Segurança de TO: a que os seus clientes estão realmente expostos e o que fazer a respeito

Consequências físicas mudam tudo

TO abrange os sistemas programáveis que monitoram ou controlam processos físicos: sistemas de controle industrial, SCADA, PLCs, automação predial e os computadores de chão de fábrica que os operam. A definição do NIST é mais ampla do que a maioria das pessoas presume. Qualquer coisa que possa detectar ou causar uma mudança física direta, seja uma linha de produção, uma subestação ou os controles ambientais de um edifício, está dentro do limite da TO.

Isso é importante porque o pior resultado possível é diferente. Em TI, o pior cenário credível é geralmente perda, criptografia ou exposição de dados. Em TO, pode ser um estado físico inseguro: um vaso com sobrepressão, uma subestação sem energia ou um lote de produção que falha na validação. É por isso que a segurança de TO prioriza a segurança primeiro, depois a disponibilidade, depois a integridade e a confidencialidade. A segurança de TI geralmente funciona ao contrário, começando pela confidencialidade. Se um cliente perguntar por que você não pode simplesmente aplicar a política de endpoint existente dele ao chão de fábrica, esta é a resposta honesta.

Também muda o que significa "tolerância ao tempo de inatividade". Uma planta de processo contínuo que não consegue absorver uma reinicialização não planejada não está atrasada em segurança, está operando dentro da física do processo. E uma configuração de PLC que foi qualificada pelo OEM geralmente não pode ser corrigida no mesmo ritmo que uma frota de laptops sem desencadear uma recertificação. Controles compensatórios e janelas de manutenção planejadas fazem o trabalho que um ciclo de patches faria em TI.

O que realmente está acontecendo por aí

Dois padrões distintos estão impulsionando a maioria dos incidentes sobre os quais os clientes estão perguntando, e eles exigem defesas diferentes. O primeiro é o direcionamento direto de ambientes de controle. A Dragos ligou um ataque coordenado a sistemas poloneses combinados de aquecimento e energia e de energia renovável no final de dezembro de 2025 ao grupo ELECTRUM, descrevendo-o como o primeiro ataque coordenado em larga escala contra recursos de energia distribuídos. Uma campanha separada contra uma empresa estatal de transmissão de energia paquistanesa em meados de 2025 envolveu a busca ativa por exploits de SCADA e a varredura de portas Modbus, o tipo de reconhecimento que a visibilidade de ativos e o monitoramento consciente de protocolo são projetados para capturar.

O segundo padrão é mais comum e, de certa forma, mais relevante para como a maioria dos clientes de nossos parceiros é realmente atingida: incidentes de TI com consequências operacionais, sem qualquer comprometimento confirmado de um controlador. A Nucor interrompeu partes da produção como precaução após acesso não autorizado à TI. A Masimo teve que operar a fabricação abaixo da capacidade normal por semanas após uma intrusão na rede. A Jaguar Land Rover estendeu uma pausa na produção por mais de uma semana após um incidente em setembro de 2025. O evento de ransomware da Asahi no mesmo mês derrubou os sistemas de pedidos e remessas, com a logística não voltando totalmente ao normal até fevereiro de 2026. Nenhum desses foram ataques a um controlador. Todos eles interromperam a produção porque TI e TO estão mais emaranhados do que a maioria das avaliações de risco presume.

Os números corroboram isso. A Dragos rastreou 119 grupos de ransomware afetando organizações industriais em 2025, um aumento de 80 no ano anterior, atingindo aproximadamente 3.300 organizações, com a manufatura assumindo mais de dois terços do impacto. A Siemens estima o tempo de inatividade não planejado em quase 1,4 trilhão de dólares por ano entre as 500 maiores empresas do mundo. O que se destaca na pesquisa de 2025 do SANS Institute não é a detecção, quase metade dos incidentes foram capturados em 24 horas, é a recuperação: quase um em cada cinco levou mais de um mês para ser corrigido. A detecção se tornou mais rápida do que a restauração, e a restauração é onde reside o custo real.

A estrutura pela qual seus clientes são realmente avaliados

Para a maioria dos seus clientes, o NIS2 é o que decide se a resiliência de TO é uma obrigação legal ou apenas um "bom ter". A diretriz não cria um regime de TO separado, mas abrange diretamente energia, transporte, água, saúde e manufatura, e o Artigo 21 detalha requisitos concretos: tratamento de incidentes, backup e recuperação de desastres, segurança da cadeia de suprimentos e controle de acesso. Para um cliente nesses setores, a conformidade com o NIS2 e a resiliência de TO são a mesma conversa, não duas separadas.

A lacuna mais comum entre os clientes que dizem estar prontos para o NIS2 é a mesma na prática: eles têm uma rotina de backup, mas ela nunca foi testada contra restrições de hardware reais, onde o dispositivo original não existe mais e um substituto idêntico não está disponível. Fazer backup da lógica do PLC, das configurações de SCADA e DCS, dos arquivos HMI e das configurações de dispositivos de rede é um trabalho. Demonstrar que você pode restaurá-los, o que o Artigo 21 exige prova, é outro.

Onde isso deixa sua conversa sobre TO com os clientes

Uma configuração de segurança de TO defensável exige visibilidade de ativos, segmentação, monitoramento e recuperação trabalhando juntos, e nenhum fornecedor único cobre todos os quatro bem. É exatamente onde uma conversa com um distribuidor é mais útil para você do que a apresentação de um único fornecedor: você pode montar a combinação que realmente se encaixa no ambiente do cliente em vez de estender um produto por quatro problemas para os quais ele não foi construído.

Para a parte de resiliência especificamente, backup e recuperação para os ativos da classe PC que realmente interrompem a produção quando param, estações de trabalho HMI, servidores SCADA, estações de trabalho de engenharia, historiadores, Acronis Cyber Protect para TO é construído em torno de backup baseado em imagem, recuperação para hardware diferente e suporte para os sistemas Windows e Linux legados que dominam as plantas industriais existentes. Ele é projetado para atingir um estado de produção validado rapidamente, não apenas para concluir um trabalho de backup, e funciona em ambientes com air gap onde a conectividade com a nuvem não é uma opção. Para a visibilidade de ativos e o lado da vulnerabilidade da equação, o Nanitor oferece aos clientes o inventário e o panorama de exposição para os quais as obrigações do Artigo 21 do NIS2 exigem cada vez mais documentação.

Se um cliente está perguntando sobre segurança de TO, o próximo passo útil geralmente não é um único p

[...]