Cibersegurança para Indústria, OT e Infraestrutura Crítica no Brasil

Por que a indústria e a OT viraram alvo prioritário — e o que está em jogo

Durante décadas, as plantas industriais brasileiras operaram sob a falsa sensação de segurança do isolamento físico. A rede que controlava turbinas, esteiras, fornos, válvulas e bombas era separada da rede corporativa — o famoso air-gap — e muitos engenheiros de automação acreditavam que, por não estarem na internet, esses sistemas estavam imunes a ataques. Essa premissa ruiu. A pressão por eficiência operacional, manutenção preditiva, telemetria em tempo real e Indústria 4.0 conectou sistemas de Tecnologia Operacional (OT) à rede corporativa de TI e, por tabela, à internet. O resultado é que sistemas de controle industrial (ICS) projetados nos anos 1990 e 2000, sem nenhuma noção de autenticação ou criptografia, hoje estão a poucos saltos de rede de um e-mail de phishing aberto por um colaborador administrativo.

O que diferencia um incidente em OT de um incidente em TI é a consequência física. Quando um ataque cibernético atinge um servidor de e-mail corporativo, a empresa perde produtividade e dados. Quando um ataque atinge a OT de uma planta, ele pode parar uma linha de produção inteira, desligar uma estação de tratamento de água, abrir ou fechar válvulas indevidamente, manipular setpoints de temperatura e pressão, ou desabilitar sistemas de segurança instrumentada (SIS) que existem justamente para impedir explosões e acidentes. O prejuízo não se mede só em reais por hora parada — embora esse número seja brutal em setores de processo contínuo —, mas em risco à vida de operadores, de comunidades vizinhas e ao meio ambiente.

Os atacantes entenderam essa assimetria. Grupos de ransomware perceberam que uma indústria com produção parada paga resgate mais rápido do que um escritório, porque cada hora de inatividade custa caro e a pressão da diretoria é imediata. Conceitualmente, o caso do oleoduto Colonial nos Estados Unidos mostrou como um ataque de ransomware que atingiu apenas a rede de TI (sistemas de faturamento) levou, por precaução, à parada da operação física de distribuição de combustível — provando que TI e OT estão amarradas mesmo quando se acredita que estão separadas. E o caso Stuxnet, anos antes, demonstrou que atacantes sofisticados conseguem manipular o comportamento físico de centrífugas reprogramando PLCs, escondendo a manipulação dos operadores que assistiam tudo parecer normal nas telas de supervisão.

No Brasil, manufatura, geração e distribuição de energia, óleo & gás, saneamento e demais infraestruturas críticas concentram exatamente o perfil de alvo que os adversários procuram: alta dependência de continuidade operacional, parque tecnológico heterogêneo e legado, equipes de automação focadas em disponibilidade (e não em segurança cibernética) e fornecedores externos com acesso remoto. Entender por que sua planta é um alvo é o primeiro passo. O segundo é mapear, de forma honesta, onde estão as vulnerabilidades — e é exatamente isso que o plano gratuito de Gestão de Ameaças da Decripte faz em decripte.com.br/intelligence-center, sem custo e sem compromisso.

O mapa de ameaças contra ambientes industriais e OT

O ransomware industrial é hoje a ameaça de maior impacto imediato. Diferente do ransomware corporativo, que criptografa documentos e bancos de dados, o ransomware que atinge ambientes de manufatura frequentemente força a parada da produção — seja porque criptografou o sistema MES (Manufacturing Execution System) e o ERP que orquestram a fábrica, seja porque a equipe de resposta desliga preventivamente a OT para conter a propagação. Famílias de malware já demonstraram a capacidade de encerrar processos de software de automação industrial antes de criptografar, justamente para causar a interrupção física. Para a vítima, a equação é cruel: pagar o resgate ou contabilizar prejuízo por hora de planta parada, com efeito cascata em contratos, multas e segurança.

