Cibersegurança industrial: zero trust em redes OT de fábricas portuguesas

Em 2024, o CERT.PT registou 2.758 incidentes de cibersegurança em Portugal — um aumento de 36% face ao ano anterior, com cerca de 78% a ocorrer em entidades privadas (CNCS, 2024). Uma parte crescente desses incidentes não entrou pela porta do escritório: entrou pelo PLC da linha de corte, pelo SCADA do forno de acabamentos ou pelo terminal de pesagem no armazém. A tese é direta — Zero Trust não é uma filosofia de TI corporativa adaptada à fábrica. É a única arquitetura que funciona quando a rede OT tem equipamentos com 15 anos de firmware sem patch, protocolos industriais sem autenticação nativa e um air gap que deixou de existir há muito. E o erro que vemos repetido em fábrica após fábrica não é falta de orçamento nem falta de vontade: é começar pela segmentação completa da rede quando o vector de ataque mais ativo — o acesso remoto de fornecedores — podia ser controlado em seis semanas, por uma fracção do custo.

O fim do air gap como defesa

A convergência IT/OT que ninguém planeou

Durante décadas, a segurança industrial portuguesa assentou numa premissa simples: a rede de produção estava fisicamente separada da rede de escritório. O PLC da linha de tricotagem em Guimarães não falava com o servidor de e-mail. O SCADA da injectora de plástico em Marinha Grande não tinha acesso à internet. Essa separação — o chamado air gap — era real e funcionava.

Deixou de funcionar quando as fábricas ligaram os equipamentos ao ERP para alimentar dashboards de produção em tempo real. Quando os técnicos de manutenção passaram a aceder remotamente aos PLCs por VPN. Quando os fornecedores de máquinas exigiram conectividade para monitorização preditiva. Quando o KORA Productivity passou a recolher dados de OEE diretamente dos terminais industriais. A convergência IT/OT aconteceu de forma incremental, projecto a projecto, sem uma arquitetura de segurança que a acompanhasse.

O momento exato em que o air gap morreu raramente está documentado. Numa fábrica têxtil do Vale do Ave, foi quando o responsável de manutenção pediu ao fornecedor da máquina de tricotagem para "ver uns parâmetros à distância" e o fornecedor instalou um cliente de acesso remoto num portátil que ficou ligado ao switch da linha. Ninguém registou. Ninguém revogou o acesso quando o projecto terminou. Esse acesso ainda existe hoje — em mais fábricas do que qualquer diretor de operações quer admitir.

O air gap morreu quando o primeiro técnico de manutenção ligou um portátil pessoal ao switch da linha para "ver uns logs". Aconteceu em todas as fábricas. Ninguém registou o momento.

O que a NIS2 muda para a indústria portuguesa

A Diretiva NIS2 (Diretiva (UE) 2022/2555), transposta em Portugal pelo Decreto-Lei n.º 125/2025, alarga as obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, incluindo a indústria transformadora. Uma empresa têxtil do Vale do Ave com mais de 50 colaboradores e volume de negócios acima de 10 milhões de euros pode já estar no âmbito da diretiva. As obrigações incluem gestão de risco, continuidade de negócio, segurança da cadeia de abastecimento e notificação de incidentes em 24 horas.

O artigo NIS2 na fábrica portuguesa: do diagnóstico ao plano técnico detalha o processo de avaliação de âmbito. O que importa aqui: a NIS2 exige controlos técnicos sobre redes OT que o modelo de segurança perimetral tradicional não consegue demonstrar. Zero Trust é a resposta arquitectural — e a documentação que produz é simultaneamente o relatório de conformidade.

O perfil de ameaça específico das PME industriais portuguesas

O Verizon DBIR 2025 documenta que o ransomware esteve presente em 88% das violações de dados em pequenas e médias empresas, contra 39% nas grandes organizações. As PME são o alvo desproporcionado: têm ativos valiosos — propriedade industrial, carteiras de clientes internacionais, dados de produção — mas investimento em segurança muito inferior ao das grandes empresas. Uma fábrica de calçado em Felgueiras com compradores alemães e escandinavos tem dados que interessam a actores de ameaça. Não é paranoia; é o perfil documentado.

