Johnson Controls transformou ransomware de tecnologia predial em uma questão de continuidade

Resumo

• Registro público confirmado:A Johnson Controls comunicou aos investidores em um Form 8-K de setembro de 2023 que um incidente de cibersegurança havia interrompido partes de sua infraestrutura e aplicações internas de tecnologia da informação. Em um Form 8-K de novembro de 2023 e em registros subsequentes, a empresa descreveu acesso não autorizado, exfiltração de dados e ransomware afetando uma parte da infraestrutura de TI interna, afirmou que o incidente interrompeu o acesso a algumas aplicações de negócios que suportam operações e funções corporativas, e relatou que as aplicações e sistemas impactados foram posteriormente restaurados. (Form 8-K de setembro de 2023,Form 8-K de novembro de 2023,Form 10-Q do primeiro trimestre do ano fiscal de 2024)
• Questão de continuidade:A Johnson Controls vende e oferece suporte a automação predial, HVAC, incêndio, segurança e serviços digitais para edifícios. Os registros públicos não afirmam que os sistemas de controle predial nos locais dos clientes foram tomados. Eles mostram que a camada de aplicações de negócios e de TI interna do fornecedor foi relevante para o atendimento ao cliente, operações, divulgação, resposta a incidentes, confiança no produto e garantia de recuperação. (automação e controles prediais da Johnson Controls,sistema de automação predial Metasys,OpenBlue)
• Limite de dados e evidências:A empresa divulgou a exfiltração de dados, mas não publicou um relatório forense completo nomeando o vetor de entrada, tempo de permanência, identidade do atacante, lista de aplicações, conjunto de dados de clientes, sequência de restauração, projeto de segmentação ou validação independente do que foi e do que não foi exposto. Isso significa que o registro de responsabilização deve separar os fatos divulgados pela empresa de especulações externas, incluindo qualquer demanda de resgate ou atribuição de ator relatada pela mídia.
• Avaliação:Atores criminosos foram responsáveis pelo acesso não autorizado e extorsão. A Johnson Controls controlava muitas variáveis de consequência: arquitetura, governança de identidade, segmentação de rede, prontidão de backup, restauração de aplicações, comunicação com clientes, divulgação para investidores, tratamento de seguros e divulgação de evidências. Agências públicas, proprietários de instalações e integradores controlavam planos de continuidade separados para operar edifícios quando a camada digital de um grande fornecedor se tornava incerta.

A tecnologia predial é infraestrutura quando o edifício é público

A Johnson Controls não é uma empresa de software de propósito único. É uma fornecedora global de sistemas que ajudam a operar edifícios: equipamentos HVAC, automação predial, detecção de incêndio, segurança, gerenciamento de energia e serviços digitais para edifícios. Suas próprias páginas de produto descrevem a automação e os controles prediais como uma forma de operar aquecimento, ventilação, ar condicionado, iluminação, incêndio, segurança e outros sistemas a partir de uma camada de gerenciamento comum. Seu material sobre o Metasys descreve uma plataforma de automação para monitoramento, controle e otimização de equipamentos prediais. Seus materiais sobre o OpenBlue enquadram os serviços digitais para edifícios em torno de operações conectadas, análises e desempenho. (automação e controles prediais da Johnson Controls,sistema de automação predial Metasys,OpenBlue)

Esse contexto de produto não prova que o incidente de ransomware de 2023 comprometeu os sistemas prediais dos clientes. Os registros não afirmam isso. O contexto do produto explica por que o incidente se tornou uma questão de continuidade, em vez de uma interrupção comum de back-office.

Quando um fornecedor está inserido no ecossistema de manutenção, monitoramento e serviços de hospitais, escolas, escritórios, laboratórios, prédios municipais e outras instalações, uma interrupção em suas aplicações de negócios pode atrasar o suporte, o despacho de serviços, a garantia do produto, as atualizações de software, o tratamento de garantias, o faturamento, os fluxos de trabalho de acesso remoto, as compras e a confiança do cliente.

Mesmo que o sistema de controle local de um cliente continue funcionando, o gerente de riscos do cliente ainda precisa perguntar se os tickets de suporte, registros de serviço, pedidos de peças, garantia de software, avisos de incidentes e parceiros de integração estão operando a partir de sistemas confiáveis.

As diretrizes de infraestrutura crítica ajudam a explicar os riscos sem exagerar a situação. A CISA identifica instalações comerciais, instalações governamentais e saúde e saúde pública como setores de infraestrutura crítica com diferentes modelos de propriedade e consequências operacionais. Um fornecedor de tecnologia predial pode atender a todos os três, além de educação e propriedades comerciais privadas. Isso coloca o fornecedor no caminho de dependência para organizações que não podem facilmente fechar salas, clínicas, laboratórios, instalações de detenção, centros de operações de emergência ou campi enquanto um fornecedor resolve ransomware interno. (Setor de Instalações Comerciais da CISA,Setor de Instalações Governamentais da CISA,Setor de Saúde e Saúde Pública da CISA)

O quadro responsável é, portanto, restrito, mas sério. O registro público sustenta uma análise de continuidade do fornecedor. Ele não sustenta a alegação de que os sistemas de automação predial dos clientes foram operados de forma maliciosa por atacantes. Ele sustenta uma questão de responsabilização sobre como um fornecedor global de edifícios separa o comprometimento interno dos serviços voltados para o cliente, como comunica a incerteza, como restaura as aplicações que suportam as operações de campo e como prova que os dados exfiltrados não criam um risco de segurança física ou privacidade a jusante.