Além do ransomware, existe a classe de ataques diretos a ICS, SCADA e PLCs. Aqui o adversário não quer dinheiro: quer manipular o processo físico ou sabotá-lo. O MITRE ATT&CK for ICS cataloga táticas específicas desse mundo — desde o acesso inicial via estações de engenharia comprometidas, passando por execução de comandos em controladores, manipulação de pontos de I/O, negação de visão para o operador (spoofing das telas de supervisão), até inibição de funções de resposta como sistemas de segurança. São técnicas que exigem conhecimento de protocolos industriais como Modbus, DNP3, EtherNet/IP, PROFINET e OPC, muitos deles sem autenticação nativa, onde qualquer dispositivo na rede pode enviar comandos a um PLC.

A cadeia de suprimentos de software embarcado é um vetor cada vez mais explorado. Firmwares de PLCs, IHMs e gateways IIoT, bibliotecas de protocolos e até ferramentas de engenharia podem ser comprometidos na origem, inserindo backdoors que chegam à planta já assinados e confiáveis. Some-se a isso o IIoT inseguro — sensores, medidores e câmeras industriais conectados com senhas padrão, sem atualização e com portas de gerência expostas — e o acesso remoto de fornecedores, que mantêm VPNs e ferramentas de suporte remoto frequentemente fora do controle da equipe interna de segurança. Cada fornecedor de máquina é uma porta; cada porta esquecida aberta é um caminho para a OT.

A convergência TI/OT amplifica tudo. Quando a rede corporativa e a rede industrial se tocam — por um servidor de historiador de dados, por uma estação de engenharia que também recebe e-mails, por um pendrive que circula entre os dois mundos — o phishing que comprometeu um notebook administrativo passa a ter rota até o chão de fábrica. Mapear esses caminhos, inventariar o que existe e detectar o tráfego anômalo são tarefas técnicas que a Decripte executa com monitoramento passivo e correlação 24x7. O ponto de partida gratuito está em decripte.com.br/intelligence-center: ele já mostra a exposição externa, vulnerabilidades conhecidas e ameaças que circulam contra a sua organização.

Convergência TI/OT e o modelo Purdue: arquitetando a defesa em profundidade

Para proteger um ambiente industrial é preciso primeiro entender sua arquitetura, e o modelo de referência mais usado para isso é o modelo Purdue (Purdue Enterprise Reference Architecture), adotado como espinha dorsal pela ISA-95 e pela própria IEC 62443. Ele organiza o ambiente em níveis hierárquicos: o Nível 0 são os dispositivos físicos de campo — sensores e atuadores que medem e atuam diretamente no processo; o Nível 1 são os controladores (PLCs, RTUs, IEDs) que executam a lógica de controle; o Nível 2 é a supervisão (SCADA, IHM) onde os operadores monitoram e comandam; o Nível 3 é o gerenciamento de operações de manufatura (MES, historiadores); e os Níveis 4 e 5 são a TI corporativa (ERP, e-mail, internet). Acima da fronteira entre OT e TI fica a DMZ industrial.

A força do modelo Purdue está em deixar explícito que cada nível deve se comunicar apenas com os níveis adjacentes, por meio de pontos de controle bem definidos. Na prática, isso vira a base da segmentação de rede: a defesa em profundidade industrial cria zonas (agrupamentos de ativos com requisitos de segurança semelhantes) conectadas por conduítes (canais de comunicação controlados e monitorados), conceito central da IEC 62443. A DMZ industrial, posicionada entre o Nível 3 e o Nível 4, é o pulmão que impede que a rede corporativa fale diretamente com a rede de controle — todo dado que sobe (telemetria, históricos) e todo comando ou patch que desce passa por servidores intermediários replicados, jamais por conexão direta.

