Prevenção não chega: a identidade como novo perímetro da cibersegurança OT

A digitalização dos processos, a indústria 4.0, a convergência entre IT e OT, a adoção de soluções de manutenção remota e a crescente dependência de fornecedores externos, aumentaram significativamente a interligação destes ambientes e neste contexto, a distinção entre o perímetro interno e externo torna-se cada vez menos clara. Consequentemente, um atacante nem sempre necessita de explorar vulnerabilidades técnicas complexas para comprometer um ambiente OT. Em muitos casos, a utilização abusiva de uma identidade legítima é suficiente. Credenciais comprometidas, contas ativas sem necessidade operacional, acessos remotos excessivamente permissivos ou contas partilhadas podem permitir o acesso ao ambiente por utilizadores não autorizados, aparentemente com privilégios legítimos.

Os casos reais mostram que este risco já não é uma preocupação teórica. Em 2025, um ciberataque a um dos maiores grupos automóveis do Reino Unido provocou uma interrupção prolongada da produção, com impacto em milhares de trabalhadores e empresas da cadeia de abastecimento. O acesso inicial terá estado associado ao comprometimento de credenciais legítimas.

Noutro caso público recente, autoridades de um país da Europa Central afirmaram ter impedido um ataque a uma infraestrutura de abastecimento de água que poderia ter afetado uma grande cidade, tendo sido identificadas credenciais predefinidas em dispositivos operacionais.

Os contextos são diferentes, mas a conclusão é semelhante: o atacante nem sempre precisa de “forçar” a entrada. Por vezes, entra através de um acesso que o próprio sistema reconhece como legítimo.

Em OT, esta questão assume uma importância particular. Muitos equipamentos permanecem em operação durante décadas e nem sempre suportam mecanismos modernos de autenticação ou podem ser atualizados com facilidade. Por isso, a segurança não pode depender apenas de reforçar cada equipamento individualmente. Em muitos casos, o controlo tem de acontecer antes de o acesso chegar ao sistema final.

É necessário garantir que cada identidade acede apenas aos recursos de que necessita, quando necessita e com o nível de privilégio adequado. Este princípio é particularmente importante nos acessos de terceiros.

Os números ajudam a perceber a dimensão do desafio. De acordo com o Dragos 8th Annual OT Cybersecurity Year in Review, avaliações recentes a ambientes OT identificaram condições inseguras de acesso remoto em 65% dos casos analisados. Por sua vez, um estudo do Ponemon Institute revelou que 39% das organizações se encontram ainda numa fase inicial de convergência entre IT e OT, dispondo de poucas ferramentas para gerir o acesso e a segurança entre ambos os ambientes.

Fabricantes, equipas de manutenção e outros prestadores externos podem necessitar de acesso remoto a sistemas críticos. O risco surge quando um acesso temporário se torna permanente, quando uma conta é partilhada ou quando uma ligação externa permite chegar a mais sistemas do que o necessário.

Controlar uma identidade significa muito mais do que validar uma palavra-passe. Significa limitar onde pode chegar, restringir as ações que pode executar e garantir visibilidade sobre a atividade realizada.

A segurança também não termina quando o acesso é autorizado. Uma identidade pode ser legítima e, ainda assim, estar comprometida. Um acesso num horário inesperado ou uma tentativa de chegar a um sistema pouco habitual podem ser sinais de alerta.

Existe ainda outra dimensão relevante: as identidades que não correspondem a pessoas. Máquinas, aplicações e serviços podem possuir elevados níveis de privilégio e, por serem menos visíveis, tornar-se um ponto cego significativo.

A identidade deve, por isso, ser vista como um eixo transversal à segurança OT. Não se trata apenas de gerir utilizadores, mas de controlar todas as identidades com capacidade para interagir com os sistemas operacionais.

Estar dentro da rede não pode ser sinónimo de acesso indiscriminado

Durante muitos anos, a cibersegurança concentrou-se sobretudo em proteger as portas dos sistemas. Hoje, é igualmente importante controlar as chaves. E essas chaves são as identidades.

Na cibersegurança industrial, a proteção das identidades assume um papel central, pois o maior risco nem sempre está no sistema a proteger, mas sim em quem consegue aceder-lhe.