NIST publica guia para reduzir riscos de cibersegurança associados a dispositivos USB

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) publicou a sua nova Publicação Especial (SP) 1334, um guia prático destinado a ajudar organizações a mitigar os riscos de cibersegurança associados ao uso de dispositivos de armazenamento amovíveis em ambientes de tecnologia operacional (OT).

O documento, elaborado pelo Centro Nacional de Excelência em Cibersegurança (NCCoE), foca-se sobretudo nos dispositivos USB, mas também aborda riscos associados a discos rígidos externos e unidades de CD/DVD. Estes dispositivos são frequentemente utilizados para atualizar firmware ou recolher dados de diagnóstico em sistemas industriais, mas continuam a ser um dos principais vetores de infeção por malware.

“Se um dispositivo USB for infetado com malware, pode espalhar-se para o sistema de controlo industrial e causar problemas, como interromper operações ou comprometer a segurança”, alerta o NIST.

O NIST SP 1334 identifica quatro áreas fundamentais para mitigar riscos associados a dispositivos USB. No plano processual, recomenda-se a definição de políticas claras para compra, autorização e gestão, restringindo a utilização apenas a funções ou pessoas específicas e tratando dispositivos não autorizados como não fiáveis. Já ao nível físico, é essencial inventariar, etiquetar e armazenar os dispositivos em locais seguros, garantindo maior controlo e rastreabilidade.

No campo técnico, destacam-se medidas como desativar portas não utilizadas, verificar os dispositivos quanto a malware antes e depois do uso, desativar a execução automática, encriptar dados e aplicar proteção contra escrita sempre que possível. Por fim, devem ser adotados procedimentos de transporte seguro e processos de higienização de dados antes da eliminação definitiva dos dispositivos, reduzindo assim o risco de fuga ou comprometimento de informação.

O guia surge num momento em que investigadores alertam para uma sofisticação crescente das ameaças direcionadas à OT, que já não se limitam a malware comum. Empresas como a Honeywell têm vindo a disponibilizar soluções específicas para proteger infraestruturas industriais contra-ataques propagados por USB.

O documento completo está disponível em apenas duas páginas, tornando-se uma referência acessível para empresas industriais que procuram reforçar a segurança dos seus sistemas de controlo.