Funções Críticas e Dependências Tecnológicas: Como Mapear os Riscos

Quanto mais conectadas se tornam as operações, mais difícil fica responder a uma pergunta aparentemente simples:

Quais tecnologias realmente precisam continuar funcionando para que o negócio não pare?

Uma organização pode conhecer seus servidores, aplicações, equipamentos industriais e redes e, ainda assim, não compreender completamente como esses elementos sustentam suas funções mais críticas.

Em 2026, identificar funções críticas de negócio precisa ir além de uma lista de processos prioritários. O desafio é compreender quais ativos, sistemas, pessoas, fornecedores e conexões sustentam cada função e como a indisponibilidade de um deles pode afetar toda a operação.

Essa visão é especialmente importante em ambientes industriais, nos quais Tecnologia da Informação (TI) e Tecnologia Operacional (OT) possuem dependências cada vez maiores.

O NIST reforça essa abordagem ao relacionar a análise de impacto ao entendimento das funções essenciais da organização e dos ativos necessários para sustentá-las. A lógica é importante: primeiro entender o que precisa continuar funcionando e, a partir disso, determinar o que precisa ser protegido e priorizado.

O Que Torna uma Função Realmente Crítica?

Nem todos os processos possuem o mesmo impacto para uma organização.

Uma função pode ser considerada crítica quando sua interrupção compromete objetivos essenciais do negócio, podendo provocar consequências financeiras, operacionais, regulatórias, reputacionais ou relacionadas à segurança das pessoas e do processo.

Em uma indústria, por exemplo, uma linha de produção pode ser considerada crítica. Mas simplesmente identificá-la dessa maneira não é suficiente.

Para que essa linha opere, podem ser necessários PLCs, sistemas supervisórios, estações de engenharia, servidores, redes industriais, energia, sistemas de segurança, infraestrutura de TI e até acessos de fornecedores externos.

É justamente nessa cadeia de dependências que podem existir riscos que não aparecem quando cada tecnologia é analisada isoladamente.

Por isso, a pergunta deixa de ser apenas:

“Quais são nossos ativos críticos?”

E passa a ser:

“Quais ativos e dependências sustentam aquilo que não pode parar?”

Das Funções Críticas às Dependências Tecnológicas

Mapear dependências significa compreender como diferentes elementos da organização estão relacionados.

Isso inclui não apenas os sistemas diretamente envolvidos na execução de determinado processo, mas também tecnologias e serviços que permitem que ele continue funcionando.

Uma operação industrial pode depender, por exemplo, de:

• sistemas OT e ICS;

• redes e equipamentos de comunicação;

• servidores e infraestrutura virtualizada;

• sistemas corporativos integrados à produção;

• serviços de identidade e autenticação;

• acesso remoto;

• fornecedores e integradores;

• sistemas de segurança e proteção;

• energia e outras infraestruturas de suporte.

O ponto central é compreender o efeito em cadeia de uma indisponibilidade.

Um ativo aparentemente secundário pode representar uma dependência essencial para diversos sistemas críticos. Se ele for comprometido, diferentes partes da operação podem ser afetadas simultaneamente.

Essa abordagem também está alinhada ao NIST SP 800-82 Rev. 3, referência para segurança OT, que relaciona explicitamente as ameaças aos sistemas OT às funções de negócio e à missão organizacional que esses ambientes suportam.

Inventário é o Começo, Não o Resultado Final

Ter um inventário atualizado continua sendo fundamental.

A própria CISA recomenda manter inventários regularmente atualizados dos ativos organizacionais, incluindo OT, como uma das práticas básicas para reduzir riscos e melhorar a capacidade de identificar vulnerabilidades.

Mas conhecer quais ativos existem é diferente de compreender por que eles são importantes para a operação.

Um inventário pode informar que determinada organização possui centenas de equipamentos industriais. O mapeamento de dependências acrescenta uma camada essencial: quais processos esses equipamentos suportam, com quais sistemas se comunicam, de quais serviços dependem e o que acontece caso deixem de funcionar.

É essa relação entre ativo, processo e impacto que transforma inventário em informação útil para a gestão de risco.

Em vez de olhar apenas para uma lista de equipamentos, a organização passa a construir um mapa da própria operação.

Nem Sempre o Ativo Mais Vulnerável é o Mais Crítico

Essa visão também muda a maneira de tratar vulnerabilidades.

Uma organização pode possuir milhares de vulnerabilidades conhecidas distribuídas entre seus ambientes. Tratar todas com a mesma prioridade não significa necessariamente reduzir primeiro os maiores riscos.

A priorização precisa considerar o contexto.

Uma vulnerabilidade localizada em um ativo diretamente relacionado a uma função crítica pode exigir tratamento diferente daquela presente em um equipamento isolado ou protegido por controles compensatórios.

