Realizando Avaliação de Cibersegurança em Petróleo e Gás

Quando Usar

• Ao realizar uma avaliação de cibersegurança de uma refinaria, oleoduto ou instalação de produção
• Ao se preparar para a conformidade com a Diretiva de Segurança de Oleodutos da TSA (SD-01, SD-02)
• Ao avaliar a postura de cibersegurança em relação ao Padrão API 1164 (Segurança SCADA de Oleodutos)
• Ao avaliar a segurança de sistemas SCADA remotos em cabeças de poço e comunicações via satélite
• Quando uma fusão, aquisição ou auditoria regulatória exige uma avaliação abrangente de segurança de OT

Não usar para avaliações de rede corporativa apenas de TI de empresas de petróleo e gás, para avaliações de segurança física sem componente cibernético, ou para avaliações de conformidade ambiental.

Pré-requisitos

• Autorização por escrito da gerência da instalação e da equipe de operações
• Compreensão das operações de petróleo e gás (processos de upstream, midstream, downstream)
• Familiaridade com API 1164, TSA SD-01/SD-02, IEC 62443 e NIST CSF
• Ferramentas de monitoramento passivo para captura de tráfego de rede de OT
• Acesso a diagramas de rede, documentação de arquitetura SCADA e estudos de segurança (HAZOP)

Fluxo de Trabalho

Etapa 1: Escopo da Avaliação com Base no Tipo de Instalação

As instalações de petróleo e gás possuem características únicas baseadas em seu segmento operacional que afetam a abordagem da avaliação.

# Oil & Gas Cybersecurity Assessment Scope
facility:
  name: "Gulf Coast Refinery"
  segment: "Downstream"
  capacity: "250,000 barrels per day"
  regulatory: ["TSA SD-02", "API 1164", "IEC 62443", "NIST CSF"]

assessment_areas:
  process_control:
    description: "Refinery DCS and SCADA systems"
    systems:
      - "Honeywell Experion DCS - main process control"
      - "Yokogawa CENTUM VP - hydrocracker unit"
      - "Triconex SIS - emergency shutdown systems"
      - "Allen-Bradley PLCs - utilities and tank farm"
    protocols: ["Modbus/TCP", "OPC UA", "HART", "Foundation Fieldbus"]

  pipeline_scada:
    description: "Pipeline SCADA for crude receipt and product dispatch"
    systems:
      - "ABB RTU560 - pipeline RTUs at pump stations"
      - "GE iFIX SCADA - pipeline control center"
      - "Flow computers - custody transfer metering"
    protocols: ["DNP3", "Modbus RTU over serial", "IEC 60870-5-104"]
    communications: ["Licensed radio", "Leased line", "Satellite (VSAT)"]

  safety_systems:
    description: "Safety Instrumented Systems and fire/gas detection"
    systems:
      - "Schneider Triconex 3008 - process SIS"
      - "Honeywell FSC - fire and gas"
      - "Combustion turbine protection systems"
    criticality: "SIL 2/3 rated - highest priority"

  remote_access:
    description: "Vendor and operator remote access to OT"
    methods:
      - "Citrix-based remote access to SCADA terminals"
      - "VPN to vendor support for DCS maintenance"
      - "Satellite communication to remote pump stations"

  physical_security:
    description: "Physical security integration with cyber"
    systems:
      - "Access control systems (badge readers)"
      - "CCTV with IP network connectivity"
      - "Perimeter intrusion detection"

compliance_mapping:
  tsa_sd_02:
    - "Implement network segmentation between IT and OT"
    - "Develop and maintain a Cybersecurity Implementation Plan (CIP)"
    - "Establish a Cybersecurity Assessment Program"
    - "Report cybersecurity incidents to CISA within 24 hours"
    - "Implement access control measures for critical OT systems"
  api_1164:
    - "Risk-based cybersecurity program for pipeline SCADA"
    - "Asset identification and classification"
    - "Network security and access control"
    - "Personnel security and training"
    - "Incident response and recovery"

Etapa 2: Avaliar a Segurança SCADA de Oleodutos

Os sistemas SCADA de oleodutos apresentam desafios únicos, incluindo comunicações de longa distância por meio de mídias não confiáveis, locais remotos desassistidos e requisitos de integridade de transferência de custódia.

#!/usr/bin/env python3
"""Ferramenta de Avaliação de Segurança SCADA de Oleodutos.

Avalia a segurança de sistemas SCADA de oleodutos em relação aos
requisitos da API 1164 e da Diretiva de Segurança de Oleodutos da TSA.
"""

import json
import sys
from dataclasses import dataclass, field, asdict
from datetime import datetime


@dataclass
class AssessmentFinding:
    finding_id: str
    category: str
    severity: str
    title: str
    description: str
    affected_systems: list
    regulatory_reference: str
    remediation: str
    timeline: str


@dataclass
class ComplianceCheck:
    requirement_id: str
    description: str

…