A cronologia pública começa com a divulgação para investidores

O primeiro marco público duradouro é o Form 8-K de 27 de setembro de 2023 da Johnson Controls. A empresa informou aos investidores que havia sofrido interrupções em partes de sua infraestrutura de TI interna e aplicações resultantes de um incidente de cibersegurança. Afirmou que iniciou uma investigação com especialistas externos em cibersegurança, coordenou-se com as seguradoras e implementou planos de gerenciamento e resposta a incidentes. Também alertou que o incidente poderia afetar as operações comerciais e os resultados financeiros. (Form 8-K de setembro de 2023)

Esse registro é importante por duas razões. Primeiro, coloca o evento na camada de TI e aplicações internas da empresa, e não em um comprometimento documentado publicamente dos controles dos clientes. Segundo, mostra que a Johnson Controls entendeu o evento como operacionalmente relevante desde o início. A empresa não descreveu um alerta de malware isolado. Descreveu a interrupção da infraestrutura e das aplicações e apontou os investidores para possíveis efeitos na receita, despesas operacionais e resultados operacionais.

O Form 8-K de 13 de novembro de 2023 acrescentou o esclarecimento técnico e de continuidade mais importante. A Johnson Controls afirmou que o incidente foi detectado inicialmente durante o fim de semana de 23 de setembro de 2023, após quedas em determinados sistemas. Descreveu o acesso não autorizado e a implantação de ransomware por terceiros em uma parte da infraestrutura de TI interna. Também afirmou que o incidente causou interrupção e limitou o acesso a partes das aplicações de negócios que suportam aspectos das operações e funções corporativas. A empresa relatou que a maioria dos sistemas e aplicações afetados já havia sido restaurada até aquele momento, enquanto algumas interrupções continuavam. (Form 8-K de novembro de 2023)

O relatório anual do ano fiscal de 2023 ampliou o registro de risco de dados. A Johnson Controls declarou que, durante o quarto trimestre do ano fiscal de 2023, sofreu um evento de cibersegurança que consistiu em acesso não autorizado, exfiltração de dados e implantação de ransomware por terceiros em uma parte da infraestrutura de TI interna. Afirmou que a empresa estava analisando os dados acessados, exfiltrados ou de outra forma impactados. Também discutiu os riscos decorrentes do roubo, perda, uso fraudulento ou mau uso real ou percebido de dados de clientes, funcionários ou outros. (Form 10-K do ano fiscal de 2023)

O Form 10-Q do primeiro trimestre do ano fiscal de 2024 vinculou então o incidente a uma consequência financeira. A Johnson Controls afirmou que as interrupções e limitações de acesso continuaram no início do primeiro trimestre do ano fiscal de 2024, que havia restaurado as aplicações e sistemas impactados e que o efeito aproximado no lucro líquido do trimestre, decorrente de receitas e despesas perdidas e diferidas, foi de US$ 27 milhões, líquidos das recuperações de seguros. (Form 10-Q do primeiro trimestre do ano fiscal de 2024)

Até o relatório anual do ano fiscal de 2024, o incidente permaneceu como parte da narrativa de risco. A Johnson Controls repetiu que o incidente de setembro de 2023 envolveu acesso não autorizado, exfiltração de dados e implantação de ransomware em uma parte da infraestrutura de TI interna, e alertou que havia incorrido e poderia continuar a incorrer em custos significativos, incluindo investimentos em infraestrutura ou esforços de correção. (Form 10-K do ano fiscal de 2024)

Essa cronologia é compacta. Ela informa ao público quando o evento foi detectado, qual categoria de acesso ocorreu, que tipo de malware foi implantado, qual camada ampla foi afetada, que as aplicações de negócios foram interrompidas, que os dados foram exfiltrados, que os sistemas foram posteriormente restaurados e que os custos financeiros foram materiais o suficiente para quantificar.

Ela não informa ao público como o ator entrou, por quanto tempo o ator teve acesso, se os dados roubados incluíam desenhos ou credenciais de edifícios de clientes, quais aplicações de negócios ficaram indisponíveis, quais clientes sofreram atrasos, se algum compromisso de nível de serviço foi perdido, qual resgate foi exigido, se algum resgate foi pago ou como a empresa validou a restauração.

"TI interna" ainda pode estar próxima das operações prediais

A frase "TI interna" pode soar tranquilizadora, e de muitas maneiras é. A rede corporativa de um fornecedor não é a mesma coisa que o controlador de automação predial local de um cliente. Um evento de ransomware em aplicações corporativas não se torna automaticamente um comprometimento de tecnologia operacional. Mas, para um fornecedor de tecnologia predial, a TI interna não é uma ilha inofensiva.

