Gestão de Riscos e Threat Intelligence em OT

O volume de informações disponíveis sobre ameaças cibernéticas nunca foi tão grande. Indicadores de comprometimento, vulnerabilidades, campanhas, técnicas de ataque, grupos de ameaça e dados sobre exploração circulam continuamente entre equipes de segurança.

Mas ter mais informação não significa necessariamente compreender melhor o risco.

Em ambientes OT e infraestruturas críticas, Threat Intelligence gera valor quando ajuda a organização a transformar informações externas sobre ameaças em decisões relacionadas à sua própria operação.

A pergunta deixa de ser apenas:

“Quais ameaças estão surgindo?”

e passa a ser:

“Quais dessas ameaças realmente importam para a nossa operação e o que devemos priorizar agora?”

Essa mudança é especialmente relevante em 2026. A Dragos aponta que adversários vêm aprofundando o conhecimento sobre ambientes industriais, chegando ao mapeamento de processos e control loops. Ao mesmo tempo, três novos grupos de ameaças OT foram identificados em seu relatório anual publicado em 2026.

Nesse cenário, aproximar gestão de riscos e Cyber Threat Intelligence (CTI) permite que a organização deixe de analisar ameaças de maneira abstrata e passe a relacioná-las aos ativos, processos e consequências que realmente importam para o negócio.

Gestão de Riscos Começa pelo Contexto

Gestão de riscos cibernéticos não deve ser reduzida à identificação de vulnerabilidades.

Uma vulnerabilidade é apenas uma das variáveis que podem contribuir para o risco.

É preciso compreender quais ativos sustentam funções críticas, quais dependências existem entre eles, como estão expostos, quais controles já estão implementados e quais seriam as consequências de um comprometimento.

Por isso, eu retiraria do artigo a fórmula:

Risco = Ameaça × Vulnerabilidade × Impacto.

Ela pode funcionar como recurso didático, mas simplifica excessivamente uma análise que, na prática, depende de contexto, probabilidade, consequências, controles existentes, exposição e diferentes fatores organizacionais.

O NIST Cybersecurity Framework 2.0 trabalha justamente com uma abordagem estruturada para gerenciamento do risco cibernético, conectando governança, identificação, proteção, detecção, resposta e recuperação. Em agosto de 2026, o NIST publicou inclusive um novo guia para apoiar organizações no uso de referências informativas associadas aos resultados do CSF 2.0.

Em OT, essa análise ganha uma dimensão adicional.

O impacto não precisa se limitar a confidencialidade ou perda de dados. Dependendo do ativo, pode envolver indisponibilidade, interrupção da produção, perda de visibilidade operacional, alteração de processos e consequências sobre sistemas físicos.

É esse contexto que determina o risco.

Threat Intelligence Não é Apenas um Feed

Essa é uma das mudanças mais importantes em relação ao artigo original.

Feeds continuam sendo fontes possíveis de inteligência, mas Threat Intelligence não deveria ser definida pela quantidade de feeds que uma organização consome.

Dados brutos precisam ser analisados, contextualizados e transformados em conhecimento acionável.

Uma organização pode receber milhares de indicadores todos os dias e, ainda assim, continuar sem responder questões básicas:

Quem tem capacidade e intenção de atingir organizações como a nossa?

Quais técnicas esses adversários estão utilizando?

Quais caminhos de acesso são mais relevantes para o nosso ambiente?

Quais ativos seriam mais importantes para eles?

Temos controles capazes de detectar essas atividades?

O que aconteceria com a operação caso um desses ativos fosse comprometido?

É quando a inteligência começa a responder a essas perguntas que ela passa a apoiar efetivamente a gestão de riscos.

De Indicadores para Comportamento do Adversário

Outra evolução importante é não depender exclusivamente de indicadores como endereços IP, domínios ou hashes.

Esses elementos continuam úteis, mas podem mudar rapidamente.

Compreender táticas, técnicas e procedimentos dos adversários permite construir uma visão mais duradoura sobre como determinados ataques são executados.

Em OT, isso é particularmente relevante porque diferentes adversários possuem objetivos, capacidades e níveis de conhecimento industrial distintos.

O cenário divulgado pela Dragos em 2026 mostra justamente uma evolução nesse sentido. Segundo a empresa, determinados adversários estão avançando da simples obtenção de acesso para o entendimento de processos industriais e mapeamento de control loops, conhecimento que pode apoiar futuras ações sobre sistemas físicos.

Portanto, saber apenas que “existe uma ameaça OT” é pouco.

A organização precisa entender como essa ameaça opera e se possui os ativos, tecnologias ou exposições que poderiam tornar aquela atividade relevante para seu ambiente.

Threat Intelligence Também Ajuda a Priorizar Vulnerabilidades

A integração fica ainda mais clara quando olhamos para gestão de vulnerabilidades.

Imagine que uma organização possua centenas ou milhares de vulnerabilidades conhecidas.

Tentar tratar todas com a mesma urgência não é uma estratégia eficiente.

A inteligência pode ajudar a identificar quais vulnerabilidades já estão sendo exploradas, quais estão associadas a campanhas relevantes e quais apresentam maior probabilidade de exploração.

O catálogo Known Exploited Vulnerabilities (KEV) da CISA, por exemplo, reúne vulnerabilidades com evidências de exploração no mundo real. A própria CISA recomenda utilizá-lo como uma das entradas para frameworks de priorização de vulnerabilidades.

Outro recurso é o Exploit Prediction Scoring System (EPSS), mantido pela FIRST, que estima a probabilidade de uma vulnerabilidade publicada ser explorada nos próximos 30 dias.

