Segurança em OT: por que a fábrica é mais frágil

Existe uma inversão que quase todo profissional de TI leva um tempo para digerir quando entra numa fábrica: ali, disponibilidade vale mais do que confidencialidade, e segurança física vale mais do que as duas.

No escritório, um sistema fora do ar por duas horas é um transtorno. Numa linha de produção, pode significar lote perdido, equipamento danificado ou risco a quem está no chão de fábrica. É por isso que práticas que são óbvias em TI (atualizar toda semana, reiniciar para aplicar patch, instalar agente em tudo) são recebidas com resistência legítima do outro lado.

Essa resistência produziu ambientes que funcionam há décadas e que, agora que estão conectados, são frágeis de um jeito específico.

A fábrica não é insegura por descuido: ela é insegura porque foi otimizada por trinta anos para nunca parar, e quase todo controle de segurança de TI começa pedindo uma parada.

Segurança em OT começa por entender o que é OT

Se a distinção ainda é nova para você, o post sobre IT e OT cobre o conceito. Em resumo: OT (Operational Technology) é tudo que controla ou monitora processo físico: CLPs, SCADA, IHM, sensores, atuadores, sistemas de automação predial.

A diferença prática que mais importa é o ciclo de vida. Um notebook corporativo vive três anos. Um controlador industrial instalado em 2008 pode ter mais quinze pela frente, rodando firmware cujo fabricante encerrou o suporte, num processo cuja revalidação custaria mais do que o equipamento.

Nada disso era problema enquanto o ambiente era isolado. Passou a ser quando a convergência IT/OT conectou o chão de fábrica à rede corporativa, por boas razões de negócio: dados de produção em tempo real, manutenção preditiva, acesso remoto de fornecedor, integração com ERP.

O que os adversários estão fazendo

Aqui os números saem do genérico. O relatório anual de OT da Dragos de 2026 registra três mudanças que interessam a quem opera planta.

O ransomware industrial cresceu 49% no ano, atingindo 3.300 organizações globalmente, com disrupção operacional. Vale a nuance: a maior parte disso não é ataque cirúrgico a sistema de controle: é ransomware oportunista que entrou pela rede administrativa e parou a produção porque não havia separação suficiente. Isso é uma boa notícia estratégica: a defesa que resolve a maioria dos casos é arquitetura, não tecnologia exótica.

Os grupos passaram a operar como ecossistemas coordenados. O relatório descreve um grupo que estabelece a base de acesso e a repassa a outro, especializado em intrusão profunda em OT. Divisão de trabalho é sinal de maturidade criminosa, e significa que detectar o primeiro estágio deixou de ser suficiente.

E a mudança mais séria: de mirar dispositivo isolado para mapear malhas de controle inteiras. Um dos grupos mapeou sistematicamente malhas de controle em infraestrutura dos EUA; outro atuou contra sistemas de energia distribuída na Polônia, com tentativas deliberadas de afetar ativos operacionais.

Mapear malha de controle é entender qual variável controla qual processo físico, o conhecimento necessário para causar dano específico, não apenas parar tudo. É trabalho de quem pretende voltar.

O relatório também é direto sobre a causa da eficácia: os adversários continuam tendo sucesso porque as mesmas fraquezas estruturais persistem: lacunas de visibilidade, infraestrutura superexposta, segmentação fraca e confiança implícita.

Essas quatro palavras descrevem exatamente o oposto do Zero Trust. E o interessante é que a resposta não exige tecnologia nova.

Por onde começar sem parar nada

Em ordem de retorno, e todas executáveis sem janela de parada.

1. Inventário — mas passivo

Você não protege o que não sabe que existe, e o levantamento em planta reserva surpresas: o controlador esquecido de uma linha desativada, o modem 4G que um fornecedor instalou para dar suporte, o notebook de engenharia que nunca sai da rede.

O detalhe técnico que importa: use escuta passiva de tráfego, não varredura ativa. Um scan de rede convencional pode derrubar um controlador antigo: protocolos industriais foram desenhados quando ninguém imaginava tráfego inesperado, e vários equipamentos travam com pacote malformado. Já vi varredura "inofensiva" parar linha.