Ela pode dar suporte a despacho, suporte técnico, portais de clientes, inventário, gerenciamento de projetos, documentação de produtos, fluxos de trabalho de registro de dispositivos, serviços de monitoramento remoto, faturamento, licenciamento de software, sistemas de garantia, coordenação de vulnerabilidades e sistemas de identidade.

Essa distinção é o centro da questão da responsabilização. O registro não deve alegar um comprometimento direto do sistema de controle do cliente quando os registros públicos não o sustentam. Mas também não deve aceitar "TI interna" como se ela não pudesse afetar os proprietários de edifícios. O próprio portfólio público de produtos da Johnson Controls deixa claro que ela fornece sistemas e serviços digitais usados para monitorar, automatizar e manter edifícios. Uma interrupção na camada do fornecedor pode criar incerteza mesmo quando a equipe local da instalação mantém o controle físico. (soluções digitais da Johnson Controls,serviços da Johnson Controls)

O exemplo prático é a continuidade do serviço. Se um hospital, universidade ou instalação municipal depende de um integrador da Johnson Controls para manutenção, orientação de firmware, acesso a avisos de produtos, peças, reparo de emergência ou monitoramento, então a interrupção do fornecedor se torna um problema de triagem. O edifício pode permanecer seguro, mas os tempos de resposta, a visibilidade das ordens de serviço, os canais de atendimento ao cliente e as evidências de integridade do produto podem se degradar.

Os gerentes das instalações podem precisar mudar para procedimentos locais, listas telefônicas de fornecedores, registros em papel, contratados alternativos, verificações manuais ou contratos de serviço de emergência.

A dependência de serviços em nuvem adiciona outra camada. Os serviços de edifícios conectados podem centralizar análises, painéis, notificações e suporte remoto. Esses recursos são valiosos justamente porque reduzem os encargos de pessoal local e facilitam o gerenciamento de portfólios distribuídos. Em um evento de ransomware, essa mesma centralização faz uma pergunta difícil: o que acontece quando o fornecedor precisa isolar sistemas, desabilitar serviços ou reconstruir aplicações enquanto os clientes ainda precisam da garantia de que os edifícios estão operando dentro dos parâmetros de segurança, proteção e conforto?

O registro público não fornece um mapa de continuidade cliente por cliente. Ele não diz quais sistemas voltados para o cliente da Johnson Controls ficaram indisponíveis, por quanto tempo os portais de clientes ficaram degradados ou se alguma instalação teve que alterar seus procedimentos operacionais. Essa ausência é, em si, relevante. Para um fornecedor cujos clientes incluem instalações públicas e edifícios de alta consequência, a evidência de recuperação precisa ser mais do que uma declaração de que as aplicações internas foram restauradas.

A evidência relevante inclui canais de serviço, avisos de vulnerabilidade, notificações de impacto de dados, caminhos de contato de emergência, segmentação de clientes e uma explicação confiável de quais sistemas de clientes foram separados do ambiente comprometido.

A divulgação provou a materialidade antes de provar a causalidade

Os registros da SEC são projetados para a divulgação ao investidor, não para uma autópsia operacional completa. Essa limitação é importante aqui. Os registros da Johnson Controls estabelecem que o incidente foi real, que envolveu ransomware e exfiltração de dados, que as aplicações foram interrompidas e que teve um efeito quantificado no primeiro trimestre. Eles não estabelecem a cadeia causal completa desde o comportamento do atacante até cada atraso operacional ou efeito no cliente.

O Form 8-K de setembro de 2023 foi arquivado antes que a atual estrutura de divulgação de cibersegurança do item 1.05 do Form 8-K da SEC se tornasse eficaz para a maioria dos emissores. A SEC adotou essas regras de divulgação de cibersegurança em julho de 2023, com o objetivo de melhorar a divulgação oportuna e consistente de incidentes materiais de cibersegurança e da gestão de riscos cibernéticos. (anúncio da regra de divulgação de cibersegurança da SEC,regra final da SEC) A Johnson Controls divulgou o evento sob a estrutura de divulgação disponível para ela na época, e os registros posteriores forneceram mais detalhes.

Essa sequência mostra um padrão comum na responsabilização por ransomware. Os investidores ouvem cedo que as operações e os resultados financeiros podem ser afetados. Os clientes ouvem, por canais públicos ou privados, que alguns sistemas estão fora do ar ou degradados. A equipe de campo e os integradores lidam com a incerteza no momento. Somente mais tarde o público recebe uma linguagem mais precisa: acesso não autorizado, ransomware, exfiltração de dados, aplicações restauradas, estimativas de custo e risco contínuo.

O registro de divulgação pública melhora com o tempo, mas as decisões operacionais ocorrem antes que o registro esteja completo.

