Segurança em OT: por que a fábrica é mais frágil

Existe uma inversão que quase todo profissional de TI leva um tempo para digerir quando entra numa fábrica: ali, disponibilidade vale mais do que confidencialidade — e segurança física vale mais do que as duas.

No escritório, um sistema fora do ar por duas horas é um transtorno. Numa linha de produção, pode significar lote perdido, equipamento danificado ou risco a quem está no chão de fábrica. É por isso que práticas que são óbvias em TI — atualizar toda semana, reiniciar para aplicar patch, instalar agente em tudo — são recebidas com resistência legítima do outro lado.

Essa resistência produziu ambientes que funcionam há décadas e que, agora que estão conectados, são frágeis de um jeito específico.

A tese em uma frase: a fábrica não é insegura por descuido — ela é insegura porque foi otimizada por trinta anos para nunca parar, e quase todo controle de segurança de TI começa pedindo uma parada.

Segurança em OT começa por entender o que é OT

Se a distinção ainda é nova para você, o post sobre IT e OT cobre o conceito. Em resumo: OT (Operational Technology) é tudo que controla ou monitora processo físico — CLPs, SCADA, IHM, sensores, atuadores, sistemas de automação predial.

A diferença prática que mais importa é o ciclo de vida. Um notebook corporativo vive três anos. Um controlador industrial instalado em 2008 pode ter mais quinze pela frente, rodando firmware cujo fabricante encerrou o suporte, num processo cuja revalidação custaria mais do que o equipamento.

Nada disso era problema enquanto o ambiente era isolado. Passou a ser quando a convergência IT/OT conectou o chão de fábrica à rede corporativa — por boas razões de negócio: dados de produção em tempo real, manutenção preditiva, acesso remoto de fornecedor, integração com ERP.

O que os adversários estão fazendo

Aqui os números saem do genérico. O relatório anual de OT da Dragos de 2026 registra três mudanças que interessam a quem opera planta.

O ransomware industrial cresceu 49% no ano, atingindo 3.300 organizações globalmente, com disrupção operacional. Vale a nuance: a maior parte disso não é ataque cirúrgico a sistema de controle — é ransomware oportunista que entrou pela rede administrativa e parou a produção porque não havia separação suficiente. Isso é uma boa notícia estratégica: a defesa que resolve a maioria dos casos é arquitetura, não tecnologia exótica.

Os grupos passaram a operar como ecossistemas coordenados. O relatório descreve um grupo que estabelece a base de acesso e a repassa a outro, especializado em intrusão profunda em OT. Divisão de trabalho é sinal de maturidade criminosa — e significa que detectar o primeiro estágio deixou de ser suficiente.

E a mudança mais séria: de mirar dispositivo isolado para mapear malhas de controle inteiras. Um dos grupos mapeou sistematicamente malhas de controle em infraestrutura dos EUA; outro atuou contra sistemas de energia distribuída na Polônia, com tentativas deliberadas de afetar ativos operacionais.

Mapear malha de controle não é reconhecimento genérico. É entender qual variável controla qual processo físico — o conhecimento necessário para causar dano específico, não apenas parar tudo. É trabalho de quem pretende voltar.

O relatório também é direto sobre a causa da eficácia: os adversários continuam tendo sucesso porque as mesmas fraquezas estruturais persistem — lacunas de visibilidade, infraestrutura superexposta, segmentação fraca e confiança implícita.

Essas quatro palavras descrevem exatamente o oposto do Zero Trust. E o interessante é que a resposta não exige tecnologia nova.

Por onde começar sem parar nada

Em ordem de retorno, e todas executáveis sem janela de parada.

1. Inventário — mas passivo

Você não protege o que não sabe que existe, e o levantamento em planta reserva surpresas: o controlador esquecido de uma linha desativada, o modem 4G que um fornecedor instalou para dar suporte, o notebook de engenharia que nunca sai da rede.

