Última revisão: 13 de novembro de 2026 · 52 termos
Este glossário existe para alinhar vocabulário entre operação, TI, jurídico e alta direção. As definições são curtas de propósito: cada termo aponta para a página onde o assunto é tratado em profundidade.
Fundamentos de OT
- OT (Operational Technology)
-
Conjunto de hardware e software que detecta ou causa mudanças em processos físicos — por exemplo, CLPs em uma subestação, RTUs em campo e sistemas de supervisão. Prioriza disponibilidade, segurança física e integridade do processo, não apenas confidencialidade.
- ICS (Industrial Control Systems)
-
Categoria que reúne SCADA, DCS, CLPs, RTUs, IEDs e sistemas de proteção. Em infraestrutura crítica, um incidente em ICS pode interromper o fornecimento de energia, água ou transporte.
- SCADA
-
Arquitetura que coleta dados de campo, apresenta telas de operação e permite comandar ativos remotos. É um dos alvos mais sensíveis de um ataque cibernético contra utilities.
- CLP / PLC
-
Equipamento industrial que lê entradas, executa lógica e aciona saídas. Muitas versões antigas não têm autenticação nem criptografia, o que exige compensações de arquitetura.
- RTU
-
Dispositivo instalado em estações remotas para aquisição de dados e controle. Costuma usar protocolos legados e links de comunicação de longa distância.
- IED
-
Equipamento que protege e automatiza a rede elétrica, como relés de proteção. Fala protocolos como IEC 61850 e exige gestão rigorosa de configuração e firmware.
- HMI
-
Tela ou estação que permite visualizar e operar o processo. HMIs antigos com sistemas operacionais sem suporte são vetores recorrentes.
- DCS
-
Arquitetura integrada de controle usada em plantas de processo, como refinarias e saneamento. Mistura redes proprietárias e componentes de longa vida útil.
Arquitetura e segmentação
- Modelo Purdue
-
Divide a automação em níveis, do processo físico (0) ao corporativo (4–5). Serve para definir fronteiras, zonas e onde inserir controles de segurança sem afetar a operação.
- Zona
-
Na IEC 62443, zona é um conjunto de ativos lógicos ou físicos que compartilham requisitos de segurança. A segmentação por zona reduz o movimento lateral.
- Conduíte
-
Canal pelo qual o tráfego atravessa uma fronteira de zona. Deve ser controlado, monitorado e documentado, com regras explícitas por protocolo e direção.
- DMZ OT/IT
-
Evita conexão direta entre OT e IT. Concentra servidores de histórico, replicação e acesso remoto, com regras de firewall e inspeção.
- Segmentação de rede
-
Separa ativos por criticidade e função, limitando a propagação de um incidente. Exige inventário, mapa de fluxos e validação com a operação.
- Air gap
-
Separação física que impede comunicação direta. Na prática, exige controle rigoroso de mídias removíveis e manutenção, pois o isolamento raramente é absoluto.
- Zero Trust
-
Não confia implicitamente em nenhuma rede ou usuário. Em OT, deve ser adaptado para não quebrar determinismo, latência e disponibilidade do processo.
- Microssegmentação
-
Aplica políticas por ativo ou grupo pequeno, reduzindo superfície de ataque. Em OT, precisa considerar protocolos industriais e equipamentos sem agente.
Protocolos industriais
- Modbus
-
Amplamente usado em CLPs e medidores. Não oferece autenticação nem criptografia; a proteção depende de segmentação, allowlist e monitoramento.
- DNP3
-
Projetado para telemetria e controle remoto. A versão segura (DNP3 Secure Authentication) nem sempre está habilitada em campo.
- IEC 61850
-
Define modelos de dados e serviços para automação de subestações. Exige atenção a GOOSE, SV e MMS, além de segregação de redes de processo e estação.
- OPC UA
-
Oferece autenticação, criptografia e modelagem de informação. A configuração de certificados e políticas de segurança é tão importante quanto o protocolo.
- Profinet / Profibus
-
Comuns em manufatura e automação. A maioria das instalações não tem segurança nativa, o que reforça a necessidade de segmentação física e lógica.
- GOOSE
-
Usado para troca de sinais críticos entre IEDs com requisitos de tempo real. Não deve trafegar fora da rede de processo.
Normas e regulação
- IEC 62443
-
Estabelece requisitos para sistemas, componentes e processos. Define zonas, conduítes e níveis de segurança (SL1 a SL4) conforme o risco.