É por isso que "nenhum efeito material de longo prazo" e "boa resposta a incidentes" não são a mesma afirmação. A Johnson Controls pode ter contido o evento, restaurado as aplicações e limitado o impacto financeiro em relação ao seu tamanho. Ela também ainda teve que gerenciar um período em que clientes e funcionários não podiam observar completamente o que havia acontecido. Durante esse período, o ônus da incerteza foi distribuído entre proprietários de instalações, equipes de serviço, clientes do setor público, investidores, seguradoras cibernéticas e contrapartes.

O impacto de US$ 27 milhões no primeiro trimestre deve ser lido com cuidado. A Johnson Controls descreveu o valor como o impacto aproximado no lucro líquido decorrente de receitas e despesas perdidas e diferidas, líquido das recuperações de seguros. Isso é útil, mas incompleto. Ele não mede o atraso do cliente, a mão de obra das instalações públicas, as horas extras do integrador, as soluções alternativas de aquisição, o tempo de resposta a incidentes pelos clientes, os custos de ajuste da seguradora ou o trabalho de gerenciamento de riscos causado pelos dados exfiltrados.

O número é uma estimativa contábil para a empresa, não um custo social total do incidente.

A exfiltração de dados mudou o problema

A divulgação da exfiltração de dados é tão importante quanto a divulgação do ransomware. Ransomware sem exfiltração é principalmente um problema de disponibilidade e restauração, embora ainda sério. O ransomware com exfiltração cria um segundo problema: quem foi exposto, o que foi exposto, o que os dados podem permitir e como a empresa notificará as partes afetadas. Os registros públicos da Johnson Controls dizem que os dados foram exfiltrados, mas não publicam um inventário de dados, uma matriz de notificação ou um relatório forense independente final.

Para um fornecedor de tecnologia predial, a questão da sensibilidade não se limita às informações pessoais comuns. Os registros de clientes podem incluir dados de funcionários, informações comerciais, listas de contatos de instalações, contratos, históricos de serviços, registros de projetos, diagramas, notas de configuração, tickets de suporte, cronogramas de manutenção ou detalhes operacionais sensíveis à segurança. O registro público não estabelece que essas categorias foram roubadas.

Ele estabelece que a empresa estava analisando dados exfiltrados ou impactados e que o risco de uso indevido de dados de clientes, funcionários ou outros era suficientemente material para ser discutido.

Essa distinção é importante. Os comentários públicos em torno de incidentes de tecnologia predial podem rapidamente saltar para imagens de plantas baixas, crachás, câmeras e controles prediais. O padrão de evidência responsável é mais rigoroso. Se os registros não identificam as categorias roubadas, um artigo público não deve fingir conhecê-las.

A questão de responsabilização é, em vez disso, se a Johnson Controls tinha a classificação de dados, os controles de retenção, o processo de notificação ao cliente e as evidências forenses necessárias para responder a essas perguntas rapidamente para clientes cujos edifícios podem ter funções de segurança pública ou serviço público.

O mesmo problema se aplica à identidade e ao acesso. Se um fornecedor oferece suporte remoto ou serviços em nuvem, os clientes precisam de confiança de que as identidades, chaves, certificados, contas privilegiadas e canais de serviço estão separados e validados. Os registros públicos não descrevem essa arquitetura. As Metas de Desempenho de Cibersegurança intersetoriais da CISA enfatizam medidas como segurança de contas, gerenciamento de vulnerabilidades, planejamento de resposta a incidentes, segurança de dados e gerenciamento de riscos de terceiros. Elas não são conclusões específicas da Johnson Controls, mas são uma referência pública útil para os tipos de evidência que os clientes devem esperar após um evento de ransomware em um fornecedor. (Metas de Desempenho de Cibersegurança da CISA)

A Estrutura de Cibersegurança 2.0 do NIST também ajuda a organizar a questão. Ela adiciona a governança como uma função central ao lado de identificar, proteger, detectar, responder e recuperar. Para uma empresa na posição da Johnson Controls, a governança não é apenas uma política de nível de conselho. É a capacidade de saber quais sistemas suportam quais obrigações do cliente, quais dados são mantidos, quais serviços devem se recuperar primeiro, quem tem autoridade para desativar ou isolar funções voltadas para o cliente e como a evidência de recuperação é comunicada. (Estrutura de Cibersegurança do NIST)

A segmentação foi o controle silencioso

Os registros públicos apontam para uma parte da infraestrutura de TI interna, não para todos os sistemas em todos os lugares. Essa é uma frase importante. Ela sugere que o ambiente afetado era limitado, mas não explica os limites. A segmentação é o controle oculto que determina se o ransomware permanece como uma interrupção interna dos negócios ou se espalha para as operações do cliente, sistemas de produtos, ambientes de desenvolvimento de software, repositórios de identidade ou plataformas de serviço remoto.

A segmentação eficaz não é apenas um diagrama de rede. Ela inclui limites de identidade, contas administrativas, separação de backup, dependências de aplicativos, acesso de fornecedores, registro de logs, controles de acesso privilegiado, locação em nuvem, contas de serviço e procedimentos operacionais de emergência. Também inclui decisões de negócios sobre quais sistemas têm permissão para se comunicar com plataformas voltadas para o cliente, quais sistemas podem ser isolados sem derrubar o serviço e como as equipes locais operam quando as aplicações centrais estão indisponíveis.

