O que é a norma NERC-CIP?
A NERC-CIP é o padrão de cibersegurança aplicado pelas empresas do setor elétrico nos EUA responsáveis pela geração e pela gestão das redes elétricas. A sigla corresponde a North American Electric Reliability Corporation, e CIP significa Critical Infrastructure Protection. Seu objetivo é estabelecer um conjunto de requisitos específicos para a gestão da segurança das infraestruturas críticas ligadas à geração e à gestão das redes elétricas.
A geração e a gestão de energia elétrica evoluíram ao longo dos anos para atender a uma demanda crescente com altos níveis de disponibilidade. Isso trouxe novas tecnologias e mecanismos de controle que, embora tenham permitido atender a essas necessidades, introduziram, pela própria natureza das tecnologias envolvidas, fragilidades e vulnerabilidades. Elas precisam ser bem gerenciadas para mitigar os riscos desses sistemas complexos, que costumam ser alvo de ataques sofisticados de grupos e organizações criminosas.
A norma foi desenvolvida inicialmente em 2003 pela NERC com o objetivo de criar um padrão de segurança industrial para as empresas do setor elétrico. A versão inicial se chamava NERC CSS (Cyber Security Standards) e, após sucessivas melhorias e evoluções, a versão mais atual é conhecida como NERC-CIP. Embora sua origem seja norte-americana, hoje ela está implantada em vários países da América Latina, como México, Colômbia, Equador, Brasil, Chile e Peru.
Estrutura da norma NERC-CIP
Atualmente, a norma é composta por 12 padrões que estabelecem os controles de segurança que devem ser aplicados para a proteção tanto das infraestruturas críticas quanto das informações, do pessoal que gerencia as instalações, da gestão dos sistemas de segurança e dos planos de recuperação dos ativos e infraestruturas considerados críticos.
• CIP-002-5.1a BES (bulk electric system) Cyber System Categorization
• CIP-003-8 Security Management Controls
• CIP-004-6 Personnel & Training
• CIP-005-6 Electronic Security Perimeter(s)
• CIP-006-6 Physical Security of BES Cyber-Systems
• CIP-007-6 System Security Management
• CIP-008-6 Incident Reporting and Response Planning
• CIP-009-6 Recovery Plans for BES Cyber-Systems
• CIP-010-3 Configuration Change Management and Vulnerability Assessments
• CIP-011-2 Information Protection
• CIP-013-1 Supply Chain Risk Management
• CIP-014-2 Physical Security
Objetivos da norma NERC-CIP
O objetivo da norma é melhorar a segurança dos sistemas de distribuição de energia elétrica. Para isso, além de desenvolver controles e acompanhar a conformidade na sua implantação, são feitas avaliações de risco para identificar e tratar vulnerabilidades nos sistemas envolvidos, a fim de garantir a prestação segura dos serviços de distribuição de energia. Para tanto, é preciso identificar os ativos críticos das infraestruturas de geração e distribuição de energia elétrica e, sobre eles, estabelecer mecanismos de controle e monitoramento que previnam e alertem sobre eventos de segurança.
Além do monitoramento, devem ser aplicados mecanismos de controle de acesso a esses ativos e aos sistemas de controle industrial (ICS), bem como procedimentos de gestão e resposta a incidentes, com planos de recuperação e contingência, seja diante de ataques intencionais, acidentes industriais ou desastres naturais, que permitam garantir a continuidade da prestação dos serviços.
A implantação de padrões e estratégias de cibersegurança nas chamadas infraestruturas críticas, como o setor de geração e distribuição de energia elétrica, permite prevenir possíveis situações de vulnerabilidade ou desastre e prepara as empresas envolvidas para uma resposta mais eficiente e de menor impacto sobre os usuários e as organizações que dependem delas.
Na GlobalSuite Solutions contamos com o software GlobalSuite® para implementar a norma NERC-CIP. A ferramenta permite implantar, gerir e manter um Sistema de Gestão de Riscos a partir dos objetivos estabelecidos e também avaliar e acompanhar o tratamento dos riscos definidos.
