Gerenciamento de Riscos em OT: Registros e Simulações

Gerenciar riscos cibernéticos em ambientes de Tecnologia Operacional (OT) exige mais do que identificar vulnerabilidades ou manter uma lista de controles de segurança.

Em ambientes industriais, o risco precisa ser analisado considerando também a criticidade dos ativos, as dependências entre sistemas, os caminhos de acesso existentes e, principalmente, as consequências que um incidente pode provocar sobre produção, disponibilidade, segurança e continuidade operacional.

Essa abordagem ganha ainda mais importância em 2026. O Dragos OT Cybersecurity Year in Review mostra adversários avançando para atividades mais profundas dentro dos ambientes industriais, incluindo o mapeamento de control loops e a compreensão de processos físicos. Ao mesmo tempo, 81% das avaliações realizadas pela empresa identificaram problemas de segmentação entre IT e OT e apenas 46% encontraram monitoramento adequado das redes OT. Dragos

Nesse cenário, dois instrumentos continuam especialmente relevantes: registros de riscos e exercícios de simulação, conhecidos como tabletop exercises.

Mas seu valor está menos em documentar riscos ou cumprir uma etapa de governança e mais em responder duas perguntas:

Sabemos quais riscos realmente podem comprometer nossa operação?

E estamos preparados para tomar as decisões necessárias caso um deles se concretize?

O risco em OT precisa considerar a consequência operacional

Uma vulnerabilidade crítica não representa necessariamente o maior risco para uma organização.

Da mesma forma, um ativo com uma vulnerabilidade de severidade moderada pode representar um risco significativo se estiver exposto, desempenhar uma função crítica ou possuir conexões que permitam ao atacante alcançar outras partes da operação.

Por isso, o gerenciamento de riscos em OT precisa considerar diferentes dimensões:

ameaça + exposição + vulnerabilidade + criticidade do ativo + controles existentes + dependências + consequência operacional.

A questão principal deixa de ser apenas:

“Quais vulnerabilidades existem?”

E passa a ser:

“O que pode acontecer com nossa operação se esse risco se materializar?”

Essa mudança é importante porque aproxima a cibersegurança das decisões que realmente precisam ser tomadas pelo negócio.

O registro de riscos não deveria ser apenas uma planilha

Um registro de riscos continua sendo uma ferramenta importante, mas seu valor depende da forma como é utilizado.

Na prática, ele precisa transformar descobertas técnicas em informações que permitam tomar decisões.

Um registro maduro pode relacionar:

cenário de risco → ativo ou função crítica → ameaça → vulnerabilidade ou exposição → controles existentes → consequência operacional → responsável → tratamento → risco residual → prazo → status.

Imagine, por exemplo, um acesso remoto de fornecedor que permite chegar a uma estação de engenharia crítica.

Registrar apenas que existe um “risco de acesso remoto” diz pouco.

É necessário entender quem possui acesso, quais sistemas podem ser alcançados, quais controles existem, o que aconteceria se a credencial fosse comprometida e quais medidas poderiam reduzir esse risco.

Essa visão se torna especialmente relevante diante dos dados de 2026: 73% dos casos históricos de resposta a incidentes analisados pela Dragos envolveram credenciais comprometidas de VPN ou jump hosts. Dragos

O registro de riscos precisa ajudar a organização a enxergar cenários como esse antes que eles se transformem em incidentes.

Nem todo risco precisa ser tratado da mesma maneira

Outro ponto que precisa evoluir em relação ao texto anterior é a ideia de que gerenciamento de riscos significa necessariamente corrigir rapidamente todas as vulnerabilidades identificadas.

Em OT, isso nem sempre é possível ou desejável.

Um risco pode ser:

mitigado, com novos controles;

remediado, eliminando a vulnerabilidade ou exposição;

evitado, modificando determinada arquitetura ou processo;

transferido, quando aplicável;

ou aceito temporariamente, desde que essa decisão seja consciente, documentada e acompanhada.

Em sistemas legados, por exemplo, pode não existir atualização disponível ou a instalação de um patch pode exigir uma janela de manutenção.