Na prática industrial portuguesa, os vectores de ataque mais comuns nas redes OT são o acesso remoto de fornecedores de máquinas sem MFA e sem segmentação de sessão, equipamentos com firmware desactualizado que não suportam agentes de segurança modernos, protocolos industriais legados (Modbus, Profibus, OPC-DA) sem autenticação nem cifragem, movimentação lateral desde a rede IT (e-mail comprometido → ERP → rede OT), e dispositivos USB introduzidos por operadores ou técnicos externos. Destes cinco, o primeiro é o mais explorado e o mais rápido de controlar. É por aí que se começa.

Arquitetura Zero Trust em contexto OT: o que é diferente

Os três princípios e o que significam numa linha de produção

Zero Trust assenta em três princípios: verificar explicitamente, usar acesso de mínimo privilégio, assumir violação. No contexto de TI corporativa, estes princípios traduzem-se em MFA, políticas de acesso condicional e microsegmentação de rede. No contexto OT, a aplicação é mais complexa — e é aqui que a maioria dos projectos falha.

Verificar explicitamente numa rede OT significa autenticar não só utilizadores mas também dispositivos. Um PLC Siemens S7-1500 tem identidade de dispositivo; um sensor de temperatura analógico dos anos 90 não tem. A arquitetura tem de acomodar ambos — o que implica estratégias diferentes para cada categoria, não uma política única aplicada de forma uniforme.

Mínimo privilégio significa que o técnico de manutenção que acede remotamente ao SCADA da linha 3 não deve conseguir ver a linha 7 nem os dados de qualidade. Significa que o ERP que lê dados de produção não deve conseguir escrever parâmetros de máquina. Cada fluxo de dados tem de ser autorizado explicitamente — e a lista de fluxos legítimos numa fábrica média é mais curta do que parece quando se faz o exercício de a documentar.

Assumir violação é o princípio mais difícil de vender internamente, porque implica admitir que a arquitetura é desenhada para conter o impacto de um compromisso — não apenas para o prevenir. Numa fábrica, isto traduz-se em segmentação por célula de produção, deteção de anomalias de tráfego e planos de continuidade que permitem isolar uma linha sem parar a fábrica inteira. É uma mudança de mentalidade, não apenas de tecnologia.

O Modelo Purdue e a sua limitação atual

O modelo de referência para arquitetura de redes industriais é o Modelo Purdue (ISA-99/IEC 62443). Define cinco níveis — do sensor/actuador (nível 0) ao ERP e sistemas de gestão (nível 4/5) — com zonas de segurança entre eles. Durante anos foi o standard de facto, e continua a ser o vocabulário comum entre engenheiros de automação e especialistas de segurança.

O problema é estrutural: o Modelo Purdue foi desenhado para um mundo com air gap. Quando existe conectividade entre níveis — e hoje existe sempre — o modelo perimetral que lhe está associado é insuficiente. Zero Trust não substitui o Modelo Purdue; complementa-o, adicionando verificação contínua dentro de cada zona e nos fluxos entre zonas. Quem tenta escolher entre os dois está a fazer a pergunta errada.

Componentes técnicos de uma arquitetura Zero Trust OT

A ordem abaixo é também a sequência de implementação recomendada. Não é arbitrária: cada fase reduz o risco e cria a base técnica para a seguinte.

1. Inventário e classificação de ativos OT: identificar todos os dispositivos na rede industrial, o seu firmware, protocolos e criticidade. Sem inventário completo, não há Zero Trust — há ilusão de Zero Trust.
2. Segmentação de rede por zonas e conduits (IEC 62443): separar fisicamente ou logicamente (VLANs + firewalls industriais) as células de produção, a rede de supervisão (SCADA/HMI) e a rede IT. Cada fronteira tem um ponto de controlo explícito.
3. Identity and Access Management (IAM) para OT: autenticação forte para todos os acessos humanos (MFA), incluindo acessos remotos de fornecedores. Privileged Access Management (PAM) para contas de administração de sistemas de controlo.
4. Microsegmentação e controlo de fluxos este-oeste: dentro de cada zona, limitar a comunicação entre dispositivos ao estritamente necessário. Um HMI que comunica com três PLCs não deve conseguir comunicar com os restantes doze.
5. Monitorização passiva de tráfego OT: ferramentas de deteção de anomalias específicas para protocolos industriais (Claroty, Dragos, Nozomi Networks). Passiva porque ativos de inspecção podem interferir com equipamentos críticos em operação.
6. Gestão de acesso remoto seguro: substituir VPNs genéricas por soluções de acesso remoto OT-aware com gravação de sessão, autorização por sessão e expiração automática.
7. Patch management e gestão de vulnerabilidades: inventário de CVEs aplicáveis, plano de mitigação compensatória para equipamentos sem patch possível — isolamento, monitorização reforçada, whitelist de comunicações.