- Níveis de segurança (SL1–SL4)
-
SL1 protege contra ameaças casuais; SL4 contra adversários com recursos avançados. O nível-alvo deve derivar da análise de risco, não de marketing.
- NIST CSF
-
Identificar, Proteger, Detectar, Responder e Recuperar. Útil para estruturar programas e comunicar maturidade à alta direção.
- NERC-CIP
-
Aplica-se a entidades registradas na NERC. No Brasil, serve como referência técnica, mas não substitui ANEEL, ONS e a legislação nacional.
- ANEEL
-
Edita resoluções com requisitos de segurança da informação para agentes do setor. O escopo e os prazos variam conforme o tipo de agente e a norma vigente.
- ONS
-
Publica procedimentos de rede, incluindo submódulos de segurança cibernética que alcançam agentes conectados ao SIN.
- IN GSI/PR 7/2022
-
Define requisitos para órgãos do SISP, incluindo notificação de incidentes ao CTIR Gov em até 72 horas. Não é uma lei geral aplicável a toda empresa.
- PL 4752/2025
-
Propõe obrigações para agentes relevantes e estrutura de governança. Não é lei vigente; não deve ser citado como obrigação atual.
- PNCiber
-
Instituída pelo Decreto 11.856/2023. Define diretrizes e governança federal para cibersegurança no Brasil.
- CI Fortify
-
Conjunto de recomendações de CISA, ASD ACSC e FBI para reduzir exposição de sistemas essenciais a ataques cibernéticos.
Defesa e operação
- SOC
-
Equipe e processo que monitoram, detectam e respondem a incidentes. Um SOC OT precisa entender protocolos industriais e o impacto operacional de cada ação.
- SIEM
-
Coleta logs de diferentes fontes e gera alertas. Em OT, a coleta deve ser passiva para não afetar equipamentos sensíveis.
- SOAR
-
Automatiza tarefas de triagem e contenção. Em OT, automações precisam de aprovação humana quando podem afetar o processo.
- EDR / XDR
-
Soluções que monitoram comportamento e permitem contenção. Muitos ativos OT não suportam agente, exigindo detecção de rede.
- MTTD
-
Métrica que mede a eficiência da detecção. Depende de cobertura de logs, casos de uso e treinamento da equipe.
- MTTR
-
Em OT, o MTTR não pode ser medido apenas em horas: é preciso considerar impacto operacional, segurança física e continuidade do serviço.
- Backup imutável
-
Protege contra ransomware que tenta destruir backups. Só é útil se a restauração for testada periodicamente.
- Pentest OT
-
Prioriza validação segura, com janelas e rollback, evitando varreduras agressivas que podem derrubar CLPs e RTUs.
- Purple team
-
Exercícios que testam se os controles detectam técnicas reais. Em OT, exigem planejamento com a operação.
- MITRE ATT&CK for ICS
-
Ajuda a estruturar casos de uso de detecção e avaliar cobertura. É referência técnica, não certificação.
Governo e dados
- CTIR Gov
-
Recebe notificações de incidentes de órgãos do SISP e coordena resposta no âmbito federal. O canal e o formulário oficiais devem ser confirmados antes de uma crise.
- LGPD
-
Lei 13.709/2018. Aplica-se ao setor público e a empresas, com obrigações de base legal, segurança, transparência e resposta a incidentes.
- ANPD
-
Regula e fiscaliza a LGPD. Incidentes com risco relevante podem exigir comunicação à ANPD e aos titulares.
- DPO / Encarregado
-
No setor público, o encarregado precisa ter canal publicado e processo para responder solicitações e incidentes.
- Lei 14.133/2021
-
Disciplina contratações públicas. Serviços de cibersegurança exigem termo de referência com escopo, evidências, SLA e critérios de qualificação.
- Termo de referência
-
Deve descrever escopo, entregáveis, metodologia, equipe, prazos, SLA, segurança da informação e forma de medição — não apenas “prestação de serviços de TI”.
- Shadow AI
-
Engenheiros e analistas colam dados sensíveis em assistentes externos sem controle. Exige política, DLP e trilha de auditoria.
- DLP
-
Conjunto de controles que identifica e bloqueia saída de informação sensível. Em engenharia, precisa reconhecer diagramas, parâmetros e especificações.
- ISO/IEC 42001
-
Estrutura governança de IA com políticas, riscos, controles e melhoria contínua. Complementa a LGPD e normas setoriais.
- NIST AI RMF
-
Organiza funções de governar, mapear, medir e gerenciar riscos de IA. Útil para programas de governança em ambientes críticos.