2. Separar as redes

Escritório e planta não podem estar na mesma rede plana. A separação mínima defensável:

• Segmentos distintos para TI corporativa, operações de planta e controle, com filtragem entre eles.
• Saída negada por padrão a partir do segmento de controle. O CLP não precisa falar com a internet.
• Nada de compartilhar credencial entre os dois mundos: a conta de administrador do escritório não pode ser válida na planta.

Se você ainda não segmenta, o post sobre VLAN explica o mecanismo, e o de estrutura de LAN mostra onde os pontos de filtragem ficam.

3. Controlar o acesso remoto de fornecedor

Esta é, na minha experiência, a porta mais aberta e a menos vigiada. Quase toda planta tem pelo menos um integrador com acesso remoto ao sistema de automação, criado às pressas numa emergência, com credencial compartilhada, sem MFA e sem prazo de validade.

O mínimo: acesso individual e nominal, MFA obrigatório, janela de tempo limitada, sessão gravada e revisão semestral de quem ainda precisa. Isso não exige parada e elimina um vetor inteiro.

4. Monitorar o tráfego industrial

Ambiente OT tem uma vantagem enorme sobre TI: o comportamento é previsível. As mesmas máquinas falam as mesmas coisas nos mesmos horários. Qualquer desvio é significativo, o que torna a detecção por anomalia muito mais eficaz do que num escritório, onde tudo varia.

Monitoramento passivo, sem agente e sem interferir no processo, é o caminho. E os alertas devem chegar a alguém que os leia, o que nos leva a SOC as a Service, com uma ressalva importante: confirme se o provedor entende protocolo industrial. Muitos não entendem, e vão gerar falso positivo até você desligar o alerta.

5. Backup do que ninguém faz backup

Programa de CLP, configuração de IHM, receita de processo. Não é raro que a única cópia esteja no notebook de um engenheiro específico, ou em nenhum lugar. Se um controlador queimar, quanto tempo leva para restaurar o programa? Se a resposta envolve "ligar para o integrador e torcer", você tem um problema de continuidade antes de ter um de segurança.

O que não fazer

Três erros que custam caro e são cometidos com boa intenção:

• Instalar EDR na estação de engenharia sem homologação do fabricante. Pode invalidar suporte e, pior, causar indisponibilidade. Pergunte antes.
• Aplicar política de senha de TI sem adaptação. Expiração a cada 60 dias numa IHM compartilhada por três turnos produz senha escrita em post-it colado no painel. Piorou.
• Varredura ativa em horário de produção. Ver acima. Se for fazer, faça em parada programada e com o fabricante ciente.

Quem deveria se preocupar

Existe a leitura de que isso é assunto de indústria pesada. É mais amplo. Qualquer processo físico controlado por computador é OT: câmara fria, irrigação, elevador, automação predial, controle de acesso, painel solar, bomba de posto de combustível.

E a exposição regulatória está aumentando. Energia, água, saúde e transporte aparecem em toda lista de infraestrutura crítica, inclusive nas discussões do Marco Legal da Cibersegurança, e a exigência escorre para quem fornece a esses setores, via contrato.

O ponto que fica

Segurança em OT tem um problema de tradução, mais do que de tecnologia. O time de TI chega com práticas corretas que quebram premissas legítimas da operação, e o time de operação recusa mudanças com argumentos que soam a resistência, mas descrevem risco físico real.

O caminho que funciona começa reconhecendo que a operação está certa sobre as prioridades dela. Segurança física e disponibilidade vêm primeiro, e qualquer controle que ameace as duas será rejeitado, com razão.

Sobra bastante coisa nesse espaço: inventariar sem tocar, separar redes, fechar o acesso remoto de fornecedor, monitorar de forma passiva, fazer backup do programa dos controladores. Nada disso exige parar a produção. E é exatamente o conjunto que teria contido a maior parte dos 3.300 casos do ano passado.