Opções técnicas reais: comparação de abordagens

Segmentação física vs. lógica vs. software-defined

Plataformas de deteção OT: o que avaliar

A monitorização passiva de tráfego OT é o componente que mais frequentemente falta nas fábricas portuguesas — e o que mais rapidamente detecta movimentação lateral após um compromisso. As principais plataformas (Claroty, Dragos, Nozomi Networks, Microsoft Defender for IoT) diferem em três dimensões críticas para o contexto industrial português.

A primeira é a cobertura de protocolos: suporte a Modbus, Profinet, EtherNet/IP, OPC-UA, BACnet. Equipamentos antigos em fábricas têxteis do Vale do Ave usam frequentemente Modbus RTU sobre RS-485 — verifique o suporte antes de iniciar qualquer avaliação formal, porque descobrir a lacuna depois da compra é um problema sem solução rápida. A segunda é o modelo de deployment: on-premises versus cloud. Muitas fábricas com redes OT sensíveis preferem on-premises por política interna ou por requisito do cliente — marcas internacionais de vestuário e calçado com auditorias de segurança da cadeia de abastecimento exigem frequentemente que os dados de produção não saiam do perímetro. A terceira é a integração com SIEM/SOC: a plataforma tem de exportar alertas para o SIEM corporativo ou para o SOC do parceiro de segurança. Uma ferramenta OT isolada que não integra com a operação de segurança IT não é uma solução — é um ponto cego com ecrã.

Matriz de decisão: que abordagem para que dimensão de fábrica

O que funciona na prática

Padrão 1: começar pelo acesso remoto, não pela segmentação completa

O erro mais comum que vemos em fábricas portuguesas é tentar implementar Zero Trust "de uma vez" — redesenhar toda a rede OT num projecto de 18 meses que nunca arranca porque o orçamento não passa na reunião de Outubro e volta à mesa em Março já com outro enquadramento. O padrão que funciona é diferente: começar pelo acesso remoto de fornecedores e técnicos externos, que é o vector de ataque mais crítico e o mais rápido de controlar.

Uma fábrica de injecção plástica na região de Aveiro/Marinha Grande pode, numa primeira fase, implementar apenas a substituição das VPNs genéricas por uma solução de acesso remoto OT-aware — Claroty xDome Remote Access, Zscaler Private Access for OT, ou equivalente — com MFA obrigatório, gravação de sessão e autorização por sessão com expiração automática. Esta fase implementa-se em 6 a 8 semanas, não interfere com a produção e elimina o vector de ataque mais explorado em PME industriais. A segmentação de rede vem na fase seguinte, com a operação já mais segura e a direção já com evidência de que o projecto avança.

Padrão 2: o inventário como projecto autónomo

Nenhuma fábrica portuguesa com mais de 10 anos de atividade tem um inventário completo e atualizado dos seus ativos OT. Não é uma crítica — é um facto operacional. Os equipamentos acumulam-se, os switches crescem, os PLCs são substituídos sem registo formal, e o engenheiro que sabia de cor a topologia da linha 2 saiu há três anos. Antes de qualquer arquitetura Zero Trust, o inventário tem de ser feito — e pode ser feito de forma não-intrusiva com ferramentas de descoberta passiva que não perturbam a produção.