Nesse cenário, segmentação, restrição de acesso, monitoramento, redução de exposição e outros controles compensatórios podem fazer parte do tratamento até que uma solução definitiva seja possível.

O objetivo não é simplesmente eliminar uma linha do registro.

É reduzir o risco para um nível compatível com a operação e com a tolerância definida pela organização.

O registro de riscos precisa estar vivo

Outro problema comum é criar um registro durante uma avaliação e tratá-lo como um documento estático.

O ambiente muda.

Novos ativos são adicionados.

Fornecedores passam a acessar sistemas.

Arquiteturas são modificadas.

Novas vulnerabilidades são descobertas.

Ameaças evoluem.

Controles deixam de funcionar como esperado.

Por isso, um risco considerado aceitável há alguns meses pode exigir outra prioridade hoje.

O registro precisa ser atualizado quando o contexto muda e utilizado para acompanhar decisões, responsáveis, prazos e risco residual.

É essa dinâmica que transforma uma lista de problemas em uma ferramenta de governança de risco.

O tabletop coloca o registro de riscos à prova

É justamente aqui que os tabletop exercises ganham outra função.

Se o registro responde:

“O que pode dar errado?”

O tabletop ajuda a responder:

“O que faremos quando isso acontecer?”

Em vez de utilizar cenários genéricos, uma organização pode construir seus exercícios a partir dos próprios riscos prioritários.

Por exemplo:

uma credencial de fornecedor é comprometida;

o atacante utiliza o acesso remoto;

alcança uma estação de engenharia;

a equipe identifica comportamento anormal;

e precisa decidir se aquele sistema pode ser isolado sem comprometer a operação.

A partir desse momento, o exercício deixa de testar apenas conhecimento técnico.

Ele testa decisão.

Tabletop não é apenas treinamento

Esse é um dos pontos que eu mais mudaria no texto original.

Um tabletop exercise não deveria ser realizado apenas para ensinar às pessoas como agir.

Ele também serve para descobrir se os processos, controles e responsabilidades que parecem funcionar no papel realmente funcionariam durante uma crise.

Os dados de 2026 mostram por que isso importa.

A Dragos identificou que 88% dos tabletop exercises avaliados revelaram capacidades de detecção degradadas. Além disso, 30% dos casos de resposta a incidentes começaram com problemas operacionais inexplicados, enquanto 82% das organizações avaliadas não possuíam critérios claros para determinar quando uma anomalia operacional deveria iniciar uma investigação cibernética. Dragos

Ou seja: muitas organizações podem possuir planos e tecnologias, mas ainda enfrentar dificuldades para reconhecer o início de um incidente.

Um exercício bem estruturado ajuda a revelar essa diferença.

O exercício precisa testar decisões difíceis

Um bom tabletop para OT não deveria terminar em “o SOC detectou o ataque e isolou o equipamento”.

Essa é justamente a parte que precisa ser discutida.

O equipamento pode ser isolado?

Qual processo depende dele?

Existe redundância?

Quem possui autoridade para autorizar a contenção?

A operação consegue continuar em modo degradado?

É possível operar manualmente?

Quando Engenharia precisa participar?

Quando a liderança precisa ser acionada?

Quando um fornecedor precisa ser envolvido?

Como saberemos que é seguro retomar a operação?

Em ambientes OT, uma ação tecnicamente correta de cibersegurança pode produzir uma consequência operacional indesejada.

Por isso, o objetivo do exercício não é encontrar quem responde mais rápido.

É verificar se a organização consegue tomar decisões seguras sob pressão.

O registro e o tabletop precisam conversar

Em uma estratégia madura, essas duas práticas não deveriam existir separadamente.

O registro identifica os cenários que mais preocupam a organização.

Esses cenários alimentam os exercícios.

Os exercícios revelam novas lacunas.

Essas lacunas retornam ao registro como riscos, controles ou ações que precisam ser acompanhados.

Forma-se um ciclo:

identificar → avaliar → priorizar → simular → encontrar lacunas → tratar → reavaliar.

Esse processo também ajuda a evitar tabletop exercises excessivamente genéricos.

Em vez de simular simplesmente “um ransomware atingiu a empresa”, o exercício pode utilizar um cenário construído a partir de ativos, acessos, dependências e consequências reais da organização.

