Quem opera a planta
É responsável por definir o nível de segurança alvo de cada zona e por manter a operação aderente a ele. Não precisa certificar produto: precisa provar decisão e registro.
Cibersegurança IT/OT · Norma de referência
IEC 62443
A IEC 62443 é a norma que define como se protege um sistema de automação industrial. Ela não descreve produtos: descreve um processo — quem é responsável por qual risco, como dividir a planta em zonas, e que nível de proteção cada zona exige.
É por isso que a maioria das empresas compra ferramenta antes de saber qual é o seu alvo. A norma começa pela pergunta que ninguém quer responder: qual é o risco aceitável para esta operação, e quem assina embaixo?
Este guia resume a estrutura da família de normas e não substitui a leitura do texto oficial.
01 · Papéis
O que a norma é e a quem se aplica
A mesma norma, três públicos. Cada um responde por uma parte diferente da segurança.
A IEC 62443 é uma norma internacional, com adoção no Brasil, escrita para três públicos diferentes: quem opera a planta (asset owner), quem integra os sistemas (integrator) e quem fabrica os equipamentos (product supplier). Cada um tem obrigações distintas dentro do mesmo documento.
Quem integra os sistemas
Responde pelos requisitos de segurança da integração — como os equipamentos são conectados, configurados e entregues em operação. É a camada em que a maior parte dos projetos brasileiros falha.
Quem fabrica equipamentos
Responde pelo ciclo de desenvolvimento seguro e pelas características de segurança embutidas no produto. É a camada em que o comprador não tem controle, apenas exigência contratual.
Saber em qual dos três papéis sua empresa está é o primeiro passo. Tentar cumprir os três ao mesmo tempo é o erro mais comum.
02 · Estrutura
A norma em quatro camadas
Confundir as camadas é a razão pela qual muita empresa acha que está conforme quando não está.
A IEC 62443 não é um documento único: é uma família organizada em quatro camadas. Confundir as camadas é a razão pela qual muita empresa acha que está conforme quando não está.
62443-1 — Conceitos e vocabulário
Define os termos que todo o resto usa: zona, conduto, nível de segurança, papel. Sem esse vocabulário, a discussão vira opinião.
62443-2 — O sistema de gestão do asset owner
Estabelece como a operação deve organizar o programa de segurança cibernética: política, avaliação de risco, resposta a incidente e gestão de fornecedor.
62443-3 — Zonas, condutos e avaliação de risco
É a camada mais usada na prática. Define como dividir a planta em zonas por criticidade e como avaliar o risco de cada uma antes de escolher o nível de segurança.
62443-4 — Requisitos de produto e ciclo de desenvolvimento seguro
Define o que o fabricante deve cumprir para que o produto seja considerado seguro por construção, e como o integrador deve entregar o sistema.
03 · Arquitetura
Zonas e condutos na prática
Tudo que compartilha o mesmo risco pode ficar junto. Tudo que atravessa fronteira precisa de controle.
Zona é um agrupamento de ativos com o mesmo requisito de segurança. Conduto é o caminho por onde os dados atravessam de uma zona para outra. A regra é simples: tudo que compartilha o mesmo risco pode ficar junto; tudo que atravessa fronteira precisa de controle.
Zona de emergência
Intertravamentos e parada segura. Nível alvo mais alto.
Zona de controle
CLPs, IHMs e supervisório da linha de processo.
IDMZ
Histórico, atualização e jump hosts entre os mundos.
Corporativo
E-mail, ERP e estações administrativas.
- 1Liste os ativos e agrupe por função operacional, não por local físico.
- 2Atribua a cada grupo um nível de segurança alvo, com base no impacto de parada e no risco físico.
- 3Desenhe os condutos: por onde cada grupo se comunica com os outros.
- 4Posicione o controle em cada travessia de zona — firewall industrial, bastion host ou diodo de dados.
- 5Documente e revise. Zona sem documento não existe para auditoria.
Zona definida no papel e não implementada na rede é pior do que zona inexistente: cria a falsa impressão de controle.
04 · Fronteira
O que é IDMZ e por que ela é obrigatória
A IDMZ permite a troca de dados entre os dois mundos sem que exista conexão direta entre eles.
IDMZ é a zona desmilitarizada industrial, posicionada entre a rede corporativa e a rede de controle. Ela existe para uma função específica: permitir que os dados passem entre os dois mundos sem que uma conexão direta entre eles exista.
O que fica dentro da IDMZ
Servidores de histórico, réplicas de banco de dados, servidores de atualização e jump hosts. Nunca o controlador.
O que nunca atravessa
Sessão direta da rede corporativa para a rede de controle. Todo acesso passa por um ponto intermediário auditável.
Por que a conexão direta é o problema
Um comprometimento no ambiente de escritório alcança a planta sem precisar de segunda falha.