O resultado do inventário surpreende sempre. É comum encontrar dispositivos com acesso à rede que ninguém sabia que existiam, equipamentos com credenciais de fábrica (admin/admin), e protocolos de gestão abertos — Telnet, SNMPv1 — em equipamentos que se julgavam "seguros" por estarem "na rede de produção". Há um detalhe que os manuais raramente referem: em fábricas com múltiplas remodelações de linha ao longo de anos, é frequente encontrar switches não geridos em cascata que criam caminhos de rede invisíveis para qualquer ferramenta de monitorização que não faça descoberta ativa. Esses caminhos são exatamente onde a movimentação lateral acontece sem ser detetada. Este inventário é também o ponto de partida para o relatório de conformidade NIS2 — ver Infraestrutura de TI industrial: guia para diretores de operações.

Padrão 3: separar a rede de dados de produção da rede de controlo

Numa fábrica têxtil típica do Vale do Ave com recolha de dados de produção em tempo real, existe frequentemente uma confusão arquitectural que nenhum projecto de ERP resolveu: os terminais de recolha de dados que alimentam o KORA Productivity partilham a mesma rede que os PLCs e os sistemas de controlo. Isto significa que uma vulnerabilidade no terminal de dados — que tem acesso à internet para sincronização com o ERP — pode ser usada como ponto de entrada para a rede de controlo. Não é uma vulnerabilidade teórica; é a topologia real da maioria das fábricas que fizeram a transição para recolha de dados em tempo real sem rever a arquitetura de rede.

A separação é conceptualmente simples: rede de dados de produção (terminais, leitores de código de barras, balanças, impressoras) numa VLAN; rede de controlo (PLCs, HMIs, SCADA) noutra VLAN; comunicação entre as duas apenas através de um ponto de controlo explícito com regras de firewall mínimas. Na maioria dos casos, esta separação não requer hardware adicional — requer configuração nos switches existentes e disciplina para não criar exceções "temporárias" que se tornam permanentes.

A rede OT mais perigosa não é a que tem muitos equipamentos antigos. É a que toda a gente acha que está segura porque "nunca tivemos problemas".

Trade-offs operacionais que os manuais não referem

O problema do técnico de manutenção às 23h

Zero Trust implica que cada acesso é verificado. Na prática, isto significa que o técnico de manutenção que recebe uma chamada às 23h para resolver uma avaria na linha 4 vai ter de passar por um processo de autenticação e autorização antes de aceder ao SCADA. Se esse processo demorar 10 minutos — porque o sistema de PAM está mal configurado, porque o aprovador da sessão não responde, porque o MFA não funciona sem cobertura de rede no chão-de-fábrica — o Zero Trust vai ser contornado. Sempre. O técnico vai ligar diretamente ao PLC com o portátil pessoal que tem na carrinha, porque a linha não pode estar parada até às 7h.

A solução não é eliminar os controlos; é desenhá-los para o contexto operacional real. Isto inclui pré-autorização de sessões de manutenção planeada, procedimentos de break-glass documentados para emergências — com auditoria posterior obrigatória, não opcional — e cobertura de rede WiFi industrial adequada para que o MFA funcione em toda a fábrica, incluindo no corredor entre a linha 3 e o quadro eléctrico. Um projecto Zero Trust que não testa estes cenários em condições reais antes do go-live vai descobri-los da pior forma possível.

Equipamentos legados sem capacidade de autenticação

Uma parte significativa dos equipamentos em fábricas portuguesas — especialmente no têxtil e no calçado — tem 10 a 20 anos e firmware que não suporta autenticação moderna. Não há patch disponível. O fabricante pode já não existir. Aplicar Zero Trust diretamente a estes dispositivos é impossível.

A abordagem correta é o isolamento compensatório: o dispositivo é colocado numa VLAN isolada com comunicação apenas com os sistemas estritamente necessários, monitorização passiva de tráfego para detetar anomalias, e whitelist de comunicações que só permite tráfego para os endereços IP e portos específicos que o dispositivo legitimamente usa. Não é Zero Trust puro — é Zero Trust aplicado ao perímetro do dispositivo. A distinção importa porque define o nível de risco residual que a organização está a aceitar conscientemente, e esse risco tem de estar documentado para efeitos de conformidade NIS2.

