Guillem Alsina Gonzàlez
A Moxa, fornecedora de equipamentos de comunicações e redes industriais, tem vindo a trabalhar desde 2016 na adaptação dos seus processos ao quadro normativo IEC 62443, centrado na segurança da tecnologia operacional. Como resultado deste processo contínuo, a empresa obteve a dupla certificação IEC 62443-4-1 de Nível de Maturidade 3, conhecida pela sigla em inglês ML3. Este reconhecimento foi concedido pelo sistema IECEE e pelo ISA Security Compliance Institute, após a empresa ter sido submetida às avaliações pertinentes realizadas pela entidade de acreditação internacional UL Solutions.
A obtenção deste nível avançado atesta que o fabricante dispõe de um Ciclo de Vida de Desenvolvimento Seguro totalmente integrado e padronizado em toda a sua estrutura organizacional. A entidade certificadora salienta que atingir este grau de maturidade exige um profundo compromisso organizacional com a cibersegurança, um elemento considerado a referência básica para a proteção das infraestruturas críticas.
Na prática, a conformidade com o nível ML3 implica que a segurança é aplicada de forma consistente desde a fase de conceção e ao longo de todo o ciclo de vida dos produtos, o que abrange processos de engenharia formalizados, como a modelação de ameaças, a rastreabilidade dos riscos, a gestão contínua de vulnerabilidades e o fornecimento de correções ao longo do tempo. Além disso, inclui também a consolidação das operações da equipa de resposta a incidentes e a extensão destas práticas à cadeia de abastecimento.
A auditoria independente atesta que estas políticas não estão apenas definidas no papel, mas são efetivamente aplicadas no dia-a-dia.
O departamento de investigação e desenvolvimento da Moxa salienta que estas certificações confirmam a sua estratégia de consolidar a proteção industrial desde a base. Ao ligar os ambientes das tecnologias da informação (TI) à tecnologia operacional (OT), facilita-se aos responsáveis pelas compras a aquisição de infraestruturas seguras.
Contar com componentes certificados ao abrigo desta norma reduz os ciclos de due diligence nas aquisições e proporciona certeza nas implementações industriais, cujas operações se estendem normalmente por um ou duas décadas.
A integração deste modelo de desenvolvimento baseado em normas prepara o terreno face à evolução constante dos quadros regulamentares. Um exemplo claro disso é a futura Lei de Ciber-resiliência da União Europeia, que estabelece requisitos mais rigorosos em matéria de governação tecnológica. Esta regulamentação exige que se comprove que os equipamentos integram proteção de série e que os esforços de atualização sejam mantidos após a sua entrada no mercado, uma série de garantias que os profissionais podem consultar através do portal específico disponibilizado pelo fornecedor para o acompanhamento desta legislação comunitária.
