Proteja o acesso.
Cuide da operação.

Realizar com o instalador ou a equipe de manutenção. Antes de qualquer isolamento, assegurar a continuidade do controle e do acompanhamento das temperaturas.

1. A.1

   Confirmar a exposição do supervisório

   Verificar com o instalador se existe acesso pela internet. O guia admite supervisório sem conexão à internet ou acesso remoto somente por VPN. Não manter acesso direto por redirecionamento de portas ou por um endereço DynDNS.

2. A.2

   Preparar o acompanhamento local

   Antes de desconectar, designar pessoas para medir as temperaturas no local em intervalos regulares e registrar os resultados. Alarmes remotos, e-mails, SMS e acesso remoto podem deixar de funcionar até o restabelecimento seguro.

3. A.3

   Retirar a exposição sem interromper o controle

   Se houver exposição direta ou não for possível esclarecê-la, solicitar ao instalador a retirada imediata do acesso à internet, mantendo a ligação entre supervisório e controladores. Não desconectar cabos ou equipamentos sem entender o impacto no controle, monitoramento e alarmes. Em dúvida, acionar a manutenção.

4. A.4

   Conferir os parâmetros operacionais

   Revisar temperaturas programadas, duração e frequência dos degelos, limites de alarme e destinatários das notificações. Investigar degelos prolongados por horas, temperaturas incomuns, usuários desconhecidos e alarmes desativados.

5. A.5

   Substituir credenciais inseguras

   Trocar senhas padrão ou compartilhadas no supervisório e em todas as ferramentas de acesso remoto. Restringir credenciais administrativas às pessoas autorizadas.

6. A.6

   Validar antes de reconectar

   Retomar a conexão somente após o instalador confirmar o acesso exclusivamente por VPN e a conclusão das verificações anteriores. Para BOSS, o guia indica o cliente OpenVPN integrado ligado ao servidor OpenVPN do cliente ou conexão corretamente configurada pelo CAREL RED optimise.

7. A.7

   Preservar evidências e avaliar os produtos

   Guardar registros e capturas de tela de situações anormais; comunicar a manutenção e o PSIRT da CAREL. Se mercadorias passaram por temperaturas incomuns, aplicar os procedimentos de segurança dos alimentos: a temperatura atual correta não demonstra que o armazenamento anterior foi adequado.

Coordenar TI, segurança, gestão da instalação e prestadores de manutenção. Priorizar a retirada da exposição e a conferência dos parâmetros sem parar a refrigeração de forma descontrolada.

1. B.1.1

   Identificar todos os ativos

   Inventariar controladores, supervisórios, interfaces de operação, gateways OT/IoT, plataformas de monitoramento e assistência remota. Registrar localização, responsável, modelo, firmware e situação de suporte. Incluir reservas, equipamentos de teste e retirados de operação, que também não devem ficar expostos à internet.

2. B.1.2

   Localizar todos os caminhos de acesso

   Verificar consoles, administração, acesso remoto e protocolos de controle alcançáveis pela internet. Examinar firewalls, NAT, redirecionamentos, DynDNS e conexões independentes, incluindo roteadores celulares e enlaces instalados por prestadores.

3. B.1.3

   Mapear as interligações

   Documentar conexões entre redes corporativas, redes operacionais, plataformas de supervisão e redes de gestão, incluindo matriz, lojas e fornecedores.

4. B.1.4

   Preferir o levantamento sem varredura ativa

   Começar por configurações, inventários e dados de tráfego disponíveis. Obter a concordância dos responsáveis pela instalação antes de executar varreduras ativas em dispositivos operacionais.

1. B.2.1

   Eliminar a administração exposta à internet

   Retirar o acesso direto às interfaces administrativas e serviços de controle, sem parada descontrolada da instalação. Antes de interromper o envio de dados ao prestador frigorista, verificar condições contratuais e de seguro aplicáveis.

2. B.2.2

   Separar a rede operacional

   Isolar a refrigeração das redes corporativa, de usuários e de visitantes, com separação lógica e filtros e, quando necessário, separação física. Uma VLAN, sozinha, não substitui a filtragem entre segmentos.

3. B.2.3

   Restringir a rede de gestão

   Usar redes de administração dedicadas, acessíveis apenas por estações e usuários autorizados. Bloquear por padrão o tráfego não permitido, incluindo conexões de saída dos sistemas operacionais e de gestão.

4. B.2.4

   Tratar a filtragem emergencial como provisória

   Se a exposição não puder ser eliminada imediatamente, limitar temporariamente o acesso a endereços IP confiáveis. Reforçar o monitoramento e definir responsáveis e prazos para a correção definitiva.

1. B.3.1

   Usar acesso controlado com autenticação adicional

   Permitir administração remota somente por VPN corporativa atualizada ou solução equivalente de acesso controlado, com autenticação multifator. Se o dispositivo não oferecer esse recurso, aplicá-lo no sistema que controla a entrada.

2. B.3.2

   Limitar o alcance da VPN

   Cada usuário ou mantenedor deve alcançar apenas os sistemas necessários. Usar redes de gestão e, quando disponíveis, servidores intermediários dedicados para administração.

