Subestações de transmissão e distribuição
Cibersegurança de Subestação
Uma subestação não é um data center com transformador. É um ambiente em que cada equipamento existe para decidir, em milissegundos, se um trecho do sistema continua energizado. Comprometer esse ambiente raramente causa uma queda imediata — o efeito mais grave é o relé deixar de proteger exatamente quando precisar proteger.
É por isso que a pergunta correta não é "a subestação está isolada?". É "quem consegue escrever em um relé de proteção hoje, e quem autorizou cada acesso?"
O que existe dentro de uma subestação
Antes de proteger, é preciso nomear o que existe. Estes são os ativos que compõem a automação de uma subestação de transmissão ou distribuição.
Relé de proteção (IED)
Decide, em milissegundos, se um trecho continua energizado ou é desligado para evitar dano maior.
Criticidade máximaGateway de comunicação
Traduz e transporta os dados entre os equipamentos de campo e os centros de controle.
ComunicaçãoRede de automação IEC 61850
É o padrão de comunicação que integra os equipamentos da subestação entre si.
Rede OTEstação de engenharia
É o computador que configura ajustes, parametriza e mantém todos os equipamentos acima.
Elo mais esquecidoSistema supervisório
Consolida a operação da subestação em uma única visão para o centro de operação.
SupervisãoInfraestrutura de tempo e sincronismo
Garante que os eventos sejam registrados na ordem correta, com precisão de microssegundos.
Registro de eventosCada um desses ativos tem função distinta e criticidade distinta. Proteger todos com a mesma regra é tão errado quanto não proteger nenhum.
Por que o relé de proteção é o alvo de maior consequência
Consequência física, não apenas de dados.
Um ataque que derruba um servidor corporativo custa dinheiro e imagem. Um ataque que altera o ajuste de um relé de proteção custa a integridade física do sistema elétrico.
A diferença está no tempo. O relé não atua o tempo todo: ele fica em silêncio, observando, esperando a condição que justifica a atuação. Alterar sua parametrização não provoca nenhuma mudança visível na operação. A subestação continua energizada, os alarmes continuam normais, os indicadores do centro de operação continuam verdes.
O efeito aparece no dia em que a proteção é necessária — e ela não atua, ou atua fora do tempo, ou atua onde não deveria. Nesse momento, o que está em risco deixa de ser o dado e passa a ser o equipamento, a equipe de campo e a continuidade do fornecimento.
O papel do IEC 61850 na superfície de ataque
O IEC 61850 modernizou a automação de subestações e, ao mesmo tempo, ampliou a superfície de ataque. Ele define a comunicação entre os equipamentos por rede Ethernet — o que significa que um equipamento pode enviar comando direto a outro sem passar por um servidor intermediário.
PROTOCOLO GOOSE
Mensagens rápidas de proteção e intertravamento entre relés, com requisito de tempo na casa dos milissegundos.
PROTOCOLO MMS
Protocolo cliente-servidor usado para configuração, leitura e supervisão dos equipamentos.
PROTOCOLO SV (Sampled Values)
Transporte das amostras de corrente e tensão digitalizadas do transformador para os relés.
Os três elos da cadeia elétrica
Uma vulnerabilidade em qualquer um dos três elos alcança a operação. Tratar apenas um deles deixa os outros dois abertos.
Gateways e equipamentos de rede da subestação transportam dados entre campo e centro de controle.
Relés, controladores e sistemas de supervisão que executam a decisão sobre o sistema elétrico.
A estação de engenharia e as ferramentas que configuram os equipamentos de proteção.
Os três elos costumam ter donos diferentes dentro da empresa. É por isso que o risco costuma ficar sem dono.
Quem tem permissão de escrever no relé
Escrever em um relé de proteção não é uma operação cotidiana: é um evento de engenharia com consequência física. Ainda assim, na maioria das subestações, ninguém sabe responder com precisão quantos computadores têm essa capacidade neste momento.
Autodiagnóstico rápido desta subestação
Marque cada pergunta que você consegue responder com documento em mãos.
As respostas ficam salvas neste navegador. Nada é enviado a servidores.
Se a resposta a essas cinco perguntas não estiver documentada, ela não existe para efeito de auditoria — e não existe para efeito de defesa.