O custo real: TCO a 3 anos vs. custo de um incidente

O argumento de investimento em Zero Trust OT tem de ser feito com números reais. O IBM Cost of a Data Breach Report 2024 documenta um custo médio global de 4,88 milhões de dólares por violação — um recorde histórico, mais 10% do que em 2023. Para uma PME industrial portuguesa, mesmo uma fracção deste valor — paragem de produção, recuperação de sistemas, notificação de clientes internacionais, potenciais coimas NIS2 — justifica o investimento em segmentação e monitorização. O mesmo relatório documenta que as organizações que usaram extensivamente IA e automação na prevenção pouparam, em média, 2,2 milhões de dólares por violação: a deteção precoce que a monitorização passiva OT proporciona tem valor mensurável, não apenas regulatório.

O TCO de uma arquitetura Zero Trust OT para uma fábrica média (50-200 colaboradores) inclui hardware de rede (firewalls industriais, switches geridos), licenças de software (plataforma de monitorização OT, PAM), implementação e configuração, e operação contínua (gestão de políticas, resposta a alertas). Este custo distribui-se por 3 a 5 anos e é mensurável antes de começar. O custo de um incidente de ransomware que para a produção durante uma semana — com encomendas de clientes internacionais em risco e um comprador alemão ao telefone a perguntar pelo estado da entrega — não é mensurável antes de acontecer. Só depois.

Para uma análise mais detalhada do processo de avaliação de risco tecnológico, o artigo Auditoria prévia tecnológica numa fusão industrial: o que validar oferece um referencial aplicável também a avaliações de segurança OT.

Conformidade regulatória: o que Zero Trust OT demonstra

NIS2 e IEC 62443: dois referenciais, uma arquitetura

A NIS2 (DL n.º 125/2025) exige que as entidades abrangidas implementem "medidas técnicas e organizativas adequadas para gerir os riscos para a segurança das redes e sistemas de informação". Para redes OT, o referencial técnico de facto é a norma IEC 62443 — que define zonas de segurança, conduits e níveis de segurança (SL1 a SL4) para sistemas de automação e controlo industrial.

Uma arquitetura Zero Trust OT bem documentada — com inventário de ativos, topologia de zonas, políticas de acesso e registos de monitorização — fornece a evidência técnica necessária para demonstrar conformidade NIS2. Não são dois projectos paralelos com dois orçamentos separados; são o mesmo projecto com dois destinatários: a operação e o regulador. Quem os separa está a pagar duas vezes pelo mesmo trabalho.

ISO 27001 e a extensão OT

A ISO 27001 cobre sistemas de informação — historicamente interpretada como TI corporativa. A extensão para OT é possível e cada vez mais exigida por clientes internacionais de fábricas portuguesas, especialmente marcas de vestuário e calçado com requisitos de segurança de cadeia de abastecimento. O artigo O papel da consultoria certificada (ISO 27001 e RGPD) detalha o processo de certificação.

Um cliente internacional de calçado que audita a fábrica fornecedora em Felgueiras não pergunta se têm antivírus. Pergunta se sabem quem acedeu ao sistema de controlo da linha nos últimos 90 dias. Zero Trust é a única arquitetura que responde a essa pergunta com evidência.

Como medir o sucesso pós-implementação

Métricas operacionais de Zero Trust OT

A implementação de Zero Trust OT não termina no go-live. Cinco métricas definem se a arquitetura está a funcionar ou apenas instalada.

A cobertura de inventário — percentagem de ativos OT identificados e classificados versus total estimado — deve estar acima de 95%. Abaixo disso, há zonas da rede que operam fora do modelo Zero Trust sem que ninguém saiba. O tempo médio de deteção (MTTD) de anomalias OT deve ser medido em minutos com monitorização passiva ativa, não em dias; se a plataforma de deteção está a gerar alertas que ninguém lê, o MTTD real é infinito. As sessões de acesso remoto com MFA e gravação devem cobrir 100% das sessões de fornecedores externos — qualquer exceção é um risco documentado, não uma conveniência operacional. O número de CVEs críticos não mitigados em ativos OT deve ser acompanhado trimestralmente, com a tendência a importar mais do que o valor absoluto. E os exercícios de resposta a incidentes OT — pelo menos um por ano, com simulação de isolamento de zona e recuperação de sistemas de controlo — são o único teste real de que os planos funcionam antes de serem precisos.

