Última revisão: 13 de novembro de 2026
Como ler estes casos
Cada caso segue a mesma estrutura: contexto, desafio, abordagem, resultados e aprendizado. O objetivo não é “mostrar logo”, e sim permitir que você compare o seu problema com um problema parecido e avalie se a abordagem faz sentido para a sua operação.
Energia · Transmissão · Sudeste
Segmentação OT em 18 subestações
Uma utility de transmissão operava com rede plana entre subestações e centros de controle. O projeto criou zonas e conduítes, DMZ OT/IT e regras por protocolo sem interromper a operação.
Contexto
Tráfego Modbus e DNP3 circulava entre níveis sem DMZ formal. Não havia inventário confiável de ativos e as regras de firewall eram permissivas. A operação não podia parar para “redesenhar a rede”.
Desafio
- Segmentar sem causar indisponibilidade em subestações críticas.
- Descobrir ativos e fluxos reais antes de bloquear.
- Conciliar times de OT, TI e fornecedores de automação.
Abordagem
- Inventário passivo e validação com os times de operação.
- Desenho de zonas e conduítes com critérios de criticidade.
- Implantação de DMZ OT/IT e firewall industrial em janelas controladas.
- ACLs por protocolo, logging e plano de rollback por subestação.
- Testes de conectividade e relatório de evidências por site.
Resultados
- 18 subestações segmentadas em 90 dias.
- 100% do tráfego crítico mapeado e classificado.
- Regras de allowlist documentadas e testadas.
- Zero indisponibilidade não planejada durante as janelas.
O que aprendemos
O maior risco não foi técnico: foi a mudança de processo. Janelas curtas, rollback claro e validação com o operador reduziram a resistência e evitaram paradas.
Energia · Distribuição · Sul
Ransomware no centro de controle
Um incidente de ransomware atingiu estações de trabalho e servidores do centro de controle. A prioridade foi conter, preservar evidências e restaurar a telemetria com segurança.
Contexto
32 RTUs ficaram offline e a telemetria crítica foi perdida. O ambiente tinha backups, mas a restauração nunca havia sido testada em cenário de crise.
Desafio
- Conter sem destruir logs e artefatos forenses.
- Restaurar a telemetria sem reintroduzir o vetor.
- Coordenar operação, TI, jurídico e comunicação.
Abordagem
- Isolamento defensivo de segmentos e bloqueio de acesso remoto.
- Coleta forense de RTUs, estações e servidores.
- Restore de backups imutáveis em ambiente isolado.
- Validação de credenciais e integridade antes de reconectar.
- Comunicação institucional com apoio jurídico.
Resultados
- Contenção e recuperação coordenadas em 4 horas.
- 32 RTUs analisados e 32 dispositivos recuperados.
- Telemetria restabelecida sem perda de carga.
- Trilha de evidências preservada para investigação.
O que aprendemos
Backup sem teste é esperança, não plano. A existência de um contato nominal e de um playbook de isolamento reduziu o tempo de decisão.
Energia · Transmissão · Operação internacional
Conformidade NERC-CIP e evidências auditáveis
Uma utility com operação internacional precisava fechar 14 controles NERC-CIP e organizar evidências para auditoria, sem transformar o projeto em uma fábrica de documentos.
Contexto
Controles estavam documentados em planilhas dispersas, sem dono claro e sem evidência contínua. A auditoria se aproximava e a equipe não sabia o que estava realmente implementado.
Abordagem
- Mapa requisito → controle → evidência → responsável.
- Priorização por risco e lacuna de conformidade.
- Implantação assistida de controles técnicos e processuais.
- Coleta automatizada de evidências e revisão de consistência.
- Simulação de auditoria com amostragem.
Resultados
- 14 controles implementados e documentados.
- Evidências rastreáveis por controle e por ativo.
- Auditoria aprovada em 120 dias.
- Rotina de manutenção de evidências estabelecida.
O que aprendemos
Conformidade não é um PDF no fim do projeto. É um processo contínuo com dono, rotina e evidência. O time que coleta evidência todo mês não corre atrás do prejuízo na auditoria.
Setor público · Federal · Brasília
Diagnóstico de maturidade e plano de 16 semanas
Um órgão público federal precisava priorizar investimentos em segurança sem conhecer o próprio nível de maturidade. O diagnóstico gerou um plano executável e um fluxo de notificação ao CTIR Gov.
Contexto
Sem inventário consolidado e com iniciativas isoladas, o órgão não conseguia justificar orçamento nem medir progresso. A alta direção pedia clareza, não mais um relatório técnico.
Abordagem
- Diagnóstico em 10 dimensões com entrevistas e evidências.
- Priorização por risco, esforço e dependência.
- Plano de 16 semanas com donos e marcos.
