Na planta, o patch pode até existir, mas aplicá-lo depende de uma parada que, em OT, precisa ser planejada com dias ou semanas de antecedência, ou seja, a vulnerabilidade fica aberta por mais tempo do que deveria. Enquanto a correção não chega, é a segmentação de rede industrial que define até onde um ataque consegue ir.
Em ambientes de OT é comum encontrar dispositivos legados, redes planas e poucas opções para aplicar patch. Muitos sistemas rodam versões de sistema operacional que o fabricante não atualiza mais, e parte deles não tem criptografia, registro de erros ou proteção por senha. Nem sempre sobra memória ou processamento para instalar uma ferramenta de segurança no próprio equipamento, e cada atualização precisa ser testada pelo fornecedor e pelo usuário antes de entrar em produção. Na rede plana, ou seja, sem divisões internas, um equipamento comprometido vira ponto de partida para alcançar os demais.
Nesse cenário, a segmentação funciona como controle compensatório, ou seja, reduz o risco no lugar do patch que ainda não pode ser aplicado. Se não dá para eliminar a falha agora, dá para limitar quem chega até ela.
O guia de segurança de OT do NIST (SP 800-82) recomenda uma DMZ com firewalls para impedir que o tráfego passe direto da rede corporativa para a de OT. O modelo Purdue organiza essa divisão em níveis: CLPs, RTUs, sensores e atuadores nos níveis 0 e 1; IHMs, servidores SCADA e estações de engenharia no nível 2; operações da planta, como o historiador, no nível 3; a DMZ de OT no nível 3.5; e a rede corporativa nos níveis 4 e 5.
Em uma pesquisa global de 2026 com mais de 700 profissionais de OT, 24% disseram que tanto a TI quanto a OT foram afetadas por invasões no último ano, contra 60% em 2025. É o patamar mais baixo desde 2022, ano em que o índice ficou em 21%. O relatório lê a queda como sinal provável de que a segmentação entre TI e OT está sendo implementada. Como a pesquisa não mede a segmentação diretamente, vale tratar o número como indício. E as invasões continuam: 46% relataram impacto só na TI corporativa e 30% só na OT.
A segmentação tradicional, que a CISA chama de macrossegmentação, divide a rede em blocos grandes, como produção, desenvolvimento ou a DMZ. A microssegmentação quebra esses blocos em partes menores, com regras mais granulares sobre quem pode falar com quem. Para OT, a CISA dá o exemplo de separar o ambiente de OT do de TI e permitir só o tráfego necessário para a operação. Como soluções que dependem de agente instalado podem não funcionar nesses equipamentos, a CISA indica aplicar a política na rede.
Para quem aprova o orçamento, a CISA resume a troca: segmentos finos limitam mais a movimentação lateral, mas dão mais trabalho para manter, e segmentos maiores são mais simples, mas pedem proteção extra.
Abaixo veja as quatro fases que a CISA sugere:
O relatório observa que organizações que avançaram além dos níveis básicos de visibilidade e segmentação registram menos incidentes, e de menor gravidade.
A rede segmentada viabiliza duas capacidades. A primeira é o virtual patching, uma camada que detecta e bloqueia tentativas de explorar uma vulnerabilidade conhecida sem alterar o sistema vulnerável. O OWASP lista o IPS entre as ferramentas usadas, e o relatório recomenda, para OT, assinaturas de IPS feitas para aplicações e dispositivos industriais. A ressalva do OWASP: o virtual patch só protege o tráfego inspecionado e não elimina a falha, então a correção definitiva continua no plano.
A segunda é a resposta automatizada a incidentes. O relatório recomenda que os playbooks de resposta incluam os sistemas de OT, os processos produtivos e as equipes de TI, OT e produção. E o limite vem do NIST: qualquer medida de segurança que comprometa a safety, ou seja, a segurança das pessoas e do processo, é inaceitável.
O relatório lembra que a convergência entre TI e OT exige, além de controles, a capacitação de profissionais qualificados. O NIST recomenda uma equipe multidisciplinar, com engenheiros de controle, operadores e especialistas em segurança de TI. Ou seja, segmentar uma planta depende de gente que entenda os dois lados.
Nós, da Fast Lane, oferecemos trilhas de capacitação em cibersegurança. Se você quer preparar o time da sua empresa para esse tipo de projeto, fale com um dos nossos consultores: fale conosco.
A Fast Lane é uma empresa global premiada, especializada em treinamentos em tecnologia e negócios, além de oferecer serviços de consultoria para transformação digital. Como único parceiro global dos três principais provedores de nuvem — Microsoft, AWS e Google — e parceiro de outros 30 importantes fornecedores de TI, incluindo Cisco, Aruba, VMware, Palo Alto Networks, Red Hat, entre outros, a Fast Lane oferece soluções de qualificação e serviços profissionais que podem ser escalados conforme a necessidade. Mais de 4.000 profissionais experientes da Fast Lane treinam e orientam clientes de organizações de todos os tamanhos em 90 países ao redor do mundo, nas áreas de nuvem, inteligência artificial, cibersegurança, desenvolvimento de software, redes sem fio e mobilidade, ambiente de trabalho moderno, bem como gestão de TI e projetos.
Quer saber quais treinamentos vão acontecer em breve? Consulte nosso calendário e adquira os conhecimentos com nossos experts.
