A 10 de junho de 2026, entraram em vigor as Regras de 2026 relativas à alteração da legislação sobre a segurança das infraestruturas críticas (Programa Reforçado de Gestão de Riscos das Infraestruturas Críticas) do Governo australiano.
O Departamento dos Assuntos Internos introduziu requisitos adicionais relativos à maturidade cibernética, à aplicação de correções e às tecnologias obsoletas, ao comprometimento de credenciais, à movimentação lateral, ao acesso do pessoal, às dependências da cadeia de abastecimento e à interação entre os riscos de segurança cibernética e física.
Para os operadores de infraestruturas críticas, isto reforça um princípio importante: a resiliência deve ser incorporada no ambiente e demonstrada através de controlos exequíveis, monitorização, provas e capacidade de recuperação.
Estratégias para a transição para as regras reforçadas do CIRMP (Programa de Gestão de Riscos de Infraestruturas Críticas)
Esta é uma atualização baseada num artigo anterior do blogue, de março de 2026.
Os novos requisitos estão em estreita consonância com várias áreas abrangidas pelo portfólio de proteção de infraestruturas críticas da « OPSWAT»:
- Compromisso de credenciais e acesso remoto controlado: As regras introduzem requisitos explícitos relativos à autenticação multifator resistente ao phishing para os sistemas relevantes, ao acesso privilegiado e ao acesso remoto, juntamente com o registo centralizado e a monitorização da atividade de autenticação. O MetaDefender™ Endpoint integra-se com os fornecedores de identidade e serviços de MFA existentes, ao mesmo tempo que garante a conformidade dos dispositivos antes de o acesso ser concedido.
Para ambientes operacionais, o MetaDefender OT Access proporciona acesso remoto sensível à identidade e controlado por políticas, com monitorização de sessões, auditoria e restrições granulares sobre o que os colaboradores remotos ou fornecedores externos podem aceder. A própria MFA resistente ao phishing deve ser implementada através de um fornecedor de identidade adequado, sempre que exigido pelas regras, o que define isto como um risco separado ao abrigo do ponto 8B «Comprometimento de credenciais». - Segregação de redes e movimento lateral: No âmbito do risco de «Movimento Lateral» 8C, as regras estabelecem requisitos específicos para compreender como os sistemas críticos estão ligados, restringir as comunicações entre eles, aplicar o princípio do privilégio mínimo, monitorizar centralmente as vias de comunicação e apoiar a recuperação, mantendo simultaneamente as operações críticas. MetaDefender Industrial Firewall fornece inspeção sensível a protocolos e segmentação baseada em zonas para ambientes OT.
MetaDefender O NetWall™ pode proporcionar isolamento imposto por hardware e fluxos de dados controlados entre redes com diferentes classificações de segurança. Estes controlos podem fazer parte de uma arquitetura mais ampla concebida para reduzir o movimento lateral e preservar a independência operacional durante um incidente. Pode também fornecer uma estratégia para ajudar os operadores de infraestruturas críticas a cumprir as orientações da CI Fortify, que exigem a capacidade de se manterem operacionais enquanto estiverem offline durante um período de 90 dias. - Risco de terceiros e da cadeia de abastecimento: No âmbito do risco « Supply Chain » previsto na secção 10A, as regras exigem que as entidades afetadas identifiquem os principais fornecedores e componentes críticos, identifiquem os riscos da cadeia de abastecimento, considerem os tempos máximos de inatividade aceitáveis e avaliem os riscos associados aos principais fornecedores. Os controlos técnicos não substituem a devida diligência relativamente aos fornecedores nem as avaliações da propriedade, controlo ou influência estrangeiros; no entanto, o OPSWAT pode reduzir o risco cibernético criado por software, ficheiros e dados que entram em ambientes críticos através dessas cadeias de abastecimento.
O MetaDefender™ Core permite inspecionar software e ficheiros em busca de malware e vulnerabilidades conhecidas, bem como gerar listas de materiais de software (SBOMs). O MetaDefender™ Kiosk controla os ficheiros introduzidos através de suportes removíveis, enquanto o MetaDefender™ Managed File Transfer aplica inspeção, controlos de acesso, aplicação de políticas e registos de auditoria à troca de ficheiros entre ambientes de TI, OT e de terceiros. - Acesso offshore e remoto a sistemas e dados críticos: Com a introdução dos riscos materiais no âmbito do 6A All-hazard, o governo reconhece o acesso offshore ou remoto a componentes críticos e dados essenciais para o negócio como riscos materiais adicionais. MetaDefender OT Access permite restringir e monitorizar o acesso de terceiros ou remoto a ativos e atividades específicos de OT, enquanto MetaDefender Managed File Transfer e MetaDefender NetWall permitem garantir a circulação controlada de dados através das fronteiras de segurança. Isto permite às organizações reduzir a conectividade desnecessária e estabelecer pontos de controlo mais rigorosos em torno das interações remotas com ambientes críticos
- Consequências ciberfísicas: As Regras CIRMP Reforçadas exigem que as organizações tenham em conta as consequências para a segurança física decorrentes de riscos cibernéticos, relacionados com credenciais, de movimento lateral, de pessoal e da cadeia de abastecimento. Isto é particularmente relevante em ambientes de OT e ciberfísicos, onde uma violação cibernética pode afetar a disponibilidade ou o funcionamento seguro dos processos físicos. A segmentação, o acesso remoto seguro, a transferência controlada de ficheiros e a inspeção preventiva podem ajudar a reduzir as vias através das quais uma violação digital se transforma num incidente operacional ou físico. Estes controlos tecnológicos complementam, em vez de substituírem, os processos de segurança física e de continuidade de atividade exigidos pelo CIRMP.
Como será a conformidade em 2028
As recentes alterações legislativas da Lei SOCI relativas às regras reforçadas do CIRMP também elevam o nível esperado de maturidade em matéria de cibersegurança para os ativos afetados. Estas alterações fazem referência a quadros de referência, incluindo a norma ISO/IEC 27001:2023, o Quadro de Cibersegurança 2.0 do NIST, o «Essential Eight» – Nível de Maturidade 2, o Indicador de Maturidade C2M2 – Nível 2 e o Perfil de Segurança 2 da AESCSF, ou uma abordagem equivalente aplicável.
Para as organizações já sujeitas às obrigações do CIRMP, as alterações de 2026 representam, portanto, mais do que uma simples atualização em matéria de conformidade. Proporcionam uma orientação técnica mais clara: saber o que está ligado aos sistemas críticos, controlar quem e o que pode aceder aos mesmos, minimizar as oportunidades de movimento lateral, examinar minuciosamente as vias de acesso de terceiros, manter registos dos controlos de segurança e conceber ambientes capazes de dar continuidade às operações críticas quando outros sistemas estiverem comprometidos ou em fase de recuperação.
OPSWAT está aqui para ajudar as entidades de infraestruturas críticas a apoiar esta transição, fornecendo controlos preventivos e exequíveis em ficheiros, suportes removíveis, terminais, acesso remoto, redes OT e fluxos de dados entre domínios. Nenhuma tecnologia, por si só, garante a conformidade com o CIRMP, mas a integração destas capacidades num programa mais abrangente de gestão de riscos pode ajudar as entidades responsáveis a traduzir os requisitos regulamentares em resiliência operacional mensurável e auditável.
Para avaliar o seu grau de preparação antes dos prazos de 2027 e 2028, fale com um especialista em infraestruturas críticas da OPSWAT .