A orientação StopRansomware da CISA enfatiza backups, restauração testada, autenticação multifator, privilégio mínimo, segmentação, gerenciamento de vulnerabilidades, planejamento de resposta a incidentes e comunicação. A orientação não prova o que a Johnson Controls fez ou deixou de fazer. Ela identifica as famílias de controle que importam quando um ator de ransomware atinge sistemas internos. (guia StopRansomware da CISA)

Nesse incidente, a evidência de segmentação é pública apenas por implicação. A Johnson Controls declarou posteriormente que as aplicações e sistemas impactados haviam sido restaurados. Não publicou o caminho de acesso inicial, a lista de aplicações afetadas, a ordem de restauração ou o limite de isolamento entre a TI corporativa e os ambientes voltados para o cliente ou de produtos. Não publicou se algum serviço em nuvem foi colocado offline como precaução. Não identificou a categoria de dados exfiltrados.

Sem essa evidência, uma avaliação pública pode dar crédito à empresa por divulgar o incidente e os custos, mas não pode verificar independentemente a força da segmentação.

Os clientes devem se preocupar com essa lacuna. Um proprietário de instalação do setor público não precisa de todos os detalhes forenses, mas precisa de uma resposta confiável para um conjunto menor de perguntas: Meus sistemas estavam acessíveis a partir do ambiente comprometido? Minhas credenciais, diagramas, tickets ou registros de contato foram expostos? Algum caminho de suporte remoto mudou? Algum processo de atualização de produto ou consultivo foi afetado? Os números de serviço de emergência e os procedimentos manuais estão atualizados? Essas são perguntas de continuidade, não apenas de cibersegurança.

A comunicação com o cliente carrega seu próprio risco

A comunicação com o cliente durante um incidente de ransomware em um fornecedor de edifícios é difícil porque o excesso de especificidade pode expor detalhes de segurança, enquanto a falta cria boatos e trabalho duplicado. Um fornecedor global pode ter milhares de clientes com contratos diferentes, escritórios de serviço locais, integradores, parceiros de canal, reguladores e requisitos de seguro. O problema de comunicação não é resolvido por um registro público para investidores.

Os registros públicos fornecem uma linha de base, mas são endereçados aos investidores. Os proprietários das instalações podem precisar de conteúdo mais operacional: se os portais de serviço estão funcionando, como entrar em contato com o suporte de emergência, se os técnicos de campo têm acesso às ordens de serviço, se as faturas e os pedidos de compra estão atrasados, se os avisos de segurança do produto ainda estão atualizados, se o monitoramento remoto está degradado e se algum dado do cliente requer ação de proteção.

É por isso que a dependência da nuvem é importante. Os serviços em nuvem e gerenciados podem tornar o suporte mais rápido em tempos normais, mas também podem tornar a comunicação com o cliente mais complexa em tempos anormais. Um cliente pode não saber se a interrupção de um painel é causada pelo edifício do cliente, um problema de telecomunicações, um serviço em nuvem, uma ação de isolamento do fornecedor ou um incidente em um integrador. Quando os próprios sistemas do fornecedor estão comprometidos, a primeira tarefa do cliente é separar a segurança do edifício da incerteza do fornecedor.

A Johnson Controls possui recursos públicos de cibersegurança e segurança de produtos, incluindo páginas para segurança de produtos e avisos de segurança. Esses recursos são importantes porque criam um canal público para vulnerabilidades, avisos de produtos e garantia. (segurança de produtos da Johnson Controls,avisos de segurança da Johnson Controls) O incidente de ransomware de 2023 testou uma função relacionada, mas diferente: se a empresa poderia usar canais confiáveis para explicar a interrupção corporativa, a análise de dados e a continuidade do cliente sem criar falsa garantia.

Não há evidências públicas de que a Johnson Controls tenha falhado em se comunicar com os clientes quando necessário. O registro público também não fornece um registro de comunicação detalhado. Isso deixa uma questão residual de responsabilização. Para fornecedores em mercados de edifícios adjacentes à segurança, o padrão deve ser medido não apenas pelo fato de a empresa ter apresentado registros à SEC, mas se os clientes afetados receberam informações oportunas, acionáveis e específicas para suas funções, que lhes permitissem manter os edifícios operando e tomar suas próprias decisões de divulgação.

A continuidade do setor público não é responsabilidade exclusiva do fornecedor

Os clientes do setor público da Johnson Controls não podem terceirizar toda a continuidade para o fornecedor. Um hospital, distrito escolar, agência municipal ou autoridade pública que usa sistemas prediais deve manter procedimentos locais para operar espaços críticos durante interrupções do fornecedor, incidentes cibernéticos e falhas de comunicação. Isso inclui substituições locais, contatos de emergência testados, procedimentos em papel, peças de reposição, arranjos de serviço alternativos, monitoramento independente quando apropriado e autoridade clara para a equipe das instalações.

