Última revisão: 13 de novembro de 2026
Em uma frase: segurança SCADA/ICS é o conjunto de controles que reduz a chance de alguém parar, manipular ou espionar sua operação industrial — sem inviabilizar a operação. O trabalho começa por visibilidade, passa por arquitetura e acesso e termina em evidência auditável.
Para quem é: utilities, indústrias, saneamento, óleo e gás e operadores de infraestrutura crítica que precisam proteger PLCs, RTUs, IEDs, HMIs, historadores e redes industriais — com equipe própria pequena ou sem especialização em OT.
1. Sinais de que a operação precisa de ajuda
- Rede industrial plana, sem separação clara entre chão de fábrica, DMZ e corporativo.
- Acesso remoto de fornecedores sem inventário, aprovação ou registro de sessão.
- Equipamentos sem suporte, senhas padrão e estações de engenharia compartilhadas.
- Desconhecimento de quais ativos conversam com a internet ou com a rede corporativa.
- Backup de configuração de PLC/RTU inexistente ou nunca testado.
- Auditoria ou cliente exigindo evidência de conformidade com IEC 62443, ANEEL ou ONS.
- Incidente recente sem causa raiz concluída ou sem plano de ação executado.
2. O que está incluído
| Frente | O que fazemos | Resultado |
|---|---|---|
| Inventário e descoberta | Coleta passiva, conciliação com documentação e classificação por criticidade | Mapa confiável de ativos e comunicações |
| Arquitetura | Revisão do modelo Purdue, zonas e conduítes, DMZ OT/IT e fluxos permitidos | Desenho de segmentação executável |
| Hardening | Revisão de configuração de PLCs, RTUs, IEDs, HMIs, switches e servidores | Redução de superfície de ataque |
| Acesso remoto | Fluxo de aprovação, MFA, jump host, gravação de sessão e revogação | Acesso de terceiros sob controle |
| Detecção | Fontes de log, regras para protocolos industriais e casos de uso prioritários | Visibilidade de comportamento anômalo |
| Conformidade | Matriz de lacunas IEC 62443, ANEEL ou ONS, com evidências | Dossiê verificável por auditoria |
| Teste controlado | Teste de intrusão em OT com janela aprovada e foco em impacto operacional | Riscos reais validados, não teóricos |
3. Como trabalhamos
- Alinhamento e autorização: definimos escopo, janelas, contatos, regras de engajamento e critérios de parada. Nada é testado sem autorização formal.
- Descoberta: combinamos entrevistas, documentação e coleta passiva. Evitamos varredura ativa em produção sem análise de risco.
- Análise: cruzamos arquitetura, configuração, acessos e processos para identificar caminhos de ataque e lacunas de controle.
- Plano de ação: priorizamos por risco e esforço, com dependências, responsáveis e critérios de aceite.
- Execução assistida: apoiamos a implementação dos controles críticos e a produção de evidências.
- Validação: testamos o que foi implantado e registramos o resultado para auditoria.
4. Entregáveis
- Relatório executivo com riscos priorizados e impacto operacional.
- Inventário técnico e mapa de arquitetura e comunicações.
- Matriz de lacunas com referência ao framework aplicável.
- Plano de segmentação com regras e sequência de implantação.
- Plano de ação com esforço, dependências e responsáveis.
- Apresentação para alta direção e área técnica.
- Dossiê de evidências para auditoria, quando contratado.
5. O que não está incluído
- Obras civis, cabeamento, aquisição de equipamentos e licenciamento de produtos.
- Operação contínua de SOC fora do escopo de monitoramento contratado.
- Testes destrutivos ou que interrompam a operação sem janela e aprovação formal.
- Garantia de conformidade regulatória: entregamos evidência e método, não um selo automático.
Essas exclusões existem para evitar a expectativa de que um projeto de consultoria resolve tudo. Segurança OT é um programa contínuo, não um evento único.
6. Modelos de engajamento
| Modelo | Duração típica | Indicado para |
|---|---|---|
| Diagnóstico OT | 2–4 semanas | Clareza sobre maturidade, riscos e prioridades antes de investir |
| Programa de adequação | 8–16 semanas | Implementar segmentação, acesso, hardening e evidências |
| Retainer técnico | 12 meses | Evolução contínua, revisões e apoio a incidentes |
Escopo, prazo e investimento são definidos após uma conversa de qualificação e o levantamento inicial. Não vendemos pacote fechado sem entender a operação.
Perguntas frequentes
Vocês fazem varredura ativa na rede industrial?
Somente quando há autorização formal, análise de risco e janela aprovada. Em muitos ambientes, a coleta passiva é suficiente para iniciar. Varredura ativa em protocolos industriais pode afetar controladores e comunicação.
Preciso parar a operação para o diagnóstico?
Na maioria dos casos, não. O diagnóstico combina entrevistas, documentação e coleta passiva. Testes que possam impactar a operação são planejados separadamente, com janela e critérios de parada.
Qual a diferença entre segurança OT e segurança de TI?
Em OT, disponibilidade e segurança física pesam mais que confidencialidade em muitos cenários. Protocolos, equipamentos e ciclos de vida são diferentes. Copiar controles de TI sem adaptação pode parar a operação.
Vocês emitem certificação IEC 62443?
Apoiamos a adequação e a produção de evidências. Certificação é emitida por organismos certificadores. Se o objetivo for certificar, ajudamos a preparar o escopo e a documentação, mas não substituímos o certificador.
Como lidam com equipamentos sem suporte?
Com compensação: isolamento, restrição de acesso, monitoramento, backup de configuração e plano de substituição. Não existe “atualizar” um equipamento que o fabricante não suporta; existe reduzir a exposição até a troca.
Atendem remoto ou presencial?
Os dois modelos, conforme escopo. Coleta e entrevistas podem ser remotas; atividades que exigem acesso físico ou janela de campo são planejadas com a equipe local.
Escopo, prazos e entregáveis são confirmados em proposta após qualificação. Este conteúdo descreve o serviço e não substitui uma avaliação técnica da sua instalação.
Como citar esta página
SeniorFlow. Segurança SCADA/ICS. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/servicos/seguranca-scada-ics
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.