceiro armazenar ou processar dados essenciais aos negócios relacionados ao seu ativo regulamentado, você é obrigado a informá-lo de que o SOCI se aplica. Isso garante que seus prestadores de serviços compreendam seu papel na proteção de dados críticos e estejam preparados para lhe dar apoio durante um incidente ou uma auditoria.
Além disso, a notificação de incidentes é um requisito central do SOCI. Um incidente de segurança cibernética que tenha um impacto significativo ou relevante em seus serviços essenciais deve ser comunicado ao ACSC dentro de prazos rigorosos. Se o impacto for significativo, a notificação deverá ocorrer em até 12 horas. Para incidentes relevantes, mas de menor gravidade, a notificação deve ser feita em até 72 horas.
Essa não é uma atividade voluntária ou de “melhor esforço”. É uma obrigação legal. A comunicação oportuna proporciona ao ACSC visibilidade das ameaças aos sistemas nacionais, permitindo que ele coordene respostas oportunas e eficazes. Ela também reforça o princípio de que a proteção de infraestruturas críticas é uma responsabilidade compartilhada entre o setor e o governo.
Além da prevenção: o verdadeiro significado da resiliência
Muitas organizações ainda interpretam a resiliência como a capacidade de bloquear ou prevenir ameaças. Mas a verdadeira resiliência vai além da prevenção. É a capacidade de absorver choques, se recuperar rapidamente e continuar operando, mesmo em condições adversas. A SOCI incentiva as organizações a adotarem essa definição mais ampla.
Resiliência significa ter planos de recuperação testados, backups off-line confiáveis, sistemas redundantes e um manual para retomar o serviço durante ou após um incidente. Significa também aprimoramento contínuo, aprendendo com cada evento, adaptando as defesas e fechando as brechas antes do próximo ataque.
Isso é especialmente importante devido às tendências recentes. Relatórios da Australian Signals Directorate (ASD) e de outros órgãos governamentais mostram que os incidentes cibernéticos que afetam setores como água, energia e transporte estão aumentando.
Até mesmo eventos relativamente pequenos podem causar efeitos em cascata em sistemas interdependentes, afetando cadeias de suprimentos, segurança pública e serviços essenciais. Essas tendências destacam a urgência de uma abordagem focada na recuperação.
Os CISOs devem liderar a tarefa de tornar a resiliência cibernética mais do que um simples item de lista. Isso significa tratar a resiliência como um recurso dinâmico, de ponta a ponta, que envolve pessoas, processos e tecnologia trabalhando em conjunto.
Uma mudança regulatória com vantagens estratégicas
A SOCI representou uma mudança significativa na abordagem da Austrália em relação à regulamentação cibernética. Ela vai além das abordagens fragmentadas e voluntárias e cria uma estrutura nacional coesa para proteger a infraestrutura essencial. Embora tenha certamente introduzido uma nova complexidade, encargos de relatórios e custos de conformidade, ela também oferece uma oportunidade para que as organizações elevem sua maturidade de segurança e incorporem a resiliência no centro de suas operações.
Em vez de encarar o SOCI como uma mera tarefa de conformidade, os CISOs com visão de futuro podem tratá-lo como um catalisador estratégico. Ele proporciona apoio do conselho administrativo para investimentos, formaliza as práticas de gestão de riscos e melhora o alinhamento entre os negócios e a segurança. A inclusão de medidas de assistência governamental e mecanismos de compartilhamento de ameaças reforça ainda mais a posição do SOCI como uma ferramenta colaborativa, e não apenas uma exigência.
À medida que as ameaças evoluem e a infraestrutura digital se torna cada vez mais parte integrante da vida nacional, a resiliência deve ser a prioridade. A SOCI prepara o terreno. Agora cabe a nós agir.
Leia mais sobre suas obrigações em “Um guia para a Lei SOCI”.