Mas isso não absolve o fornecedor. A continuidade do fornecedor e do cliente estão interligadas. Se uma instalação pública depende do serviço em nuvem, suporte remoto, contrato de monitoramento ou peças proprietárias de um fornecedor, o fornecedor controla informações que o cliente não pode gerar sozinho. O cliente pode manter uma alternativa local, mas não pode determinar de forma independente se os dados exfiltrados do fornecedor incluíam seus tickets de serviço ou se uma identidade de acesso remoto do fornecedor foi exposta. O fornecedor deve fornecer evidências ou notificação.

O contexto da saúde e saúde pública é especialmente sensível. As instalações dependem de condições ambientais, controle de acesso, sistemas de incêndio e segurança de vida, ordens de serviço de manutenção, refrigeração, laboratórios e áreas de atendimento ao paciente. A interrupção de um fornecedor pode não ameaçar imediatamente os pacientes, mas pode aumentar a carga de trabalho das equipes das instalações que já estão gerenciando prioridades clínicas. A mesma lógica se aplica a escolas, escritórios do governo e instalações de emergência: as operações prediais são infraestrutura de fundo até que falhem ou se tornem incertas.

É aqui que a responsabilização se divide. Atores criminosos controlaram a intrusão e a extorsão. A Johnson Controls controlou a arquitetura corporativa, a governança de dados, a recuperação e a garantia do cliente. Os clientes do setor público controlaram os termos de aquisição, os planos de continuidade e as operações locais. Reguladores e seguradoras influenciaram a divulgação, as reivindicações e as expectativas de risco. Nenhum ator único controlou toda a consequência, mas vários atores controlaram o suficiente para que o evento não deva ser reduzido a "uma gangue de ransomware fez isso".

Seguros e contabilidade fazem parte do registro de governança

Os registros da Johnson Controls mencionam a coordenação com as seguradoras e, posteriormente, afirmam que o efeito de US$ 27 milhões no primeiro trimestre foi líquido das recuperações de seguros. Isso não é um detalhe secundário. O seguro cibernético pode moldar a resposta a incidentes, financiando o trabalho forense, consultoria jurídica, custos de recuperação, despesas de notificação e reivindicações de interrupção de negócios. Também pode moldar quais evidências são coletadas e como os custos são classificados.

A recuperação do seguro é útil para os acionistas, mas não responde à questão da responsabilização operacional. Um custo pode ser segurado e ainda representar uma falha de controle, uma interrupção de negócios, um ônus para o cliente ou uma lacuna de restauração evitável. Por outro lado, uma grande conta de resposta não prova, por si só, uma segurança ruim. Pode refletir um trabalho forense prudente, reconstrução de infraestrutura, notificação ao cliente e reforço após um incidente. Os registros públicos não permitem um julgamento claro em nenhum dos sentidos.

A lente de responsabilização mais útil é o que o registro contábil pode e não pode mostrar. O impacto de US$ 27 milhões confirma a consequência financeira. Sugere que o incidente afetou o momento da receita e as despesas de resposta o suficiente para importar em um relatório trimestral. Não mostra o custo bruto antes do seguro, a divisão entre fornecedores forenses, custos legais, investimentos em infraestrutura, pedidos perdidos, receita atrasada, créditos de clientes, horas extras de funcionários ou monitoramento futuro.

Também não mostra se quaisquer custos de clientes ou do setor público foram transferidos para fora das contas da Johnson Controls.

A discussão contínua no relatório anual do ano fiscal de 2024 sobre possíveis custos significativos, remediação, reivindicações legais ou ações de fiscalização mostra que o evento permaneceu como uma questão de governança após a restauração técnica. Isso é normal para ransomware com exfiltração de dados. O evento não termina quando as aplicações voltam. Ele termina apenas depois que a empresa consegue contabilizar os dados, notificar quando necessário, resolver as reivindicações, fortalecer os sistemas e mostrar que a recuperação não deixou exposição oculta.

A autópsia ausente é a principal lacuna de evidência

As evidências públicas são excepcionalmente boas em um sentido: os registros da Johnson Controls são mais claros do que muitas divulgações de ransomware de empresas públicas, porque eventualmente declaram acesso não autorizado, exfiltração de dados, ransomware, infraestrutura de TI interna afetada, interrupção de aplicações de negócios, restauração e impacto quantificado. Isso é significativo. Dá aos investidores e clientes mais do que um vago rótulo de "incidente de segurança".

As evidências ainda estão incompletas. O registro público não identifica o atacante, embora a mídia e os relatórios de inteligência de ameaças tenham discutido possíveis atores de ransomware e demandas. Ele não fornece um registro judicial, atribuição de aplicação da lei, divulgação de pagamento de resgate, relatório forense independente ou lista de categorias de dados. Não explica se a empresa pagou ou recusou uma demanda. Não fornece estatísticas de notificação de clientes.

