Segurança OT: o guia para proteger redes industriais e sistemas de automação

A indústria brasileira conectou o chão de fábrica à rede corporativa em ritmo acelerado nos últimos anos, e essa integração trouxe ganhos de produtividade e também uma exposição que os ambientes virtuais nunca tiveram.  

Sensores, controladores e sistemas de supervisão que operavam isolados passaram a trocar dados com sistemas de gestão, painéis analíticos e equipes remotas, muitas vezes sem que a arquitetura de segurança acompanhasse essa abertura.  

O resultado aparece nas estatísticas de ameaças: segundo o panorama de ameaças para sistemas de automação industrial publicado pelo Kaspersky ICS CERT, referente ao segundo trimestre de 2026, objetos maliciosos foram bloqueados em 19,15% dos computadores de sistemas de controle industrial monitorados no mundo. 

O número descreve uma superfície de ataque que não existia quando essas plantas foram projetadas. Mais do que isso, ele trata de equipamentos cuja falha não gera apenas indisponibilidade de sistema, mas parada de linha de produção, perda de lote, risco ambiental e, em alguns casos, risco à integridade física de quem opera. É por isso que a proteção desses ambientes ganhou disciplina própria, com normas, arquitetura e prioridades diferentes das que orientam a segurança da informação tradicional. 

O que é segurança OT e o que ela protege 

Segurança OT é o conjunto de práticas, controles e processos que protege a tecnologia operacional, termo que designa os sistemas e dispositivos programáveis que interagem com o mundo físico. A definição de referência está no guia SP 800-82, revisão 3, publicado pelo NIST em 2023, que descreve a tecnologia operacional como sistemas e dispositivos que detectam ou provocam mudança direta por meio do monitoramento e do controle de equipamentos, processos e eventos. 

O escopo da segurança OT é mais amplo do que o chão de fábrica que o termo costuma evocar. O mesmo documento inclui na tecnologia operacional os sistemas de controle industrial, os sistemas de automação predial, os sistemas de transporte, os sistemas de controle de acesso físico e os sistemas de monitoramento e medição do ambiente físico. Na prática, isso abrange desde a linha de montagem de uma indústria até o sistema que controla elevadores, climatização e câmeras de um edifício corporativo, passando pelo controle de uma subestação elétrica, de uma estação de tratamento de água ou de um terminal logístico. 

Dentro desse universo, alguns componentes aparecem em praticamente toda planta industrial e vale nomeá-los. Os controladores lógicos programáveis, conhecidos pela sigla CLP, executam a lógica que aciona motores, válvulas e esteiras. Os sistemas de supervisão e aquisição de dados, chamados de SCADA, concentram a leitura dos sensores e apresentam o estado do processo aos operadores.  

As interfaces homem-máquina, ou IHM, são as telas pelas quais o operador interage com o processo. Os sistemas digitais de controle distribuído, os DCS, coordenam processos contínuos, comuns em refino, papel e celulose, química e geração de energia. Proteger o ambiente OT significa proteger esse conjunto e as redes que o interligam, não apenas os servidores e as estações de trabalho administrativas. 

Por que a segurança OT se tornou prioridade nas operações industriais 

A convergência entre tecnologia da informação e tecnologia operacional é o fator que mais alterou esse cenário. Durante décadas, as redes industriais foram protegidas principalmente pelo isolamento físico, com protocolos proprietários e nenhuma conexão com o mundo externo. A digitalização das operações desfez esse isolamento, porque manutenção preditiva, controle de qualidade por visão computacional, telemetria de frota e integração com o ERP exigem que dados saiam do processo e cheguem a sistemas corporativos e, em muitos casos, à nuvem. 

O State of Operational Technology and Cybersecurity Report, publicado pela Fortinet em 2026 com base em pesquisa com mais de 700 profissionais de tecnologia operacional, aponta que 71% dos respondentes registraram entre uma e nove intrusões no período analisado. Na edição anterior do mesmo levantamento, essa proporção era de 47%. O phishing aparece como o vetor mais citado, com 76% das menções, e o ransomware é relatado por metade dos entrevistados. 