3. B.3.3

   Controlar o acesso dos fornecedores

   Autorizar somente os recursos e períodos necessários, registrar a atividade e revogar o acesso ao término da intervenção.

4. B.3.4

   Desativar administração sem criptografia

   Desabilitar HTTP e outros protocolos administrativos sem criptografia. HTTPS protege a comunicação, mas não substitui VPN, autenticação forte, atualizações e restrições de acesso.

1. B.4.1

   Revisar os usuários existentes

   Examinar contas administrativas, técnicas e de manutenção. Desativar contas sem uso, desconhecidas ou não autorizadas.

2. B.4.2

   Renovar credenciais vulneráveis

   Substituir senhas padrão, fracas ou reutilizadas, começando pelos sistemas expostos ou suspeitos de comprometimento. Coordenar mudanças em contas de serviço para preservar as integrações.

3. B.4.3

   Aplicar o menor privilégio

   Criar contas individuais com as permissões estritamente necessárias e, quando possível, separar consulta de alteração de parâmetros. Se houver suspeita de roubo de credenciais, invalidar também sessões e tokens ativos.

1. B.5.1

   Comparar com a configuração autorizada

   Verificar temperaturas programadas, degelos, agendas, limites de alarme, destinatários das notificações e modos de operação.

2. B.5.2

   Confirmar temperaturas e entrega dos alarmes

   Examinar as temperaturas reais e testar se as notificações chegam. Sempre que possível, usar instrumentos independentes do supervisório.

3. B.5.3

   Correlacionar o histórico de acessos

   Examinar os registros disponíveis dos últimos 90 dias: origens e logins incomuns, alterações de parâmetros, novas contas, mudanças de privilégios e alarmes desativados. Cruzar com registros da VPN, firewall, identidade e assistência remota.

4. B.5.4

   Guardar registros antes de alterar

   Preservar cópias dos logs e das configurações antes de operações que possam apagá-los, desde que isso seja compatível com a segurança da instalação.

1. B.6.1

   Verificar versões e suporte

   Conferir versões instaladas, correções disponíveis e datas de encerramento do suporte. Consultar CAREL ou fornecedores quando necessário; as atualizações CAREL são informadas no portal KSA.

2. B.6.2

   Aplicar correções com planejamento

   Priorizar as correções disponíveis, validar compatibilidade e fazer backup da configuração. Seguir o procedimento oficial do manual e usar somente arquivos distribuídos por canais oficiais da CAREL, com assinatura digital quando aplicável. Se houver suspeita de comprometimento, coordenar a atualização com a resposta ao incidente.

3. B.6.3

   Planejar a troca dos equipamentos sem correção

   Substituir dispositivos que deixaram de receber atualizações de segurança. Até a troca, isolá-los em segmentos dedicados sem exposição direta à internet. Esse isolamento é temporário e não elimina as vulnerabilidades.

1. B.7.1

   Validar o isolamento entre unidades

   Testar a aplicação das regras de separação. Em operações com várias lojas, evitar que uma conta ou uma unidade comprometida dê acesso às demais.

2. B.7.2

   Revisar todos os canais de assistência

   Incluir agentes de software e conexões de saída. Definir responsável, autorização e procedimento de revogação para cada canal.

3. B.7.3

   Monitorar e preparar a contingência

   Observar conexões inesperadas e mudanças de parâmetros. Manter backups protegidos das configurações e procedimentos locais ou manuais de emergência para a cadeia do frio.

4. B.7.4

   Incluir a refrigeração na gestão de segurança

   Incorporar refrigeração, climatização e automação predial aos processos de inventário, gestão de vulnerabilidades, atualizações e controle de mudanças.

O guia remete às boas práticas +0500191IE, revisão 1.1 de 23/10/2025. Quando o guia de hardening for mais restritivo, suas orientações prevalecem.

1. C.1

   Proteger a administração web na porta TCP 8443

   Não expor esse serviço à internet. Reservá-lo ao comissionamento e às operações especiais, sempre limitado por firewall externo, somente quando necessário e a partir de endereços autorizados. Para acesso de redes remotas, usar VPN.

2. C.2

   Manter os dois níveis de firewall

   Preservar o firewall integrado ativo e usar firewall externo para restringir os serviços administrativos a endereços IP autorizados.

3. C.3

   Desabilitar serviços desnecessários

   Desativar serviços sem criptografia e protocolos de campo que não são utilizados.

4. C.4

   Controlar o Wi-Fi

   Em modelos com Wi-Fi, desativá-lo quando não estiver em uso. Se for necessário, configurar senhas fortes e renová-las em intervalos regulares.

5. C.5

   Restringir os dispositivos USB

   Conectar somente dispositivos USB autorizados e usar as portas apenas para as finalidades previstas.

6. C.6

   Desativar o suporte remoto quando ocioso

   Na página de configuração de usuários, desabilitar a opção “Allow remote support” quando esse recurso não estiver sendo usado.