A Lei Australiana de Segurança de Infraestrutura Crítica de 2018 (SOCI) é a pedra angular da estratégia do governo para gerenciar riscos à infraestrutura crítica. Seus objetivos são confirmar que os operadores de ativos de infraestrutura essencial tomem as medidas de segurança adequadas e dar ao governo as informações e os poderes para responder às ameaças.
Originalmente voltada para apenas quatro setores (eletricidade, gás, água e portos), a SOCI foi ampliada para abranger 11 setores da economia. A lei tem como objetivo manter os ativos e serviços de infraestrutura crítica nesses 11 setores protegidos e resilientes contra interrupções na segurança, na economia e na sociedade da Austrália.
Para isso, a lei impõe obrigações aos proprietários de ativos críticos, na forma de Obrigações de Segurança Positiva (PSOs), Obrigações de Segurança Cibernética Aprimorada (ECSOs) e Medidas de Assistência Governamental.
Por exemplo, as entidades responsáveis devem registrar os detalhes dos ativos e podem ser obrigadas a relatar incidentes cibernéticos ao Centro Australiano de Segurança Cibernética (ACSC) e manter um programa formal de gestão de riscos conhecido como Programa de Gestão de Riscos de Infraestrutura Crítica (CIRMP). Os ativos considerados “Sistemas de Importância Nacional” podem estar sujeitos a requisitos ainda mais rigorosos, incluindo, por exemplo, planos obrigatórios de resposta a incidentes, exercícios cibernéticos e avaliações de vulnerabilidade. A Lei de Segurança Cibernética (SOCI) basicamente codifica o que antes era considerado a melhor prática do setor, transformando-a em lei aplicável.
Dois campos de impacto: Setores antigos vs. novos entrantes
Os setores originalmente regulamentados provavelmente veem a SOCI como uma extensão das estruturas existentes. Durante décadas, os setores de energia e serviços públicos operaram sob rigorosos padrões de confiabilidade e segurança (como os códigos NEM ou as leis de segurança da água), de modo que a formalização dessas práticas na SOCI pode parecer uma continuação da governança existente.
Em contrapartida, as organizações nos setores incluídos mais recentemente, como comunicações, armazenamento e processamento de dados, saúde, ensino superior e transporte, estão enfrentando um novo cenário regulatório. Esses setores muitas vezes não contam com um histórico de regulamentação de infraestrutura, o que significa que a conformidade com o SOCI exige a criação de muitos processos a partir do zero. Isso inclui a criação de registros de ativos, a elaboração de CIRMPs, a implementação de controles e o treinamento de equipes nos procedimentos de notificação de incidentes.
Por exemplo, uma rede universitária ou hospitalar pode agora ser classificada como operadora de infraestrutura crítica, o que exige que ela identifique os ativos cobertos, avalie as dependências e implemente um CIRMP em conformidade.
Isso geralmente envolve a criação de uma governança de segurança formal desde o início – alinhada a estruturas como ASD Essential Eight, ISO 27001 ou NIST Cybersecurity Framework – e o estabelecimento de mecanismos para detecção, resposta e relatório oportunos de incidentes para o ACSC.
Por outro lado, as operadoras de setores tradicionalmente regulamentados podem já ter programas de risco maduros em vigor e podem adaptar os controles existentes para atender aos requisitos da SOCI. Independentemente do setor, todas as organizações devem agora integrar o gerenciamento de riscos cibernéticos aos principais processos de negócios, e não tratá-lo como uma atividade paralela ou isolada.
OT e o desafio da convergência de TI
Um desafio significativo apresentado pela SOCI está na proteção de ambientes de Tecnologia Operacional (TO): os sistemas de controle industrial que sustentam muitos ativos essenciais. A OT traz seu próprio conjunto de riscos.
Muitos dispositivos nunca foram projetados com a segurança cibernética em mente. Eles geralmente executam sistemas operacionais ou firmware desatualizados que não podem ser facilmente corrigidos e usam protocolos proprietários ou legados, como Modbus, DNP3 ou Profibus, que não possuem autenticação e criptografia básicas.
Ao mesmo tempo, a convergência das redes de TI e OT expandiu a superfície de ataque. Ambientes anteriormente isolados agora estão cada vez mais conectados aos sistemas de TI corporativos e à Internet para permitir o monitoramento remoto, a análise e a automação. Isso cria novos caminhos para que os invasores se movimentem lateralmente entre os ambientes e introduz o risco de interrupção operacional devido a ataques cibernéticos.