O problema é que a convergência TI/OT, na vida real, corrói essas fronteiras. Pressionadas por dashboards em tempo real, manutenção preditiva e integração com nuvem, muitas plantas criaram atalhos: um historiador que fala com o ERP e com a nuvem ao mesmo tempo, uma estação de engenharia conectada à internet para baixar atualizações, um link de fornecedor que pula direto para o Nível 2. Cada atalho é uma violação do modelo Purdue que abre um caminho de ataque. O trabalho de cibersegurança industrial é, em boa parte, reconstruir e fazer cumprir essas fronteiras sem quebrar a operação — porque desligar um conduíte legítimo pode parar a planta.

Por isso o primeiro entregável técnico de qualquer projeto sério de OT é o inventário de ativos e o mapa de fluxos de comunicação: descobrir, idealmente de forma passiva (sem injetar pacotes que possam perturbar PLCs frágeis), todos os dispositivos, seus protocolos e quem fala com quem. Só com esse mapa é possível desenhar as zonas, dimensionar os conduítes, posicionar firewalls industriais e definir regras de segmentação aderentes ao modelo Purdue. A Decripte conduz esse levantamento com ferramentas de monitoramento passivo e correlaciona com inteligência de ameaças — e você pode começar a enxergar sua superfície de exposição agora mesmo, de graça, em decripte.com.br/intelligence-center.

Normas e regulação: IEC 62443, NIST SP 800-82, NIST CSF e LGPD na prática

A IEC 62443 é o conjunto de normas de referência mundial para cibersegurança de sistemas de automação e controle industrial (IACS). Ela é organizada em quatro grupos — geral, políticas e procedimentos, sistema e componente — e introduz conceitos operacionais como zonas e conduítes, níveis de segurança (Security Levels, de SL 1 a SL 4, conforme a sofisticação do atacante que se quer deter) e os requisitos fundamentais (controle de acesso, uso, integridade de dados, confidencialidade, fluxo restrito, resposta a eventos e disponibilidade de recursos). Diferente de frameworks genéricos, a IEC 62443 fala a língua do mundo industrial: ela reconhece que disponibilidade e safety são prioridades, que existem ativos legados que não se pode simplesmente atualizar e que fornecedores, integradores e operadores compartilham responsabilidades distintas.

Complementando, o NIST SP 800-82 — Guide to Operational Technology (OT) Security — é o guia técnico de referência para proteger ICS, SCADA, DCS e PLCs. Ele detalha as diferenças entre TI e OT, propõe arquiteturas de rede seguras alinhadas ao modelo Purdue, trata de gestão de patches em ambientes que não podem parar, monitoramento, hardening de dispositivos e resposta a incidentes específica para OT. Junto com o NIST Cybersecurity Framework (CSF) — que estrutura o programa nas funções Governar, Identificar, Proteger, Detectar, Responder e Recuperar —, forma a dupla que a maioria das organizações brasileiras usa para construir e medir a maturidade do seu programa de segurança OT de forma incremental e auditável.

No plano operacional de detecção e resposta, o MITRE ATT&CK for ICS oferece a taxonomia das táticas e técnicas realmente observadas contra sistemas industriais, permitindo que a equipe de segurança priorize defesas e construa casos de detecção concretos. Já a CISA (com seus ICS advisories) e o CERT.br no Brasil são fontes contínuas de alertas sobre vulnerabilidades em produtos industriais específicos — boletins que informam, por exemplo, que determinado modelo de PLC ou IHM possui uma falha explorável e que correção aplicar. Acompanhar essas fontes e cruzá-las com o inventário da planta é o que transforma a gestão de vulnerabilidades de OT em algo acionável.

Há ainda a camada de governança e dados: a ISO/IEC 27001 estrutura o sistema de gestão de segurança da informação que envelopa todo o programa, e a LGPD entra sempre que a operação industrial trata dados pessoais — de colaboradores, de sistemas de controle de acesso físico, de câmeras e de biometria no chão de fábrica. Setores regulados de infraestrutura crítica (energia, saneamento, óleo & gás) ainda respondem a exigências setoriais específicas. A Decripte oferece consultoria de conformidade e CISO-as-a-Service para mapear sua planta contra IEC 62443 e NIST 800-82, fechar lacunas com plano de tratamento priorizado por risco e sustentar a melhoria contínua — sem transformar a norma em papel parado na gaveta.