A gravidade de um incidente em ambiente industrial também se mede em outra escala:  quando um ataque atinge a rede administrativa, a empresa perde acesso a sistemas e dados, com impacto financeiro e reputacional. Quando o mesmo ataque alcança a rede de automação, a consequência pode ser a parada da produção, a perda de matéria-prima em processo, o descumprimento de contratos de fornecimento e a ativação de sistemas de segurança que exigem inspeção antes do religamento. Em setores de processo contínuo, como siderurgia, papel e petroquímica, religar uma planta parada leva horas ou dias e tem custo próprio, o que transforma qualquer interrupção em prejuízo multiplicado. 

Há ainda um elemento geográfico que pesa de forma particular no caso brasileiro e costuma passar despercebido no desenho de segurança. Mineração, agronegócio, energia e logística operam em unidades distantes dos grandes centros, muitas vezes sem equipe técnica residente e com conectividade limitada. Esses locais concentram ativos industriais conectados e recebem menos atenção de monitoramento do que a matriz, o que os torna ponto de entrada conveniente para quem procura o caminho mais fácil até a rede corporativa. 

Diferenças entre segurança OT e segurança de TI 

A ordem das prioridades é o que separa os dois mundos antes de qualquer discussão sobre ferramenta. Em segurança da informação, a tríade clássica coloca a confidencialidade à frente, seguida de integridade e disponibilidade. Em ambientes industriais, essa ordem se inverte, porque a disponibilidade do processo e a segurança física das pessoas vêm antes de qualquer consideração sobre sigilo de dados. O guia do NIST é explícito ao afirmar que a orientação para proteger a tecnologia operacional precisa endereçar requisitos próprios de desempenho, confiabilidade e segurança física. 

O ciclo de vida dos equipamentos industriais aprofunda essa distância e explica boa parte das restrições técnicas. Enquanto um servidor corporativo é substituído em quatro ou cinco anos, um controlador industrial permanece em operação por 15 ou 20 anos. A estação que roda o sistema de supervisão, por sua vez, pode depender de uma versão de sistema operacional que o fabricante já não atualiza. Trocar esses componentes não é uma decisão de TI, porque envolve recertificação do processo produtivo, validação do fornecedor da máquina e, em setores regulados, nova homologação. 

A janela de manutenção costuma ser o obstáculo mais difícil de contornar em um projeto de segurança industrial. Aplicar uma correção em um servidor corporativo costuma exigir uma reinicialização de madrugada. Aplicar a mesma correção em um sistema que controla um forno ou uma linha de envase exige parar a produção, o que só acontece em paradas programadas que ocorrem uma ou duas vezes por ano.

Além disso, muitos fabricantes de máquinas condicionam a garantia à configuração homologada, o que impede a instalação de agentes de segurança nas estações de engenharia e nas IHM. Essa restrição explica por que as ferramentas de proteção baseadas em agente, comuns no parque administrativo, costumam ser inviáveis no ambiente industrial, e por que o monitoramento passivo de rede se tornou a alternativa praticável. 

Os protocolos industriais completam o quadro e explicam por que o controle de acesso precisa vir da rede. Modbus, DNP3, PROFINET e EtherNet/IP foram criados para funcionar em redes confiáveis e isoladas, com prioridade para determinismo e baixa latência, e não incorporam autenticação nem criptografia em suas versões tradicionais. Um comando enviado a um controlador é executado sem que o dispositivo pergunte quem o enviou, o que significa que o controle de acesso precisa ser construído na arquitetura da rede, e não no protocolo. 

Principais riscos e vetores de ataque em ambientes OT 

O caminho mais comum de um ataque a ambientes industriais não começa no chão de fábrica. Começa com phishing em uma estação administrativa, evolui para roubo de credenciais e movimentação lateral pela rede corporativa e chega à rede de automação quando encontra uma conexão entre os dois ambientes que não deveria existir ou que não está devidamente controlada. Redes planas, nas quais o mesmo segmento abriga estações de escritório e sistemas de supervisão, transformam um incidente de TI em incidente de produção. 

O acesso remoto concedido a fornecedores abre outro caminho, e ele costuma ficar aberto de forma permanente. Integradores, fabricantes de máquinas e prestadores de manutenção frequentemente precisam acessar equipamentos para diagnóstico e ajuste, e esse acesso costuma ser concedido por soluções improvisadas, com credenciais compartilhadas, sem registro de sessão e sem prazo de validade. Cada conexão dessas é uma porta permanente para dentro do processo, aberta por um terceiro cuja postura de segurança a empresa não controla. 

