Primeira fase das medidas de Cibersegurança estabelecidas pelo Operador Nacional do Sistema Elétrico é concluída
Em julho de 2021, o Operador Nacional do Sistema Elétrico ("ONS") estabeleceu o Submódulo 5.13 dos Procedimentos de Rede, aplicáveis às empresas de geração e transmissão de energia elétrica integrantes do Sistema Interligado Nacional. Em dezembro de 2020, a Agência Nacional de Energia Elétrica ("ANEEL") havia aprovado a reestruturação dos Procedimentos de Rede, conforme Resolução Normativa ANEEL nº 903/2020.
O novo Submódulo 5.13 dispõe a Rotina Operacional de controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético ("ARCiber"), isto é, o conjunto de redes e equipamentos no escopo da Rotina Operacional, quais sejam:
- Centros de operação dos agentes;
- Equipamentos que participam da infraestrutura de envio ou recebimento de dados e voz para ambientes operativos do ONS ou para centros de operação de outros agentes; e
- O ambiente operativo do ONS.
O Submódulo 5.13 divide a implantação das medidas de cibersegurança em duas fases:
- Medidas que devem ser implantadas em até 18 meses; e
- Medidas que devem ser implantadas em até 27 meses após o dia 9 de julho de 2021.
No dia 9 de janeiro de 2023, foi concluída a 1ª fase de implantação das medidas de cibersegurança. Dentre os pontos que devem ter sido implantados, notam-se:
- O ARCiber não deve ser diretamente acessível através da internet, mesmo que protegido com firewall, exceto se o acesso a partir de redes externas for permitido para o desempenho de atividades autorizadas e por meio de VPN ou tecnologia similar que ofereça controles de segurança;
- Deve ser nomeado pelo menos um gestor e um suplente responsáveis pela cibersegurança do ARCiber;
- Todos os ativos conectados ao ARCiber – softwares e hardwares – devem ser inventariados, pelo menos, a cada 24 meses; e
- Ativos do ARCiber devem gerar logs de segurança que permitam a realização de investigações e a reconstituição de possíveis incidentes de segurança.
O prazo da 2ª fase vence em novembro deste ano, e inclui as seguintes medidas:
- Deve ser implementado um plano de resposta a incidentes cibernéticos;
- Incidentes cibernéticos que afetem o ARCiber deverão ser informados ao ONS; e
- Deve ser elaborada uma política de gestão de acessos e identidades, incluindo o gerenciamento de senhas e a concessão mínima de acesso.
As medidas estabelecidas pelo ONS somam-se àquelas estabelecidas pela ANEEL por meio da Resolução Normativa ANEEL nº 964/2021, que dispõe sobre a política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica. Para garantir o cumprimento dos requisitos de cibersegurança dispostos nos Procedimentos de Rede do ONS, a ANEEL incumbiu sua fiscalização à Superintendência de Fiscalização dos Serviços de Eletricidade e à Superintendência de Fiscalização dos Serviços de Geração.
>>> Este artigo foi escrito por nossos profissionais da área de Proteção de Dados e Cybersecurity: Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda. Clique aqui para ler mais.