Como a Decripte implementa segurança OT: do inventário ao SOC 24x7

A Decripte aborda a segurança industrial em camadas, começando pelo que não dá para proteger sem antes conhecer. O ponto de partida é a descoberta e o inventário de ativos OT, feito preferencialmente de forma passiva: ouvindo o tráfego de rede em espelhamento (SPAN/TAP), identificamos PLCs, IHMs, SCADA, gateways IIoT, estações de engenharia e os protocolos industriais em uso, sem injetar pacotes que possam perturbar controladores sensíveis. Desse inventário nasce o mapa de comunicação — quem fala com quem, em que protocolo e em que volume — que é a planta-baixa de toda a estratégia de segmentação alinhada ao modelo Purdue e à IEC 62443.

Com o mapa em mãos, projetamos e ajudamos a implementar a segmentação TI/OT: definição de zonas e conduítes, desenho da DMZ industrial, regras de firewall industrial e microssegmentação onde fizer sentido, sempre validando que nenhum fluxo legítimo de produção será quebrado. Em paralelo, conduzimos a gestão de vulnerabilidades de OT — cruzando o inventário com os advisories da CISA, alertas do CERT.br e bases de CVEs — para priorizar correções por risco real, considerando que muitos dispositivos não podem ser atualizados imediatamente e exigem controles compensatórios (segmentação, regras de detecção, restrição de acesso) enquanto a janela de manutenção não chega.

A defesa contínua fica a cargo do SOC 24x7 da Decripte, com equipe e IA monitorando o ambiente o tempo todo. No mundo OT, isso significa monitoramento passivo do tráfego SCADA/ICS, detecção de comandos anômalos a PLCs, identificação de novos dispositivos não autorizados, de varreduras e de tentativas de movimentação lateral entre TI e OT — tudo correlacionado com o MITRE ATT&CK for ICS e com inteligência de ameaças. Camadas adicionais como EDR/preventiva nas estações de engenharia e historiadores (onde rodar agente é possível) e proteção de borda/WAF nas aplicações industriais expostas completam o cinturão de defesa, sempre respeitando a regra de ouro de OT: nada que comprometa a disponibilidade do processo.

Tudo isso pode ser desenhado sob medida, mas começa de um jeito simples e gratuito. O plano gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center mapeia vulnerabilidades e riscos da sua organização, monitora ameaças que circulam contra você e coloca à sua disposição equipe e IA 24x7 para a primeira camada de visibilidade — do MEI ao Enterprise. É o caminho mais rápido para sair da suposição e enxergar, com dados, onde sua planta está exposta antes de investir em controles.

Resposta a incidentes em ambientes industriais: quando cada minuto de planta parada conta

Responder a um incidente cibernético em OT não é a mesma coisa que responder em TI, e tratar como se fosse pode piorar tudo. Em TI, o reflexo de contenção é isolar e desligar a máquina comprometida. Em OT, desligar abruptamente um controlador pode causar um transbordo, uma sobrepressão, um descontrole de processo — ou seja, o procedimento de segurança cibernética pode criar um problema de segurança física. Por isso a resposta a incidentes industrial precisa ser conduzida por quem entende tanto de cibersegurança quanto das consequências de processo, em coordenação direta com a engenharia de automação e a operação da planta.

O playbook da Decripte para incidentes em OT segue uma lógica de safety-first: identificação rápida do que foi comprometido e do que ainda está sob controle, contenção que privilegia a segmentação e o isolamento de rede sobre o desligamento físico, preservação de evidências (logs de SCADA, históricos, capturas de tráfego) para a análise forense, e decisões de parada de processo tomadas em conjunto com a operação, considerando o impacto físico de cada ação. O objetivo é conter o adversário sem transformar um incidente cibernético em um incidente de segurança operacional, restaurando a operação a um estado seguro e confiável o mais rápido possível.