O detalhe técnico que importa: use escuta passiva de tráfego, não varredura ativa. Um scan de rede convencional pode derrubar um controlador antigo — protocolos industriais foram desenhados quando ninguém imaginava tráfego inesperado, e vários equipamentos travam com pacote malformado. Já vi varredura "inofensiva" parar linha.

2. Separar as redes

Escritório e planta não podem estar na mesma rede plana. A separação mínima defensável:

• Segmentos distintos para TI corporativa, operações de planta e controle, com filtragem entre eles.
• Saída negada por padrão a partir do segmento de controle. O CLP não precisa falar com a internet.
• Nada de compartilhar credencial entre os dois mundos — a conta de administrador do escritório não pode ser válida na planta.

Se você ainda não segmenta, o post sobre VLAN explica o mecanismo, e o de estrutura de LAN mostra onde os pontos de filtragem ficam.

3. Controlar o acesso remoto de fornecedor

Esta é, na minha experiência, a porta mais aberta e a menos vigiada. Quase toda planta tem pelo menos um integrador com acesso remoto ao sistema de automação — criado às pressas numa emergência, com credencial compartilhada, sem MFA e sem prazo de validade.

O mínimo: acesso individual e nominal, MFA obrigatório, janela de tempo limitada, sessão gravada e revisão semestral de quem ainda precisa. Isso não exige parada e elimina um vetor inteiro.

4. Monitorar o tráfego industrial

Ambiente OT tem uma vantagem enorme sobre TI: o comportamento é previsível. As mesmas máquinas falam as mesmas coisas nos mesmos horários. Qualquer desvio é significativo — o que torna a detecção por anomalia muito mais eficaz do que num escritório, onde tudo varia.

Monitoramento passivo, sem agente e sem interferir no processo, é o caminho. E os alertas devem chegar a alguém que os leia — o que nos leva a SOC as a Service, com uma ressalva importante: confirme se o provedor entende protocolo industrial. Muitos não entendem, e vão gerar falso positivo até você desligar o alerta.

5. Backup do que ninguém faz backup

Programa de CLP, configuração de IHM, receita de processo. Não é raro que a única cópia esteja no notebook de um engenheiro específico, ou em nenhum lugar. Se um controlador queimar, quanto tempo leva para restaurar o programa? Se a resposta envolve "ligar para o integrador e torcer", você tem um problema de continuidade antes de ter um de segurança.

O que não fazer

Três erros que custam caro e são cometidos com boa intenção:

• Instalar EDR na estação de engenharia sem homologação do fabricante. Pode invalidar suporte e, pior, causar indisponibilidade. Pergunte antes.
• Aplicar política de senha de TI sem adaptação. Expiração a cada 60 dias numa IHM compartilhada por três turnos produz senha escrita em post-it colado no painel. Piorou.
• Varredura ativa em horário de produção. Ver acima. Se for fazer, faça em parada programada e com o fabricante ciente.

Quem deveria se preocupar

Existe a leitura de que isso é assunto de indústria pesada. É mais amplo. Qualquer processo físico controlado por computador é OT: câmara fria, irrigação, elevador, automação predial, controle de acesso, painel solar, bomba de posto de combustível.

E a exposição regulatória está aumentando. Energia, água, saúde e transporte aparecem em toda lista de infraestrutura crítica, inclusive nas discussões do Marco Legal da Cibersegurança — e a exigência escorre para quem fornece a esses setores, via contrato.

O ponto que fica

Segurança em OT tem um problema de tradução, mais do que de tecnologia. O time de TI chega com práticas corretas que quebram premissas legítimas da operação, e o time de operação recusa mudanças com argumentos que soam a resistência, mas descrevem risco físico real.

O caminho que funciona começa reconhecendo que a operação está certa sobre as prioridades dela. Segurança física e disponibilidade vêm primeiro, e qualquer controle que ameace as duas será rejeitado — com razão.

Sobra bastante coisa nesse espaço: inventariar sem tocar, separar redes, fechar o acesso remoto de fornecedor, monitorar de forma passiva, fazer backup do programa dos controladores. Nada disso exige parar a produção. E é exatamente o conjunto que teria contido a maior parte dos 3.300 casos do ano passado.