O que a REN 964 da ANEEL exige
A Resolução Normativa ANEEL nº 964, de 14 de dezembro de 2021, estabelece as diretrizes e o conteúdo mínimo das políticas de segurança cibernética dos agentes do setor de energia elétrica. Entrou em vigor em 1º de julho de 2022 e alcança concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica, além das entidades responsáveis pela operação do sistema, pela comercialização e pela gestão de encargos setoriais.
| Obrigação | Base normativa | Evidência que se espera |
|---|---|---|
| Política de segurança cibernética com conteúdo mínimo definido | Art. 4º | Documento aprovado, com cada inciso endereçado |
| Aplicar ao menos um modelo de maturidade, com periodicidade anual | Art. 4º, II | Relatório de maturidade do ciclo vigente |
| Classificar dados e informações quanto à relevância | Art. 4º, III | Inventário classificado, não apenas política textual |
| Definir responsabilidades com pessoas, áreas competentes e ponto focal para urgências | Art. 5º, IV | Matriz nominal de responsabilidades |
| Notificar a coordenação setorial os incidentes de maior impacto, com causa, impacto e mitigação, assim que houver ciência | Art. 6º e §§ | Registro de notificação com carimbo temporal |
| Manter e enviar registros de maturidade, riscos e equipes de resposta quando solicitado | Art. 9º | Trilha documental recuperável |
| Responsabilidade integral do agente pela segurança das instalações e continuidade do serviço | Art. 8º | — |
A obrigação existe e é auditável. Isso muda a natureza da conversa: segurança de subestação deixa de ser custo de TI e passa a ser conformidade regulatória.
Onde a auditoria reprova
Nas avaliações que conduzimos, os mesmos cinco pontos aparecem antes de qualquer questão técnica.
Política aprovada, inventário inexistente.
O documento cita classificação de dados e controle de acesso, mas ninguém sabe quantos IEDs existem, em que firmware, sob qual responsável.
Maturidade medida uma vez.
A norma pede periodicidade anual. Quem aplicou no primeiro ciclo e não repetiu perde a série histórica — que é justamente a prova de evolução.
Notificação tratada como comunicação de imprensa.
O Art. 6º pede análise de causa, impacto e mitigação, com ciência tempestiva. Notificar depois do fechamento, sem causa identificada, descumpre o rito.
Escopo de TI aplicado à subestação.
Firewall corporativo e patch padrão não alcançam protocolo industrial nem ativo legado sem agente. A política fica aderente no papel e inócua no pátio.
Ponto focal sem poder de decisão.
O Art. 5º pede pessoa identificada para urgências. Um contato técnico sem autonomia para acionar parada não cumpre a função.
Perguntas frequentes
Respostas curtas para as dúvidas que mais aparecem antes de uma primeira reunião técnica.
Um ataque a subestação derruba o sistema elétrico?
Não necessariamente na hora. O efeito mais grave é a proteção deixar de atuar quando solicitada.
O IEC 61850 é mais ou menos seguro que protocolos antigos?
É mais capaz e, por isso, mais exposto. A questão não é o protocolo, é o que alcança a rede onde ele opera.
Preciso trocar meus relés?
Na maioria dos casos, não. Controle de acesso, segmentação e monitoramento resolvem sem substituição de equipamento.
A REN 964 se aplica a mim?
Alcança concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica, além das entidades responsáveis pela operação do sistema, pela comercialização e pela gestão de encargos setoriais. O porte muda o escopo, não a obrigação.
Como sei minha exposição real hoje?
Pelo inventário dos caminhos que alcançam a rede de automação e pelo diagnóstico de maturidade OT.
Aplicar patch em IED exige parada obrigatoriamente?
Depende do fabricante e do arranjo. Quando a janela não existe, aplicam-se controles compensatórios documentados — e isso também precisa constar na política, porque a auditoria pergunta o que foi feito no intervalo.
A DoutorNet executa teste em subestação em operação?
Sim, com escopo desenhado para não introduzir risco operacional: janela acordada com a operação e controles compensatórios ativos durante a execução.
Quem assina este conteúdo
A DoutorNet atua em cibersegurança industrial desde 1989, com 202 projetos em 10 países. Integra o comitê da norma IEC 62443, a ABNT e o Laboratório de Cibersegurança para Sistemas Ciberfísicos do IME (LaSC).
O ajuste de proteção que ninguém alterou é o que ninguém audita.