Cultura de Segurança OT: o Papel das Pessoas e da Liderança em 2026

A proteção de ambientes de Tecnologia Operacional (OT) depende de tecnologia, arquitetura e processos, mas nenhum desses elementos funciona isoladamente.

As decisões tomadas diariamente por operadores, engenheiros, equipes de manutenção, profissionais de TI, fornecedores e lideranças também influenciam diretamente a exposição de uma operação a riscos cibernéticos.

Em 2026, essa dimensão humana ganha ainda mais importância à medida que ambientes industriais se tornam mais conectados e a responsabilidade pela segurança OT avança para níveis mais altos das organizações.

O 2026 State of Operational Technology and Cybersecurity Report, da Fortinet, mostra que 60% dos entrevistados apontam CISO ou CIO como responsáveis finais pela cibersegurança OT. Além disso, 81% daqueles que ainda não possuem essa estrutura esperam transferir a responsabilidade para o CISO nos próximos 12 meses.

Isso reforça uma mudança importante: segurança OT deixou de ser uma responsabilidade exclusiva das equipes técnicas e passou a exigir participação da liderança e integração entre diferentes áreas da organização.

Cultura de Segurança Vai Além da Conscientização

Criar uma cultura de segurança não significa apenas realizar treinamentos ou enviar comunicações sobre ameaças cibernéticas.

Em ambientes industriais, cultura aparece nas decisões tomadas todos os dias.

Ela está presente quando uma equipe questiona um acesso remoto desnecessário, quando um operador reconhece um comportamento anormal, quando Engenharia considera requisitos de segurança antes de implementar uma mudança ou quando uma liderança decide não contornar determinado controle apenas para acelerar uma atividade.

Esse ponto ganhou destaque inclusive no ISA OT Cybersecurity Summit 2026, que colocou fatores humanos e cultura organizacional entre os temas da agenda. A discussão chama atenção para um fenômeno particularmente relevante em ambientes industriais: pequenos atalhos e exceções podem se tornar práticas recorrentes até que comportamentos originalmente considerados inadequados passem a ser vistos como normais.

Por isso, uma cultura de segurança madura precisa aproximar segurança cibernética, segurança operacional e continuidade do negócio.

Treinamento de OT Não Pode Ser Igual para Todos

Uma das principais mudanças em relação ao texto original está aqui.

Não basta oferecer periodicamente o mesmo treinamento de cibersegurança para toda a organização.

O NIST recomenda que todas as pessoas que interagem com sistemas OT, incluindo funcionários, contratados, consultores e fornecedores, recebam treinamento específico para esse ambiente, além da conscientização tradicional de segurança de TI.

A orientação também destaca que os treinamentos devem considerar não somente o sistema OT, mas o processo físico que está sendo controlado.

Isso significa que diferentes públicos precisam desenvolver capacidades diferentes.

Um operador precisa saber reconhecer alterações inesperadas no comportamento de um equipamento e conhecer o processo adequado para reportá-las. Um engenheiro precisa compreender os impactos de mudanças de configuração e conexões externas. Profissionais de segurança precisam entender as particularidades dos processos industriais. Já líderes precisam conhecer os riscos operacionais envolvidos e saber quais decisões serão exigidas deles durante um incidente.

Em junho de 2026, a SANS publicou um modelo de treinamento para a força de trabalho ICS/OT justamente baseado nessa diferenciação, estruturando capacitação para usuários, profissionais e lideranças de acordo com suas responsabilidades.

Treinar mais não necessariamente significa estar mais preparado. Treinar as pessoas certas para as decisões que precisarão tomar é o que faz diferença.

Segurança, TI, Engenharia e Operações Precisam Trabalhar Juntas

Outro elemento fundamental para construir cultura é eliminar a ideia de que segurança OT pertence exclusivamente a uma área.

TI conhece infraestrutura corporativa e serviços digitais. Segurança possui conhecimento sobre ameaças, controles e resposta. Engenharia e Operações conhecem os processos físicos, equipamentos, limitações e consequências de uma intervenção na produção.

Nenhuma dessas perspectivas é suficiente isoladamente.

O próprio NIST recomenda a criação e o treinamento de uma equipe multifuncional para implementar o programa de cibersegurança OT.

Essa integração torna-se ainda mais importante durante incidentes.

Uma decisão tecnicamente adequada do ponto de vista de segurança, como desconectar determinado sistema, pode gerar consequências inesperadas para disponibilidade, segurança física ou processo produtivo.

Por isso, as decisões precisam considerar o contexto operacional.

Liderança Precisa Definir Responsabilidades Antes do Incidente

A participação da liderança também precisa ir além de aprovar orçamento ou políticas.