Os operadores industriais precisam encontrar um equilíbrio entre a disponibilidade do sistema e a proteção cibernética. Colocar os sistemas off-line para atualizações ou segmentação pode interferir nas operações, mas deixá-los expostos aumenta o risco.
A SOCI incentiva as organizações a adotarem estratégias específicas para OT. Essas estratégias podem incluir segmentação rigorosa da rede, acesso com privilégios mínimos, monitoramento fora de banda e projetos à prova de falhas para proteger esses ambientes.
Provedores de serviços de dados e deveres de notificação
Um dos elementos menos discutidos, mas de extrema importância, do SOCI é a responsabilidade de notificar os prestadores de serviços de dados. Se um terceiro armazenar ou processar dados essenciais aos negócios relacionados ao seu ativo regulamentado, você é obrigado a informá-lo de que o SOCI se aplica. Isso garante que seus prestadores de serviços compreendam seu papel na proteção de dados essenciais e estejam preparados para lhe dar suporte durante um incidente ou uma auditoria.
Além disso, a notificação de incidentes é um requisito fundamental do SOCI. Um incidente de segurança cibernética que tenha um impacto significativo ou relevante sobre seus serviços essenciais deve ser comunicado ao ACSC dentro de prazos rigorosos. Se o impacto for significativo, a notificação deve ocorrer no prazo de 12 horas. Para incidentes relevantes, mas de menor gravidade, a notificação deve ser feita no prazo de 72 horas.
Essa não é uma atividade voluntária ou de melhor esforço. É uma obrigação legal. A comunicação oportuna dá à ACSC visibilidade das ameaças aos sistemas nacionais, permitindo que ela coordene respostas oportunas e eficazes. Ela também reforça o princípio de que a proteção de infraestruturas críticas é uma responsabilidade compartilhada entre o setor e o governo.
Além da prevenção: O verdadeiro significado de resiliência
Muitas organizações ainda interpretam a resiliência como a capacidade de bloquear ou prevenir ameaças. Mas a verdadeira resiliência vai além da prevenção. É a capacidade de absorver choques, se recuperar rapidamente e continuar operando, mesmo em condições adversas. A SOCI incentiva as organizações a adotarem essa definição mais ampla.
Resiliência significa ter planos de recuperação testados, backups off-line confiáveis, sistemas redundantes e um manual para retornar ao serviço durante ou após um incidente. Também significa aprimoramento contínuo, aprendendo com cada evento, adaptando as defesas e fechando as lacunas antes do próximo ataque.
Isso é especialmente importante, tendo em vista as tendências recentes.Relatórios da Diretoria Australiana de Sinais(ASD) e outros órgãos governamentais mostram que os incidentes cibernéticos que afetam setores como o de água, energia e transporte estão aumentando.
Até mesmo eventos relativamente pequenos podem causar efeitos em cascata em sistemas interdependentes, afetando cadeias de suprimentos, segurança pública e serviços essenciais. Essas tendências destacam a urgência de uma abordagem focada na recuperação.
Os CISOs devem liderar a tarefa de tornar a resiliência cibernética mais do que uma caixa de seleção. Isso significa tratar a resiliência como um recurso dinâmico, de ponta a ponta, que envolve pessoas, processos e tecnologia trabalhando em conjunto.
Uma mudança regulatória com vantagens estratégicas
A SOCI representou uma mudança significativa na abordagem da Austrália em relação à regulamentação cibernética. Ela vai além das abordagens fragmentadas e voluntárias e cria uma estrutura nacional coesa para proteger a infraestrutura essencial. Embora tenha certamente introduzido uma nova complexidade, encargos de relatórios e custos de conformidade, ela também oferece uma oportunidade para as organizações elevarem sua maturidade de segurança e incorporarem a resiliência no centro de suas operações.
Em vez de encarar a SOCI como uma mera tarefa de conformidade, os CISOs com visão de futuro podem tratá-la como um catalisador estratégico. Ela proporciona apoio do conselho administrativo para investimentos, formaliza as práticas de gestão de riscos e melhora o alinhamento entre os negócios e a segurança. A inclusão de medidas de assistência governamental e mecanismos de compartilhamento de ameaças reforça ainda mais a posição da SOCI como uma ferramenta colaborativa, e não apenas como uma exigência.
À medida que as ameaças evoluem e a infraestrutura digital se torna cada vez mais parte integrante da vida nacional, a resiliência deve ser a prioridade. SOCI prepara o palco. Agora cabe a nós agir.
Leia mais sobre suas obrigações emUm guia para a Lei SOCI.