- Estruturação do fluxo CTIR Gov e de contatos nominais.
- Reavaliação com a mesma metodologia.
Resultados
- Score inicial de 42/100; 78/100 na reavaliação.
- Plano priorizado com 12 iniciativas.
- Fluxo de notificação em 72h documentado.
- Relatório executivo para a alta direção.
O que aprendemos
O patrocinador certo vale mais que a ferramenta mais cara. Quando a linguagem é risco e continuidade — não “controle X” — o orçamento anda.
Saneamento · Sudeste
SOC industrial para 50 ativos OT
Uma companhia de saneamento não tinha visibilidade sobre o tráfego industrial. O projeto implantou coleta, correlação e um mínimo viável de detecção para 50 ativos.
Contexto
Sem inventário de protocolos e sem logs centralizados, qualquer investigação dependia de visitas de campo. A equipe de TI não tinha contexto para interpretar tráfego industrial.
Abordagem
- Descoberta passiva de ativos e protocolos.
- Coleta de tráfego e logs em pontos estratégicos.
- Normalização e dashboards por zona.
- 12 casos de uso de detecção priorizados.
- Runbook de triagem e escalada para OT.
Resultados
- 50 ativos OT com visibilidade contínua.
- 12 casos de uso de detecção em operação.
- Dashboards por zona e por criticidade.
- Triage documentada para o time de plantão.
O que aprendemos
Começar com 50 ativos e 12 casos de uso funciona melhor do que tentar cobrir toda a planta no primeiro mês. Visibilidade incremental gera confiança e orçamento.
Energia · Nacional · Engenharia
Governança de IA em dados de engenharia
Times de engenharia usavam assistentes de IA com diagramas unifilares e parâmetros de proteção. O projeto criou política, DLP e auditoria para uso seguro sem bloquear produtividade.
Contexto
Engenheiros colavam trechos de projetos em ferramentas externas para ganhar velocidade. Não havia política de uso, classificação de dados nem visibilidade sobre Shadow AI.
Abordagem
- Classificação de dados de engenharia e casos de uso permitidos.
- DLP para padrões de diagramas, parâmetros e especificações.
- Política de IA e trilha de auditoria WORM.
- Piloto em 3 áreas com métricas de adoção e bloqueios.
- Treinamento e canal de exceção com aprovação.
Resultados
- Política de IA publicada e comunicada.
- DLP e auditoria em operação no piloto.
- 3 áreas com fluxo de exceção aprovado.
- Visibilidade sobre uso de IA por ferramenta e usuário.
O que aprendemos
Proibir não funciona. O programa precisa oferecer um caminho aprovado, treinar as pessoas e medir o que está sendo usado — inclusive o que não deveria.
O que medimos
| Métrica | Definição | Fonte |
|---|---|---|
| Cobertura de ativos | Percentual de ativos críticos inventariados e monitorados | Inventário + coleta |
| Tempo de contenção | Tempo entre a confirmação e o isolamento do escopo afetado | Linha do tempo do incidente |
| Controles com evidência | Controles com evidência válida, testada e rastreável | Matriz de conformidade |
| Maturidade | Score de 0–100 na metodologia de diagnóstico | Diagnóstico e reavaliação |
| Casos de uso em operação | Regras de detecção com responsável e runbook | SOC/playbooks |
O que não divulgamos
- Nomes, logotipos e marcas de clientes sem autorização escrita.
- Diagramas de rede, endereçamento IP e topologias que permitam identificação.
- Vulnerabilidades exploráveis, credenciais e detalhes de configuração.
- Dados pessoais de colaboradores e informações comerciais sensíveis.
- Métricas que não possam ser reproduzidas ou contextualizadas.
Temas recorrentes nos projetos
“O que atacar primeiro?” é a pergunta mais comum. Um plano priorizado vale mais que uma lista de ferramentas.
Segurança que para a planta não é segurança. Janelas, rollback e validação com operação são parte do projeto.
Auditoria não se resolve na véspera. Rotina de evidência contínua reduz estresse e retrabalho.
Perguntas frequentes sobre os casos
Por que os clientes não são identificados?
Os casos são reais ou ilustrativos?
Como vocês provam os resultados?
Vocês atendem órgãos públicos?
Podemos usar o logo da sua empresa em uma proposta?
Como um caso do meu setor pode ser publicado?
Lições aprendidas
- Segmentação sem inventário é chute; inventário sem operação é planilha.
- Backup imutável precisa de teste de restauração, não só de configuração.
- Conformidade deve ser rotina, não projeto de última hora.
- Patrocínio executivo é tão importante quanto controle técnico.
- Visibilidade incremental funciona melhor que “big bang”.
- Governança de IA precisa de caminho aprovado, não só bloqueio.