A mídia removível continua em uso justamente porque muitos sistemas industriais não têm conexão direta com a rede. Atualizações de firmware, receitas de produção e programas de CLP circulam em pendrives que passam por notebooks de técnicos que atendem várias plantas e vários clientes, o que cria um canal de contaminação que nenhum firewall intercepta. Somam-se a isso os ativos esquecidos, como modems de manutenção instalados anos atrás, roteadores de fornecedores e pontos de acesso sem fio colocados para resolver um problema pontual e nunca removidos. 

O ransomware merece atenção específica nesse conjunto, porque mudou de alvo ao longo dos últimos anos. Grupos que antes buscavam apenas dados perceberam que parar a produção gera pressão de pagamento muito maior do que criptografar arquivos administrativos, e passaram a atacar deliberadamente sistemas de supervisão e servidores que sustentam a operação. Em muitos casos, a produção é interrompida não porque o ransomware atingiu os controladores, mas porque a empresa desligou preventivamente a conexão entre a rede corporativa e a rede industrial para evitar que isso acontecesse. 

Normas e regulação aplicáveis à segurança OT 

A referência técnica internacional para segurança em ambientes industriais é a série ISA/IEC 62443, que define requisitos e processos para implementar e manter sistemas de automação e controle industrial seguros. A série é organizada por público, o que facilita a adoção. A parte 2-1 trata do programa de segurança sob responsabilidade do operador do ativo, e a parte 3-2 trata da avaliação de risco e do desenho da arquitetura. A parte 3-3 estabelece os requisitos de segurança do sistema e seus níveis, enquanto as partes 4-1 e 4-2 definem o desenvolvimento seguro e os requisitos técnicos dos componentes entregues pelos fabricantes. 

O conceito central da parte 3-2 é a divisão do ambiente em zonas e conduítes. Zonas agrupam ativos com requisitos de segurança semelhantes, como a área de uma linha de produção ou o conjunto de sistemas de supervisão, e conduítes são os caminhos de comunicação controlados entre essas zonas. A partir desse desenho, a empresa define níveis de segurança proporcionais ao risco de cada zona, em vez de aplicar o mesmo controle a todo o parque, o que seria inviável tecnicamente e desnecessário do ponto de vista de risco. 

No Brasil, o setor elétrico é o que reúne a regulação mais específica sobre o tema. A Resolução Normativa ANEEL nº 964/2021 exige que os agentes do setor estabeleçam procedimentos de prevenção, tratamento e resposta a incidentes cibernéticos e conduzam simulações de cenários que testem capacidade e tempo de resposta. A mesma norma determina a notificação dos incidentes de maior impacto à equipe de coordenação setorial assim que o agente tomar ciência do incidente e de sua dimensão. Empresas de outros setores não têm exigência equivalente, mas a norma serve como parâmetro de maturidade, porque descreve o que um regulador considera mínimo para operar infraestrutura crítica. 

O guia SP 800-82 do NIST complementa esse arcabouço com recomendações práticas de arquitetura e controles, e é usado com frequência como referência em projetos brasileiros por ser público e gratuito. Vale observar que essas normas não competem entre si: a série 62443 organiza o programa e a arquitetura, o guia do NIST detalha controles e topologias, e a regulação setorial define obrigações e prazos. 

Melhores práticas de segurança OT 

O ponto de partida de qualquer programa consistente é o inventário de ativos, e ele costuma ser o maior obstáculo inicial. Poucas plantas sabem quantos controladores, IHM, conversores e sistemas de supervisão estão em operação, com quais versões de firmware e conectados a quê, porque essa informação foi se formando ao longo de décadas de projetos conduzidos por fornecedores diferentes. Como varreduras ativas podem derrubar equipamentos industriais sensíveis, o levantamento é feito por monitoramento passivo do tráfego, que identifica os ativos e mapeia as comunicações sem injetar pacotes no processo. 