A velocidade importa porque, em processo contínuo, cada minuto de parada tem custo direto e pode comprometer lotes, equipamentos e prazos. O serviço de Resposta a Incidentes da Decripte tem acionamento com atendimento em menos de 1 hora, combinando a equipe de resposta com o SOC 24x7 que já vinha monitorando o ambiente — o que reduz drasticamente o tempo entre a detecção e a primeira ação eficaz. Quando o monitoramento e a resposta vêm do mesmo time, não há retrabalho de contexto: quem responde já conhece o inventário, a topologia e o comportamento normal da planta.

Tão importante quanto responder é aprender. Cada incidente vira insumo para fortalecer a postura: novos casos de detecção no SOC, ajustes de segmentação, regras de borda, recomendações de hardening e atualização do plano de continuidade. Para organizações que ainda não têm um parceiro de resposta, o primeiro passo de preparação é ganhar visibilidade — e o plano gratuito em decripte.com.br/intelligence-center já entrega o mapeamento de ameaças e a vigilância inicial que tornam qualquer resposta futura mais rápida e mais informada.

O fator humano: operadores, segurança física e a fronteira entre o digital e o real

Por trás de cada PLC e cada tela de supervisão existem pessoas, e em ambientes industriais o fator humano tem um peso especial porque o operador de planta é, ao mesmo tempo, uma linha de defesa e um alvo. Ele é quem percebe quando uma válvula se comporta de forma estranha, quando uma leitura não bate com a realidade física, quando algo está errado mesmo que a tela diga que está tudo bem. Um dos objetivos de ataques sofisticados a ICS é justamente cegar o operador — manipular o que ele vê na supervisão para que a sabotagem física aconteça sem que ninguém perceba a tempo. Treinar operadores para desconfiar, reportar e reconhecer sinais de manipulação é um controle de segurança tão real quanto um firewall.

A convergência entre segurança cibernética e segurança física é outra fronteira crítica. Sistemas de controle de acesso, catracas, câmeras, alarmes e sistemas de segurança instrumentada (SIS) são, hoje, ativos conectados — e um comprometimento cibernético pode abrir portas físicas, desativar monitoramento por vídeo ou inibir funções de proteção que existem para evitar acidentes. Da mesma forma, um acesso físico não autorizado a uma estação de engenharia ou a uma porta de rede no chão de fábrica é um caminho direto para a OT que nenhum firmware corrige. Proteger a planta exige tratar o digital e o físico como um único perímetro de risco.

Os fornecedores e prestadores de serviço são parte do fator humano que mais escapa ao controle. Integradores de automação, fabricantes de máquinas e equipes de manutenção mantêm acessos remotos, trazem notebooks e pendrives para dentro da planta e, muitas vezes, têm credenciais com privilégios elevados que ninguém revisa. Estabelecer um processo claro de acesso de terceiros — com autenticação forte, sessões monitoradas e gravadas, acesso just-in-time e revogação ao fim do serviço — fecha uma das maiores brechas da indústria, e é tão um problema de pessoas e processos quanto de tecnologia.

Nada disso é exclusividade da grande indústria. Do pequeno fabricante com algumas máquinas conectadas à grande utility de energia, a lógica é a mesma — muda a escala. O posicionamento da Decripte é cobrir todos os tamanhos, do MEI ao Enterprise, com a mesma seriedade técnica. E o convite é sempre o mesmo: antes de decidir qualquer investimento, ganhe visibilidade real e gratuita da sua exposição. O plano de Gestão de Ameaças em decripte.com.br/intelligence-center coloca equipe e IA 24x7 para mapear seus riscos, monitorar ameaças contra você e mostrar, com dados, onde começar. É de graça, e é o primeiro passo concreto para tirar a sua operação industrial do escuro.