Como isso aparece na prática
Sem IDMZ, o notebook de engenharia faz ponte entre os dois mundos todos os dias.
A IDMZ não impede o ataque. Ela impede que o ataque chegue sozinho.
05 · Níveis
Níveis de segurança (SL1 a SL4) em linguagem de negócio
Quanto mais alto o nível, maior a resistência esperada e o custo de manter o controle.
O nível de segurança não mede a qualidade do produto: mede a resistência esperada contra um tipo de atacante. Escolher o nível errado custa caro nos dois sentidos — para cima, orçamento desperdiçado; para baixo, proteção insuficiente.
| Nível | Contra quem protege | O que isso significa na prática |
|---|---|---|
| SL 1 | Atacante casual, sem motivação específica | Proteção contra erro e acesso não intencional. Não resiste a alguém determinado. |
| SL 2 | Atacante com conhecimento genérico e baixa motivação | Resiste a ataques oportunistas, comuns em ambiente industrial conectado. |
| SL 3 | Atacante com conhecimento específico do setor e recursos | Nível exigido na maior parte das infraestruturas críticas, incluindo energia. |
| SL 4 | Atacante com recursos significativos e motivação alta | Reservado para o que não pode falhar de forma alguma. Custo e complexidade elevados. |
A decisão do nível é de negócio, não de tecnologia. Quem escolhe SL 4 para tudo não tem prioridade; quem escolhe SL 1 para tudo não tem proteção.
06 · Lacunas
Os requisitos que quase ninguém implementa
Não são os mais difíceis tecnicamente: são os que ficam para depois porque não têm dono claro.
Estes são os requisitos que aparecem com mais frequência como lacuna em avaliação de aderência. Não são os mais difíceis tecnicamente: são os que ficam para depois porque não têm dono claro.
| Requisito | O que exige na prática | Por que fica para depois |
|---|---|---|
| Integridade de software | Verificação de que o software e o firmware instalados são os legítimos, antes da instalação. | Exige processo de homologação que a operação não tem. |
| Controle de acesso baseado em papel | Cada pessoa acessa apenas o que sua função exige, com registro de quem fez o quê. | Contas compartilhadas resolvem o plantão, e ninguém quer quebrar a rotina. |
| Monitoramento de uso | Detecção de comando ou configuração fora do padrão esperado, em tempo real. | Exige conhecer o protocolo da planta, não apenas a rede. |
| Resposta a incidente | Plano documentado e testado, com papel definido para cada área durante a crise. | Testar implica admitir que pode acontecer. |
| Gestão de fornecedor | Exigência contratual de requisitos de segurança do integrador e do fabricante. | O contrato é assinado por compras, não por segurança. |
| Documentação de zonas | Registro atualizado das zonas, condutos, níveis alvo e controles implementados. | Ninguém mantém documento sem auditoria que cobre por ele. |
07 · Diagnóstico
Como avaliar sua aderência sem começar pelo produto
Quatro perguntas que podem ser respondidas em uma semana, com o que a empresa já tem.
A avaliação de aderência não começa com a compra de ferramenta. Começa por quatro perguntas que podem ser respondidas em uma semana, com o que a empresa já tem.
Inventário
Existe lista de ativos com versão, responsável e localização? Sem isso, nenhuma zona pode ser definida.
Fronteiras
Está documentado por onde a rede de controle se comunica com o resto? Toda travessia precisa de controle identificado.
Propriedade
Existe nome e cargo responsáveis pelo risco cibernético de OT? Risco sem dono não gera plano.
Evidência
As decisões estão registradas de forma recuperável? Auditoria não avalia intenção, avalia registro.
09 · Dúvidas
Perguntas frequentes
As respostas curtas que costumam abrir a conversa com clientes.
Minha empresa é obrigada a seguir a IEC 62443?
A norma é referência técnica voluntária. A obrigação vem do regulador setorial — como a REN 964 da ANEEL na energia elétrica ou a Portaria 102 da ANP em óleo e gás — que costuma adotá-la como base.
Preciso certificar minha planta?
Não necessariamente. A certificação é uma escolha; a aderência é uma necessidade. A maioria das operações precisa provar aderência, não exibir certificado.
Qual a diferença entre IEC 62443 e ISO 27001?
A ISO 27001 trata da gestão de segurança da informação. A IEC 62443 trata da segurança do sistema de automação, incluindo o equipamento e o processo físico.
Por onde começar se não tenho nada documentado?
Pelo inventário de ativos e pelo mapa das fronteiras de rede. São os dois insumos que permitem definir zonas.
Quanto tempo leva para ficar aderente?
Depende do ponto de partida e do nível alvo. O diagnóstico de maturidade indica a ordem e o esforço estimado.
Próximo passo
Definir zona é fácil. Difícil é provar que ela existe.
A avaliação de aderência começa pelo inventário e pelo mapa de fronteiras. É o que mostramos no diagnóstico de maturidade OT.