Não mostra se os sistemas afetados incluíam portais de clientes, despacho de serviços, monitoramento remoto, processos de segurança de produtos, sistemas de desenvolvimento ou infraestrutura de identidade.

Essas omissões podem ser legal ou operacionalmente necessárias. As empresas muitas vezes evitam publicar detalhes que possam ajudar os atacantes ou prejudicar as investigações. Ainda assim, a ausência afeta a responsabilização. Sem uma autópsia ou um pacote equivalente de garantia ao cliente, os observadores externos não podem avaliar se o incidente foi um evento corporativo rigidamente contido, uma falha mais ampla da plataforma de negócios, uma falha de governança de dados ou alguma combinação.

É por isso que as alegações devem permanecer limitadas. É justo dizer que a Johnson Controls sofreu um incidente de ransomware com exfiltração de dados e interrupção das aplicações de negócios. É justo dizer que seu papel na tecnologia predial tornou o incidente uma preocupação de continuidade do fornecedor para proprietários de instalações e clientes do setor público. Não é justo, apenas com base em evidências públicas, dizer que os atacantes controlaram os edifícios dos clientes, que uma categoria específica de cliente foi exposta, que uma fraqueza técnica específica causou a intrusão ou que a Johnson Controls violou um dever legal.

Os integradores carregaram parte do ônus da garantia

A tecnologia predial raramente é entregue por um centro corporativo falando diretamente com cada operador de edifício. Ela é comumente instalada, mantida e ampliada por meio de filiais locais, integradores, contratados, equipes de projeto e departamentos de instalações dos clientes. Isso torna a responsabilização por incidentes mais distribuída do que um simples diagrama fornecedor-cliente sugere. Se as aplicações centrais estiverem degradadas, as equipes locais ainda poderão atender os edifícios.

Mas podem ter que fazer isso com acesso incompleto às ordens de serviço, visibilidade atrasada das peças, caminhos de escalonamento reduzidos, anotações manuais, telefones alternativos ou incerteza sobre quais registros de clientes estão atualizados.

Essa camada local é importante porque muitas instalações experimentam a continuidade do fornecedor por meio das pessoas que chegam ao local. Um distrito escolar não distingue necessariamente entre a TI corporativa da Johnson Controls, um escritório de serviço local, um subcontratado e um integrador de automação predial quando um alarme de resfriador ou um problema de controle de acesso precisa de atenção. O cliente pergunta se o problema pode ser resolvido, se o técnico tem o histórico correto, se o canal de serviço é confiável e se alguma restrição relacionada ao incidente altera os procedimentos normais.

Em um evento de ransomware, os integradores também se tornam tradutores de evidências. Eles podem receber instruções centrais sobre o que dizer, quais sistemas usar, quais conexões remotas evitar, quais procedimentos de emergência seguir ou quais perguntas do cliente devem ser escaladas. Se essas instruções forem tardias ou vagas, a equipe local pode, sem intenção, criar mensagens inconsistentes. Um cliente pode ser informado de que apenas os sistemas de back-office foram afetados. Outro pode ser instruído a pausar o acesso remoto. Outro pode não receber nenhum detalhe operacional.

Mesmo que todas as declarações sejam feitas de boa fé, a inconsistência se torna parte do dano porque os clientes devem decidir em quais informações confiar.

Isso não é uma alegação de que a rede de integradores da Johnson Controls falhou. O registro público não mostra isso. É uma alegação sobre onde o trabalho de continuidade reside. Um fornecedor com clientes de instalações públicas deve tratar a comunicação com o serviço de campo e os integradores como parte da resposta a incidentes, não como uma tarefa de relações públicas a jusante.

Isso significa preparar árvores de mensagens, caminhos de suporte de emergência, procedimentos de ordem de serviço offline, validação de identidade para técnicos, regras de escalonamento específicas do cliente e uma maneira de conciliar o trabalho manual após o retorno das aplicações.

O mesmo ponto se aplica à garantia de segurança do produto. Uma página central de segurança do produto pode publicar avisos e caminhos de contato, mas os clientes locais podem perguntar às equipes de campo se um aviso está relacionado ao seu edifício, à sua versão de controlador, à sua configuração de acesso remoto ou ao seu contrato de serviço gerenciado. Durante um evento de ransomware corporativo, essas equipes de campo precisam de uma linha confiável entre as informações de vulnerabilidade do produto e as informações de incidente corporativo.

Caso contrário, os clientes podem confundir uma divulgação de ransomware corporativo com um comprometimento de produto ou sub-reagir porque supõem que nenhum produto foi envolvido.

A evidência de recuperação mais forte incluiria, portanto, a prontidão de parceiros e integradores, não apenas a restauração central. Mostraria que as equipes de serviço locais sabiam quais sistemas eram confiáveis, como verificar a identidade do técnico, como documentar o serviço manual, como responder a perguntas sobre exposição de dados e como passar do modo degradado de volta às operações normais. Essa é a camada prática onde um incidente de ransomware em tecnologia predial permanece gerenciável ou se torna um problema de continuidade impulsionado por boatos.

