Segmentação de rede
Uma central solar raramente é uma única rede plana. Por trás do router no local costuma estar a rede de controlo com os inversores, os registadores e o telecomando — e a seu lado uma rede para as câmaras, outra para o alarme e controlo de acessos e outra para o próprio equipamento de rede.
As pessoas que trabalham nessas redes raramente são as mesmas. A empresa de alarmes precisa de alcançar as câmaras. Nos inversores não tem nada a fazer.
É exatamente isso que a segmentação de rede exprime no Mirox: cada rede é etiquetada e cada parceiro alcança apenas os segmentos que lhe concedeu.
Porque é que isto importa para KRITIS e NIS2
O controlo da central é a parte de uma central solar que interessa aos quadros regulamentares. KRITIS e NIS2 esperam que os operadores mantenham o acesso no mínimo indispensável e que seja demonstrável — ou seja, poder responder a quem podia alcançar o controlo e quem o alcançou de facto.
A segmentação fornece as duas metades dessa resposta:
- Privilégio mínimo por construção. A uma organização parceira são concedidos segmentos específicos. Todo o resto — desde logo a rede de controlo — não é apenas ocultado na sua interface: está ausente do encaminhamento do seu acesso remoto. Não consegue alcançá-la mesmo conhecendo o endereço.
- Rastreabilidade. Cada sessão de acesso remoto fica registada no registo de acessos da central: quem se ligou, a que equipamento, quando e durante quanto tempo. As tentativas recusadas também.
Assim pode trazer um prestador de segurança externo para uma central sem alargar o seu alcance aos equipamentos de produção — e pode demonstrá-lo.
Os segmentos
Cada rede registada no Mirox pode ter uma ou mais etiquetas. Não são exclusivas: uma VLAN com câmaras e uma central de alarme recebe ambas.
| Segmento | O que lhe pertence |
|---|---|
| Infraestrutura de rede | Routers, switches, firewalls, pontos de acesso. |
| Câmaras | Câmaras, gravadores NVR, codificadores de vídeo. |
| Sistemas de segurança | Centrais de alarme, controlo de acessos, deteção perimetral e de intrusão. |
| Controlo da central | Inversores, registadores, telecomando (PLC). |
O controlo da central é uma restrição, não apenas um rótulo. Uma rede com essa etiqueta permanece fora do alcance de uma função limitada a segmentos mesmo que tenha também uma etiqueta concedida a essa função — porque uma câmara que partilha a VLAN com o controlador da central não torna o controlador seguro de expor.
Redes sem etiquetas
Uma rede sem etiquetas está não classificada. Para a sua própria equipa nada muda: operadores e gestores técnicos e comerciais alcançam essas redes tal como antes.
Mas uma função cujo alcance é definido por segmentos não entra nelas. É deliberado: ninguém disse o que lá está e, numa central solar, uma rede sem etiqueta pode muito bem transportar inversores — o Mirox não adivinha.
Consequência prática: depois de conceder a alguém a função Responsável de segurança, etiquete as redes que deve alcançar. Até lá não verá nada.
A função Responsável de segurança
Responsável de segurança é a primeira função cujo alcance é determinado por estas etiquetas. Foi pensada para um prestador externo de alarme, videovigilância ou proteção perimetral:
- Alcança os equipamentos de rede dos segmentos concedidos pelas duas vias de acesso remoto — o proxy de equipamentos e a VPN pessoal.
- Lê o registo de acessos da central e vê assim o seu próprio rasto.
- Pode abrir e acompanhar tickets sobre o que encontrar.
- Não vê nenhum dado de produção, desempenho, receitas ou contratos — essas partes do Mirox não existem para esta função.
- Nunca alcança uma rede de controlo da central.
A função é concedida por central ou por carteira, ou partilhada através de uma cooperação com a organização do parceiro. Nenhuma função da organização se transforma nela por si só.
Peça ao prestador que ative o 2FA antes da primeira visita
Um Responsável de segurança trabalha apenas por acesso remoto, por isso a autenticação de dois fatores (2FA) é mais importante para esta função do que para qualquer outra. O proxy de equipamentos exige sempre 2FA na conta do utilizador e uma sessão ativa. E se a organização proprietária da central exigir 2FA, a central fica oculta no Mirox até o utilizador do prestador ter um segundo fator. A VPN pessoal baseia-se num certificado e não depende do 2FA.
Configuração
- Abra as definições de rede da central e etiquete cada rede conforme o que contém. Pode fazê-lo ao criar uma ligação VPN ou depois, numa já existente.
- Conceda ao parceiro a função Responsável de segurança — numa única central, numa carteira ou através de uma cooperação com a organização dele.
- Verifique o resultado na lista de equipamentos da central: o parceiro vê apenas os equipamentos dentro dos seus segmentos.
As etiquetas podem ser alteradas a qualquer momento. Remover uma deixa a rede fora de alcance na ligação seguinte do parceiro; acrescentar uma abre-a. Não é preciso reemitir quaisquer credenciais.
Relacionado
- Sistema de permissões — as funções a que estes segmentos se aplicam.
- Política de segurança da organização — quando é exigido um segundo fator para ver uma central.
- Registo de acessos — quem alcançou o quê e quando.
- Restrições de cooperação — o que uma organização parceira pode receber.
- Acesso remoto — como o proxy de equipamentos e a VPN pessoal alcançam uma central.