Um dos problemas identificados em exercícios e respostas a incidentes OT é justamente a ausência de responsabilidades claramente definidas quando uma ocorrência realmente acontece.

Em análise publicada pela SANS em abril de 2026, experiências com exercícios de resposta a incidentes ICS/OT apontam essa falta de clareza de papéis e responsabilidades como uma lacuna recorrente.

Quem possui autoridade para interromper um processo?

Quem decide isolar determinado ativo?

Quando uma anomalia operacional passa a ser investigada como possível incidente cibernético?

Quem coordena Segurança, Engenharia, Operações e liderança durante a resposta?

Essas respostas precisam existir antes de uma situação crítica.

Uma liderança madura cria estruturas de governança, estabelece responsabilidades e garante que diferentes áreas estejam preparadas para tomar decisões em conjunto.

Exercícios Práticos Transformam Conhecimento em Capacidade

Treinamento teórico continua importante, mas organizações também precisam validar se suas equipes conseguem aplicar esse conhecimento.

É aí que entram exercícios de mesa (tabletop exercises) e simulações de incidentes.

Esses exercícios permitem testar cenários sem comprometer a operação real e ajudam a identificar dúvidas que muitas vezes não aparecem em documentos ou treinamentos tradicionais.

Quem precisa ser acionado? Quais informações estarão disponíveis? Quais decisões dependem da Engenharia? Existe um procedimento alternativo caso determinado sistema fique indisponível? A liderança sabe quando precisa participar?

Em 2026, a SANS colocou exercícios de mesa e validação da coordenação entre equipes como elementos importantes para amadurecer a força de trabalho de segurança ICS/OT.

O objetivo deixa de ser apenas medir se as pessoas sabem o que fazer e passa a verificar se a organização consegue agir de forma coordenada quando necessário.

Monitoramento Também Depende das Pessoas

O texto original separava monitoramento e resposta a incidentes da discussão sobre cultura. Eu faria justamente o contrário.

Uma tecnologia pode identificar uma anomalia, mas ainda será necessário compreender o contexto operacional para determinar sua relevância.

Da mesma forma, muitas alterações podem ser percebidas primeiro por quem conhece profundamente o processo.

Um operador que identifica uma resposta inesperada de determinado equipamento ou um engenheiro que percebe uma mudança incomum de configuração pode fornecer um sinal importante para uma investigação.

Por isso, conscientização também significa criar um ambiente no qual as pessoas saibam o que observar, quando reportar e para quem comunicar uma situação suspeita.

Fornecedores Também Fazem Parte da Cultura de Segurança

A força de trabalho OT não termina nos funcionários da organização.

Integradores, fabricantes, empresas de manutenção, consultores e outros terceiros frequentemente possuem acesso físico ou remoto aos ambientes industriais.

O NIST recomenda explicitamente que contratados, consultores e fornecedores que interagem com OT recebam treinamento adequado ao ambiente.

Isso é especialmente importante porque comportamentos seguros precisam ser consistentes independentemente de quem esteja executando determinada atividade.

Políticas de acesso, requisitos de autenticação, procedimentos de manutenção, comunicação de incidentes e responsabilidades precisam ser compreendidos também pelos terceiros envolvidos na operação.

Tecnologia Continua Importante, Mas Não Resolve Cultura

Firewalls industriais, segmentação, monitoramento, gestão de identidades e outras tecnologias continuam sendo componentes importantes de uma estratégia de cibersegurança OT.

Mas ferramentas não substituem responsabilidades claras, conhecimento do processo e capacidade de tomada de decisão.

Uma organização pode possuir tecnologias avançadas e ainda assim responder mal a um incidente se suas equipes não souberem quem deve agir ou se Segurança e Operações não conseguirem trabalhar juntas.

É por isso que a maturidade de segurança OT precisa combinar pessoas, processos e tecnologia.

De Conscientização para Prontidão Operacional

Em 2026, desenvolver uma cultura de segurança OT significa ir além de conscientizar pessoas sobre riscos.

Significa preparar cada público para compreender como suas decisões podem afetar segurança, disponibilidade e continuidade da operação.

Isso exige treinamento específico por função, integração entre Segurança, TI, Engenharia e Operações, participação ativa da liderança, inclusão de fornecedores e exercícios capazes de testar a resposta da organização em situações reais.

Para a Cyrex Security, fortalecer a dimensão humana da cibersegurança OT significa transformar conhecimento em capacidade operacional.

Porque, diante de um incidente, a pergunta não será apenas se as equipes receberam treinamento.

Elas estarão preparadas para tomar as decisões certas quando a operação estiver em risco?