Mas nenhum desses sinais deveria decidir sozinho.

Uma priorização mais madura pode combinar:

severidade técnica + exploração conhecida + probabilidade de exploração + exposição + criticidade do ativo + contexto da ameaça + impacto operacional.

Assim, a inteligência deixa de funcionar apenas como uma fonte externa de alertas e passa a contribuir diretamente para a decisão sobre risco.

A Inteligência Precisa Conhecer o Ambiente

Existe ainda outro problema no modelo baseado apenas em feeds.

Uma ameaça pode ser extremamente relevante globalmente e praticamente irrelevante para determinada organização.

Se uma campanha explora uma tecnologia que não existe no ambiente, por exemplo, sua prioridade tende a ser diferente daquela associada a uma tecnologia presente em um sistema crítico e exposto.

Por isso, Threat Intelligence sem conhecimento dos próprios ativos tem valor limitado.

Inventário, arquitetura, criticidade, dependências, exposição e tecnologias utilizadas precisam fornecer contexto para a inteligência.

Em OT, isso também significa entender quais sistemas sustentam processos físicos.

O objetivo não é simplesmente perguntar:

“Essa ameaça existe?”

Mas:

“Essa ameaça encontra um caminho plausível até a nossa operação?”

Do Threat Intelligence ao Threat-Informed Defense

Quando a inteligência é integrada ao conhecimento do ambiente, ela pode influenciar diretamente as defesas.

Se determinada técnica de acesso inicial aparece repetidamente em campanhas relevantes para o setor, a organização pode avaliar se possui controles capazes de preveni-la ou detectá-la.

Se um adversário utiliza credenciais válidas para movimentação dentro do ambiente, pode ser necessário revisar identidade, privilégios e acesso remoto.

Se dispositivos de borda aparecem como caminho recorrente de entrada, exposição externa e configuração desses ativos passam a merecer maior atenção.

Essa é uma evolução importante: Threat Intelligence não deveria terminar em um relatório.

Ela deveria alimentar decisões sobre controles, detecção, arquitetura, vulnerabilidades, resposta a incidentes e exercícios de segurança.

Inteligência Também Pode Revelar Lacunas de Detecção

Outra aplicação importante é comparar o comportamento conhecido dos adversários com a capacidade atual de monitoramento da organização.

Se determinado grupo utiliza uma sequência conhecida de técnicas, a equipe pode perguntar:

Conseguiríamos enxergar essas atividades acontecendo em nosso ambiente?

Caso a resposta seja negativa, existe uma lacuna de visibilidade ou detecção.

Isso permite utilizar Threat Intelligence não apenas para acompanhar ameaças, mas também para testar se a estratégia de defesa está preparada para o comportamento observado no mundo real.

Em OT, essa capacidade é especialmente importante porque os primeiros sinais de um incidente podem aparecer como anomalias operacionais e não necessariamente como alertas tradicionais de segurança.

O Desafio Continua Sendo Separar Sinal de Ruído

O artigo original acertava ao destacar esse problema, e ele continua extremamente relevante.

Mais inteligência não significa necessariamente melhor inteligência.

A organização precisa estabelecer Priority Intelligence Requirements (PIRs) ou perguntas prioritárias que orientem aquilo que realmente precisa conhecer.

Por exemplo:

Quais grupos estão direcionando atividades ao nosso setor?

Quais vulnerabilidades presentes em nossos ativos possuem exploração conhecida?

Quais técnicas poderiam permitir acesso aos nossos sistemas críticos?

Quais fornecedores ou tecnologias utilizados pela organização estão aparecendo em campanhas recentes?

Quais mudanças no cenário de ameaças deveriam alterar nossas prioridades de segurança?

Essas perguntas ajudam a transformar a coleta indiscriminada de dados em inteligência direcionada às necessidades do negócio.

TI e OT Precisam Compartilhar Contexto

A integração entre gestão de riscos e Threat Intelligence também exige colaboração.

Segurança pode acompanhar adversários e campanhas.

TI pode compreender determinados sistemas, identidades e exposições corporativas.

Engenharia e Operações conhecem os processos físicos, as dependências e as consequências de uma intervenção.

A liderança compreende quais serviços e operações são essenciais para o negócio.

Em OT, nenhuma dessas perspectivas isoladamente fornece todo o contexto necessário.

Uma vulnerabilidade tecnicamente crítica pode ter baixo impacto operacional. Outra aparentemente menos severa pode estar presente em um ativo fundamental para a continuidade da produção.

É a combinação dessas perspectivas que transforma informação técnica em decisão de risco.

Da Informação à Decisão

Em 2026, o desafio já não é simplesmente obter mais informações sobre ameaças.

É saber quais informações mudam uma decisão.

Quando gestão de riscos e Threat Intelligence trabalham de forma integrada, a organização consegue relacionar:

ameaça → comportamento do adversário → exposição → ativo → função crítica → impacto operacional → prioridade de defesa.

Essa cadeia é muito mais útil do que analisar cada elemento isoladamente.

A inteligência ajuda a compreender o que está acontecendo fora da organização.

A gestão de riscos ajuda a entender o que isso significa dentro dela.

E a união das duas permite decidir onde agir primeiro.

Para a Cyrex Security, Threat Intelligence deve contribuir para uma visão mais contextualizada do risco, especialmente em ambientes críticos, onde decisões de segurança precisam considerar também disponibilidade, continuidade e impacto operacional.

Porque a pergunta mais importante não é:

“Quantas ameaças estamos monitorando?”

É:

“Quais ameaças realmente podem impactar nossa operação e estamos preparados para elas?”

O que eu mudei