Por isso, a análise deve combinar fatores como criticidade do ativo, exposição, possibilidade de exploração, dependências, impacto operacional e controles existentes.

Em OT, essa análise é ainda mais importante porque os controles precisam considerar requisitos específicos de desempenho, confiabilidade e segurança física, reconhecidos pelo próprio NIST em suas orientações para esses ambientes.

A questão deixa de ser simplesmente:

“Qual vulnerabilidade possui maior severidade?”

E passa a considerar:

“Se essa vulnerabilidade for explorada, qual função da operação poderá ser afetada?”

Dependências Também Existem Entre TI e OT

Outro ponto que merece mais atenção em 2026 é a interdependência entre ambientes corporativos e industriais.

A separação conceitual entre TI e OT continua importante para arquitetura e segurança, mas isso não significa que os ambientes funcionem de maneira completamente independente.

Sistemas industriais podem depender de serviços corporativos para autenticação, armazenamento, virtualização, comunicação, gestão ou outras funções.

Da mesma forma, sistemas corporativos podem consumir dados gerados pela operação.

Isso cria dependências que precisam ser conhecidas.

Um incidente iniciado em TI pode provocar consequências na operação mesmo sem comprometer diretamente um PLC ou sistema de controle. Da mesma forma, problemas em determinados componentes OT podem afetar sistemas responsáveis por planejamento, logística, qualidade ou produção.

Mapear essas relações ajuda a organização a compreender onde um incidente pode começar e até onde seu impacto pode chegar.

Terceiros Também Fazem Parte do Mapa

As dependências tecnológicas não terminam dentro da organização.

Fabricantes, integradores, prestadores de manutenção, fornecedores de software e outros parceiros podem possuir algum nível de participação na sustentação de funções críticas.

Isso pode ocorrer por meio de manutenção de equipamentos, acesso remoto, fornecimento de componentes, atualização de sistemas ou suporte especializado.

Por isso, mapear dependências significa também identificar quais terceiros possuem capacidade de influenciar, acessar ou sustentar processos críticos.

Essa informação ajuda a orientar controles de acesso, gestão de fornecedores, planos de continuidade e resposta a incidentes.

Do Mapeamento à Priorização de Riscos

O valor desse trabalho aparece quando o mapa de dependências passa a orientar decisões.

Em vez de distribuir investimentos de segurança de maneira uniforme, a organização consegue direcionar recursos para os pontos cuja indisponibilidade poderia produzir maior impacto.

O processo pode seguir uma lógica:

Função crítica → processo → ativos → dependências → cenários de risco → impacto → controles e prioridade.

Essa abordagem também conversa diretamente com o NIST Cybersecurity Framework 2.0, que estrutura a gestão de risco nas funções Govern, Identify, Protect, Detect, Respond e Recover. A CISA também reorganizou seus Cybersecurity Performance Goals seguindo essa estrutura e destaca que a priorização deve buscar ações capazes de reduzir de maneira significativa o risco e o impacto sobre organizações e infraestruturas críticas.

Isso ajuda a aproximar cibersegurança das decisões do negócio.

A discussão deixa de ser apenas sobre quantidade de ativos, vulnerabilidades ou alertas e passa a considerar quais cenários realmente ameaçam a continuidade da operação.

A IEC 62443 Continua Relevante para Ambientes Industriais

Em ambientes de automação e controle industrial, a série ISA/IEC 62443 continua sendo uma referência importante para estruturar programas de segurança.

Sua aplicação permite trabalhar segurança considerando características específicas dos sistemas de automação e controle, complementando frameworks corporativos mais amplos.

O NIST SP 800-82 Rev. 3 também reforça que controles aplicados a OT precisam considerar características particulares desses ambientes, como disponibilidade, desempenho, confiabilidade e segurança física.

Mais importante do que aplicar uma norma de maneira isolada, porém, é utilizar essas referências para construir uma arquitetura e uma gestão de risco coerentes com a realidade operacional.

Resiliência Começa por Entender o Que Não Pode Parar

Proteger todas as tecnologias com exatamente o mesmo nível de prioridade não é apenas difícil. Também pode levar a investimentos pouco eficientes.

Uma estratégia de cibersegurança orientada pelo negócio começa pela compreensão das funções que realmente sustentam a organização e segue pelas tecnologias e dependências necessárias para mantê-las funcionando.

Inventário de ativos, gestão de vulnerabilidades, segmentação, monitoramento e resposta a incidentes continuam fundamentais. Mas essas práticas ganham mais valor quando são conectadas ao contexto da operação.

Para a Cyrex Security, compreender essas relações é uma etapa fundamental para transformar dados técnicos em decisões de risco e fortalecer a resiliência de ambientes críticos.

Porque, diante de um incidente, saber quais ativos foram comprometidos é importante.

Mas existe uma pergunta ainda mais estratégica:

“Se esse ativo parar, o que mais para com ele?”