“No OT, a segurança tem de garantir a continuidade operacional”: A cibersegurança na Indústria 4.0 e IIoT em debate (com vídeo)

Num setor onde cada segundo de operação conta, a segurança não pode ser pensada como um obstáculo, mas como um elemento integrado no próprio funcionamento das organizações. O painel da primeira mesa-redonda da segunda edição da IT Security Summit Porto reuniu Claúdia Vasconcelos Vieira, IT Manager da Continental, Ivo Freitas, Cybersecurity Director da Vishay, Sérgio Sousa, Diretor de Sistemas de Informação e Comunicação da Aspöck, e David Grave, Cybersecurity Director da Claranet Portugal. Ao longo da sessão, os oradores desenharam um retrato claro dos desafios que marcam a convergência entre IT e OT, sublinhando que proteger a indústria exige equilíbrio entre controlo, continuidade e visão estratégica.

Segurança alinhada com a operação

A compatibilização entre segurança e produção marcou o arranque do debate. Claúdia Vieira destacou que o grande desafio está em garantir a proteção da informação num ambiente onde os dados circulam por múltiplas camadas de rede, sem criar fricção operacional. A responsável alertou que, se as medidas implementadas forem um “empecilho” para a realização das funções principais da empresa, “não será bem recebido”, seja por limitar o acesso à informação ou por afetar diretamente a produção.

A resposta passa por uma governação clara e consistente, baseada na definição de “quem acede, como é que acede, porque, em que momentos”. Neste enquadramento, o principal desafio é avaliar a maturidade da organização, identificar o que é crítico e aplicar controlos proporcionais ao risco.

Continuidade como princípio orientador

A necessidade de proteger sem interromper foi reforçada por Ivo Freitas, ao sublinhar que “quando falamos na segurança de Operational Technology (OT), temos de compreender que a segurança tem de garantir a continuidade operacional” não podendo comprometê-la. Em ambientes industriais, onde os sistemas operam em tempo real, soluções tradicionais de IT podem introduzir limitações relevantes. “Uma firewall tradicional de IT muitas vezes introduz latências no fluxo de comunicação que não são aceitáveis para o próprio processo”.

Neste cenário, a estratégia de segurança deve ser desenhada para proteger ativos e informação sem criar disrupção. A gestão de risco mantém-se como base de qualquer decisão. “Todas as empresas têm de fazer a sua gestão de risco, perceber onde estão os seus riscos e atuar em conformidade”, acrescentou o especialista.

Modelos comuns, desafios específicos

Sérgio Sousa reforçou que, apesar das diferenças entre organizações, existe uma convergência nos modelos adotados. “No final do dia, as frameworks, a estratégia, as arquiteturas e os modelos de gestão serão todos similares: focados na continuidade de negócio, focados na segurança feita à medida e focados na contenção de custos”.

Ainda assim, os sistemas industriais apresentam características próprias. São sistemas de baixa latência que processam dados de forma contínua. “Ou seja, são sistemas que estão a debitar dados de segundo a segundo. Uma firewall não consegue ter uma performance que chegue aos 90% ao fazer controlo de segundo a segundo”. A resposta passa pela criação de simbioses entre tecnologia e operação, pela definição do risco residual e pela adaptação das políticas e modelos de segurança às plataformas utilizadas.

Visibilidade e erros estruturais

David Grave apontou fragilidades recorrentes nas arquiteturas de cibersegurança industrial. A primeira prende-se com a visibilidade. “Não é possível proteger aquilo que não conheço”. A falta de conhecimento sobre ativos e sistemas dificulta qualquer estratégia de proteção eficaz.

A complexidade das ferramentas surge como outro desafio. Muitas permitem identificar rapidamente vulnerabilidades, mas a sua mitigação pode demorar meses.

A estas questões junta-se a tendência de aplicar diretamente regras de IT ao OT, criando aquilo que o responsável designa como “ministério do não”. Esta abordagem ignora as especificidades da indústria e pode comprometer a operação. Ao contrário do setor dos serviços, uma hora de produção perdida “é uma hora que não se recupera”.

Vetores de ataque e fragilidades ocultas

No que diz respeito às ameaças, o foco recai sobretudo em ataques com origem no IT. David Grave destacou o phishing e os ataques à supply chain que “vem do IT e contamina o OT”. “Não temos visto muitos ataques direcionados propriamente ao OT”, sendo mais comum observar compromissos que acabam por ter impacto operacional.

A existência de shadow IT agrava o risco. Um fornecedor pode manter uma ligação permanente através de uma VPN sem as devidas proteções, permitindo que um atacante explore “o elo mais fraco”. Este cenário evidencia a necessidade de uma abordagem integrada à segurança.

Legacy e o desafio operacional

A integração de sistemas antigos com requisitos modernos foi também discutida. Sérgio Sousa rejeitou a ideia de que o legado seja um obstáculo inultrapassável. “Legacy não é uma fatalidade”. O foco deve estar no caminho definido e no objetivo a atingir. “Não interessa como se começa, mas sim qual o caminho que se define e qual é o fim a que se quer chegar”, referiu.

O processo passa pela integração destes equipamentos na rede, pela uniformização de protocolos, pela utilização de middleware e pela definição de requisitos claros para novas aquisições.

A dimensão interna continua a ser determinante. Claúdia Vieira sublinhou que “a questão organizacional continua a ser o maior desafio de todos”, sendo uma área que “tem de ser continuamente trabalhada”. A evolução tecnológica e regulatória é rápida, mas as mentalidades nem sempre acompanham esse ritmo.

A coexistência entre IT e OT exige encontrar “este ponto da partilha de risco operacional”, evitando implementações motivadas apenas por obrigações legais. A responsável destacou ainda a importância de um modelo híbrido “em que cada equipa tem a sua responsabilidade, mas tem que haver momento de partilha e de discussão de soluções a implementar”.

Preparação, resposta e cadeia de valor

A gestão de fornecedores surge como elemento crítico. Sérgio Sousa defendeu a necessidade de identificar o “elo mais fraco e trabalhar desde aí para frente”, bem como auditar parceiros e colaborar no desenvolvimento de frameworks e soluções adequadas.

Em cenários de incidente, como ransomware, a prioridade é garantir segurança e controlo. Ivo Freitas destacou que é essencial “garantir que as máquinas, tendo de parar, que param num estado seguro”, bem como preparar mecanismos de contingência. “Aqui a arquitetura faz toda a diferença, porque se tivermos uma boa arquitetura conseguimos conter o ataque”.

Claúdia Vieira reforçou que “antes de qualquer coisa nós temos de garantir a segurança operacional”, seja de equipamentos ou de pessoas, assegurando a integridade dos sistemas. A contenção e a segmentação são fundamentais, assim como “sabermos exatamente o que está comprometido, para evitar uma propagação lateral”.

Regulamentação como catalisador

A entrada em vigor da diretiva NIS2 foi apontada como um momento decisivo. David Grave considerou-a um “catalisador de mudança”, ao colocar a responsabilidade ao nível das administrações. “Se eu tiver uma administração que me diz que não a todos os meus projetos de cibersegurança, no limite são responsáveis”, sublinhou.