Como seria uma boa evidência de recuperação

Um registro de recuperação útil para esse tipo de incidente teria várias camadas. Primeiro, definiria o ambiente afetado em categorias simples, sem revelar detalhes exploráveis: aplicações corporativas, serviços de identidade, sistemas de suporte ao cliente, sistemas de desenvolvimento de produtos, serviços em nuvem, ferramentas de suporte remoto, despacho de serviços, sistemas financeiros e repositórios de dados. Segundo, explicaria quais serviços voltados para o cliente ficaram indisponíveis ou degradados e por quanto tempo.

Terceiro, declararia se as credenciais do cliente, informações da instalação, registros de serviço ou outros dados confidenciais do cliente foram expostos, com canais de aviso para as partes afetadas.

Quarto, descreveria a garantia de restauração: se os sistemas foram reconstruídos, restaurados a partir de backup, validados por terceiros, monitorados quanto à persistência e revisados quanto ao abuso de contas privilegiadas. Quinto, explicaria as medidas de continuidade do cliente, incluindo caminhos de suporte de emergência, alternativa de serviço de campo, continuidade dos avisos de segurança do produto e orientação para instalações que dependem de serviços em nuvem do fornecedor. Sexto, separaria o impacto financeiro em toda a empresa das consequências operacionais para clientes ou setor público.

Essas não são exigências irreais para todos os incidentes. Elas são proporcionais ao papel de um fornecedor cujos produtos e serviços podem dar suporte a espaços físicos. Um fornecedor de software como serviço pode dever transparência sobre o status da plataforma. Um fornecedor de tecnologia predial deve isso e algo mais: a garantia de que a camada digital que suporta os edifícios foi separada de qualquer camada corporativa comprometida e que os clientes saibam o que fazer enquanto a incerteza permanece.

Esse padrão de evidência está alinhado com as orientações públicas, em vez de ser uma retrospectiva inventada. Os materiais sobre ransomware e metas de desempenho da CISA enfatizam o planejamento de resposta, backups, controle de acesso, segmentação, comunicações de incidentes e recuperação. A estrutura do NIST enfatiza as funções de governança e recuperação. As regras de divulgação da SEC enfatizam informações oportunas sobre incidentes materiais para os investidores. Nenhuma dessas fontes exige que uma empresa publique todo o seu manual, mas, juntas, elas definem uma expectativa pública de que incidentes cibernéticos graves devem ser explicados em termos operacionais, não apenas descritos como eventos criminosos. (guia StopRansomware da CISA,Metas de Desempenho de Cibersegurança da CISA,Estrutura de Cibersegurança do NIST,regra final da SEC)

A responsabilização segue o controle

O incidente da Johnson Controls não deve ser tratado como uma peça de moralidade sobre um único vilão ou uma simples acusação de uma única empresa. Os fatos públicos apontam para acesso não autorizado criminoso e ransomware. Essa é a primeira responsabilidade. Mas a análise de responsabilização faz uma pergunta diferente: quem tinha controle prático sobre os riscos que tornaram o incidente consequente?

A Johnson Controls controlou a segmentação corporativa, a governança de identidade, a retenção de dados, o projeto de backup, a recuperação de aplicações de negócios, a continuidade do suporte ao cliente, a governança de divulgação, a coordenação com seguradoras e o investimento em remediação. Seu conselho e executivos controlaram como o risco de cibersegurança era governado e com que rapidez a incerteza se transformava em informações acionáveis. Suas equipes técnicas e fornecedores controlaram a investigação, a contenção e a restauração.

Suas organizações de produtos e clientes controlaram como os proprietários de edifícios, integradores e equipes de campo recebiam orientação.

Os clientes controlaram as aquisições, a alternativa local, os requisitos contratuais e os planos operacionais de emergência. As agências públicas e entidades regulamentadas controlaram suas próprias expectativas de continuidade e procedimentos de escalonamento. As seguradoras controlaram partes do reembolso e da demanda de evidências. Os reguladores controlaram as expectativas de divulgação e fiscalização. Cada um desses atores pode apontar para o papel de outro ator, mas nenhum pode dizer plausivelmente que o evento foi irrelevante para seus próprios controles.

A lição mais importante não é que todos os sistemas prediais devam ser desconectados de todos os serviços do fornecedor. A tecnologia predial conectada fornece valor real. A lição é que a tecnologia predial conectada transforma a resiliência do fornecedor em parte da resiliência da instalação. Se um evento de ransomware interno de um fornecedor interrompe as aplicações de negócios e exfiltra dados, o proprietário do edifício precisa de respostas que mapeiem para as operações, não apenas para a materialidade para os acionistas.

Os registros da Johnson Controls forneceram fatos significativos ao mercado. Eles não deram ao público um registro de continuidade completo. Essa lacuna é a descoberta central do artigo. Na tecnologia predial, a recuperação não é meramente restaurar as aplicações internas. A recuperação é provar aos clientes que os edifícios, canais de serviço, identidades, dados e garantia do produto permaneceram confiáveis enquanto o fornecedor reconstruía os sistemas ao seu redor.