A segmentação da rede vem em seguida e é o controle com maior efeito prático sobre o risco. Separar a rede corporativa da rede industrial com uma zona intermediária, na qual ficam os servidores que ambos os lados precisam acessar, impede que um comprometimento administrativo chegue diretamente aos controladores. Dentro da rede industrial, a divisão em zonas limita o alcance de um incidente a uma linha ou a uma área, em vez de expor a planta inteira. Essa arquitetura substitui a proteção que o isolamento físico oferecia, com a diferença de permitir o tráfego que a operação digitalizada exige. 

O acesso remoto de terceiros precisa deixar de ser exceção informal e virar processo documentado. Isso significa canal único e monitorado para fornecedores, autenticação em múltiplos fatores, credenciais individuais com prazo de validade, aprovação por responsável da planta antes da conexão e gravação de sessão para auditoria posterior. Como a maior parte das intervenções de fornecedor é pontual, manter o acesso desabilitado por padrão e habilitá-lo mediante solicitação elimina boa parte do risco sem atrapalhar a manutenção. 

O monitoramento contínuo fecha o ciclo, e ele exige um centro de operações que entenda protocolos industriais. Um SOC preparado para ambientes OT não procura apenas assinaturas de malware. Ele observa desvios de comportamento do processo, como um comando de escrita enviado fora de janela de manutenção, um dispositivo novo conversando com um controlador ou uma estação de engenharia acessando um equipamento que não é dela. Serviços de detecção e resposta gerenciadas e a correlação de eventos em SIEM permitem integrar esses sinais aos da rede corporativa, o que é necessário justamente porque o ataque costuma atravessar os dois ambientes. 

Quando a correção não pode ser aplicada, entram em cena os controles compensatórios, que sustentam o risco no intervalo. Um sistema de supervisão que roda versão sem suporte e não pode ser atualizado continua protegido se estiver em zona isolada, com regras restritas de firewall, sem acesso à internet e com monitoramento reforçado. Da mesma forma, a cópia de segurança em ambiente industrial precisa incluir o que costuma ficar de fora, como programas de CLP, configurações de IHM, receitas de produção e projetos de engenharia, porque recuperar um servidor sem esses arquivos não recoloca a planta em operação. 

O plano de resposta a incidentes, por sua vez, precisa ser escrito com a operação, e não apenas com a TI. Ele define quem tem autoridade para parar um processo e em que ordem os sistemas são religados. Define também como a equipe de segurança do trabalho é acionada quando sistemas instrumentados de segurança são afetados e como a produção segue em modo manual enquanto a rede é restabelecida. Exercícios de mesa com participação da manutenção e da produção revelam lacunas que nenhuma auditoria documental encontra. 

Como a Faiston apoia a segurança OT nas operações industriais 

Estruturar segurança OT exige combinar competências que não costumam conviver na mesma equipe, porque o projeto envolve redes industriais, cibersegurança, conectividade de unidades remotas e presença física no local em que a planta opera. A Faiston reúne essas frentes em um mesmo contrato, com infraestrutura de redes para desenhar e implementar a segmentação, gestão de firewalls multivendor para controlar os conduítes entre zonas e serviços gerenciados de segurança para monitorar e responder de forma contínua. 

Para as unidades distantes, que são a realidade de mineração, energia, agronegócio e logística, a Faiston agrega conectividade gerenciada, inclusive via satélite de órbita baixa, e uma malha de atendimento em campo distribuída por 26 estados e pelo Distrito Federal. Essa combinação permite tratar o ativo industrial remoto com o mesmo padrão de monitoramento e de resposta aplicado à matriz. As soluções para mineração, energia e óleo e gás e para logística e frotas partem dessa combinação entre conectividade, monitoramento e presença local. 

A segurança OT deixou de ser assunto restrito à engenharia de automação e passou a integrar a agenda de risco das empresas industriais, acompanhando o movimento das próprias operações, que dependem cada vez mais de dados para produzir. O caminho para sustentar essa dependência sem ampliar a exposição passa por conhecer os ativos, desenhar a arquitetura com zonas e conduítes, controlar o acesso de terceiros e monitorar continuamente o que trafega entre a rede corporativa e o processo. Se a sua empresa está conectando o chão de fábrica e quer fazer isso com segurança, fale com a Faiston e descubra como estruturar essa proteção de ponta a ponta.