O relatório de segurança OT como ferramenta de gestão

Um dashboard de segurança OT — integrado com o SIEM corporativo e visível para a direção — transforma a segurança industrial de custo opaco em indicador de gestão. As ferramentas de Qlik Sense permitem construir este tipo de dashboard sobre dados exportados das plataformas de monitorização OT, tornando os KPIs de segurança acessíveis ao CEO e ao CFO sem requerer formação técnica especializada. Quando a direção consegue ver o número de sessões de acesso remoto não autorizadas

Perguntas frequentes

O que é Zero Trust e por que é necessário em fábricas portuguesas?

Zero Trust é uma arquitetura de segurança que verifica explicitamente cada acesso, aplica mínimo privilégio e assume violação constante. Em fábricas portuguesas, é essencial porque o air gap tradicional desapareceu com a convergência IT/OT — acesso remoto de fornecedores, dashboards em tempo real e monitorização preditiva criaram pontos de entrada que a segmentação perimetral não consegue proteger.

Qual foi o impacto da convergência IT/OT nas redes industriais portuguesas?

A convergência IT/OT aconteceu incrementalmente quando fábricas ligaram equipamentos ao ERP, permitiram acesso remoto via VPN, integraram monitorização de fornecedores e recolheram dados de produção em tempo real. Sem arquitetura de segurança acompanhante, criou pontos de entrada descontrolados — como acessos remotos instalados que nunca foram revogados ou portáteis pessoais ligados diretamente aos switches da linha.

Que obrigações traz a NIS2 para a indústria transformadora portuguesa?

A Diretiva NIS2, transposta pelo Decreto-Lei n.º 125/2025, alarga obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, incluindo indústria transformadora. Exige gestão de risco, continuidade de negócio, segurança da cadeia de abastecimento e notificação de incidentes em 24 horas. Requer controlos técnicos sobre redes OT que o modelo perimetral tradicional não consegue demonstrar.

Qual é o vector de ataque mais comum em redes OT de fábricas portuguesas?

O acesso remoto de fornecedores de máquinas sem autenticação multi-fator (MFA) e sem segmentação de sessão é o vector mais explorado e mais rápido de controlar. Outros vectores incluem firmware desactualizado, protocolos legados sem autenticação, movimentação lateral desde a rede IT e dispositivos USB. O artigo recomenda começar pelo primeiro, que pode ser controlado em seis semanas por fracção do custo de segmentação completa.

Por que as PME industriais são alvo desproporcionado de ransomware?

As PME têm ativos valiosos — propriedade industrial, carteiras de clientes internacionais, dados de produção — mas investimento em segurança muito inferior ao das grandes empresas. O ransomware esteve presente em 88% das violações em PME, contra 39% em grandes organizações. Uma fábrica portuguesa com compradores internacionais tem dados que interessam a actores de ameaça, tornando-a alvo prioritário.

Como se aplica o princípio de "mínimo privilégio" numa rede OT?

Mínimo privilégio significa que cada utilizador ou sistema acede apenas ao que necessita. Um técnico de manutenção remoto da linha 3 não vê a linha 7 nem dados de qualidade. O ERP que lê dados de produção não escreve parâmetros de máquina. Cada fluxo de dados é autorizado explicitamente, criando uma lista de acessos legítimos muito mais curta do que o esperado quando documentada.

Qual é o principal erro que fábricas portuguesas cometem ao implementar Zero Trust?

O erro mais comum é começar pela segmentação completa da rede quando o vector de ataque mais ativo — acesso remoto de fornecedores — podia ser controlado em seis semanas por uma fracção do custo. Não é falta de orçamento nem falta de vontade, mas falta de priorização. A implementação deve começar pelos riscos mais explorados e imediatos.

Fontes

• Decreto-Lei n.º 125/2025 de 24 de janeiro — Transposição da Diretiva (UE) 2022/2555 (NIS2) em Portugal
• Diretiva (UE) 2022/2555 (NIS2) — Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União
• CNCS (Centro Nacional de Cibersegurança) — Relatório de Incidentes de Cibersegurança em Portugal 2024
• ENISA (European Union Agency for Cybersecurity) — Guidelines on Operational Technology (OT) Security
• ISO/IEC 27019:2020 — Information security, cyber security and privacy protection for power and energy utility systems