Termos do setor

OT (Tecnologia Operacional)

Hardware e software que monitoram e controlam processos físicos, dispositivos e infraestrutura industrial — como linhas de produção, turbinas, bombas e válvulas. Diferente da TI, focada em dados e informação, a OT atua no mundo físico, onde uma falha pode parar a produção ou causar dano material e risco à vida.

ICS (Sistema de Controle Industrial)

Termo guarda-chuva para os sistemas que controlam processos industriais, abrangendo SCADA, DCS (Sistemas de Controle Distribuído) e PLCs. São o coração da automação de plantas de manufatura, energia, óleo & gás e saneamento, e o alvo central da cibersegurança industrial.

SCADA (Supervisão e Aquisição de Dados)

Sistema de supervisão e controle que coleta dados de sensores e controladores remotos e permite que operadores monitorem e comandem o processo a partir de telas centralizadas. Por sua posição de visibilidade e comando, é alvo prioritário de ataques que buscam manipular o processo ou cegar o operador.

PLC (Controlador Lógico Programável)

Computador industrial robusto que executa a lógica de controle em tempo real, lendo sensores e acionando atuadores no chão de fábrica. Muitos PLCs legados não têm autenticação nem criptografia nativas, aceitando comandos de qualquer dispositivo na rede — por isso a proteção vem da segmentação, e não de agentes instalados no próprio controlador.

Modelo Purdue

Arquitetura de referência (Purdue/ISA-95) que organiza ambientes industriais em níveis hierárquicos (0 a 5) mais a DMZ industrial, definindo que cada nível só se comunica com os adjacentes. É a base do projeto de segmentação, zonas e conduítes na defesa em profundidade de redes OT, adotada pela IEC 62443.

IIoT (Internet Industrial das Coisas)

Conjunto de sensores, medidores, câmeras e dispositivos conectados que trazem telemetria e inteligência para a operação industrial. Quando implantados com senhas padrão, sem atualização ou com portas de gerência expostas, ampliam a superfície de ataque e se tornam um vetor frequente de comprometimento da OT.

Por onde começar

1. Mapeie sua exposição gratuitamente: comece o plano de Gestão de Ameaças em decripte.com.br/intelligence-center para enxergar vulnerabilidades, exposição externa e ameaças ativas contra a sua organização antes de qualquer investimento.
2. Inventarie os ativos de OT de forma passiva: descubra todos os PLCs, IHMs, SCADA, gateways IIoT e estações de engenharia ouvindo o tráfego em espelhamento (SPAN/TAP), sem injetar pacotes que possam perturbar controladores sensíveis.
3. Construa o mapa de comunicação: documente quais dispositivos falam entre si, em quais protocolos (Modbus, DNP3, EtherNet/IP, PROFINET, OPC) e em que volume, para ter a planta-baixa real da rede industrial.
4. Segmente TI e OT pelo modelo Purdue: defina zonas e conduítes conforme a IEC 62443, implemente a DMZ industrial entre os níveis 3 e 4 e elimine atalhos que conectem a rede corporativa diretamente ao chão de fábrica.
5. Monte a gestão de vulnerabilidades de OT: cruze o inventário com advisories da CISA, alertas do CERT.br e CVEs, priorize por risco real e aplique controles compensatórios onde o patch não puder ser instalado de imediato.
6. Ative monitoramento passivo e SOC 24x7: detecte comandos anômalos a PLCs, dispositivos não autorizados e movimentação lateral TI/OT, correlacionando com o MITRE ATT&CK for ICS e inteligência de ameaças.
7. Controle o acesso remoto de fornecedores: implemente autenticação forte, sessões monitoradas e gravadas, acesso just-in-time e revogação automática ao fim de cada serviço de terceiros.
8. Tenha um plano de resposta a incidentes safety-first: prepare playbooks de OT que priorizem isolamento de rede sobre desligamento físico, e contrate resposta com acionamento em menos de 1 hora para reduzir o tempo de planta parada.

Perguntas frequentes