Governança define quem pode aceitar e tratar o risco

O NIST Cybersecurity Framework 2.0 elevou governança a uma função própria, Govern, justamente para reforçar aspectos como estratégia de gerenciamento de riscos, tolerância ao risco, papéis, responsabilidades, políticas e supervisão. O NIST também reforça a conexão entre cibersegurança e o gerenciamento de riscos corporativos. NIST

Isso tem uma consequência importante para OT.

A equipe de cibersegurança pode identificar um risco.

Mas quem decide que ele pode ser aceito?

Quem define sua prioridade?

Quem responde pelo tratamento?

Quem determina se uma parada operacional é justificável?

Quem acompanha o risco residual?

Essas decisões não deveriam ficar indefinidamente dentro de uma equipe técnica.

Segurança, IT, Engenharia, Operações e liderança precisam possuir responsabilidades claras dentro desse processo.

IEC 62443 é uma referência, não uma garantia

A série ISA/IEC 62443 continua sendo uma referência importante para estruturar a segurança de sistemas de automação e controle industrial ao longo de seu ciclo de vida.

Mas eu retiraria do texto antigo a ideia de que implementar o padrão “garante” que os riscos sejam adequadamente gerenciados.

Nenhum framework ou norma oferece essa garantia.

Eles fornecem estruturas, requisitos e práticas que ajudam a organização a desenvolver seus controles.

A eficácia depende de como esses controles são implementados, mantidos e validados dentro do contexto operacional.

Por isso, conformidade e gerenciamento de riscos precisam estar relacionados, mas não devem ser tratados como sinônimos.

O risco residual também precisa ser conhecido

Mesmo depois da implementação de controles, raramente o risco desaparece completamente.

Existe um risco residual.

Esse ponto precisa aparecer no registro e ser compreendido por quem possui autoridade para aceitá-lo.

Se uma estação legada não pode ser atualizada, por exemplo, a organização pode reduzir sua exposição, limitar acessos, segmentar comunicações e aumentar o monitoramento.

Essas medidas diminuem o risco.

Mas não necessariamente o eliminam.

A pergunta passa a ser:

“O risco que permanece é aceitável para a organização?”

Essa é uma decisão de governança, não apenas uma decisão técnica.

Métricas precisam mostrar redução de risco

Outro avanço importante para 2026 é evitar medir o programa apenas por volume de atividade.

Quantidade de vulnerabilidades corrigidas.

Quantidade de treinamentos realizados.

Quantidade de riscos registrados.

Quantidade de tabletop exercises executados.

Esses números mostram trabalho realizado, mas não necessariamente mostram redução de risco.

Indicadores mais úteis podem demonstrar:

quantos riscos críticos permanecem sem tratamento;

quanto tempo riscos prioritários permanecem abertos;

quais riscos ultrapassaram a tolerância definida;

quantas ações identificadas nos exercícios foram concluídas;

quais funções críticas continuam sem alternativas de recuperação;

e quais riscos residuais foram formalmente aceitos.

A pergunta não deveria ser apenas:

“Quantas ações realizamos?”

Mas:

“Nossa exposição aos cenários que mais ameaçam a operação realmente diminuiu?”

Do gerenciamento de riscos à resiliência operacional

Registros de riscos e tabletop exercises cumprem funções diferentes, mas se tornam muito mais úteis quando fazem parte do mesmo processo.

O registro ajuda a organização a compreender onde estão seus riscos prioritários.

O exercício mostra se ela está preparada para enfrentá-los.

A governança determina quem precisa tomar as decisões.

E as ações resultantes precisam voltar ao processo de gerenciamento de riscos para que as lacunas identificadas sejam efetivamente tratadas.

Para a Cyrex Security, gerenciar riscos em OT significa transformar informações técnicas em decisões capazes de proteger aquilo que realmente importa: a continuidade e a segurança da operação.

Porque a pergunta mais importante não é:

“Temos um registro de riscos?”

Nem:

“Já realizamos um tabletop?”

É:

“Sabemos quais cenários podem comprometer nossa operação e estamos preparados para tomar as decisões certas se eles acontecerem?”