Cibersegurança Industrial em 2026: Como Proteger OT e ICS

A digitalização e a conectividade ampliaram as possibilidades das operações industriais, mas também transformaram o cenário de risco cibernético.

Sistemas de Tecnologia Operacional (OT), como sistemas de controle industrial (ICS), PLCs, HMIs, estações de engenharia e outros ativos responsáveis por monitorar e controlar processos físicos, estão cada vez mais conectados a redes corporativas, acessos remotos, fornecedores e diferentes plataformas tecnológicas.

Em 2026, o desafio não está apenas no crescimento das ameaças, mas principalmente na evolução da capacidade dos adversários de compreender e alcançar ambientes industriais.

O Dragos 2026 OT/ICS Cybersecurity Report identificou três novos grupos de ameaças direcionados a infraestruturas críticas e aponta adversários avançando do reconhecimento para atividades como o mapeamento de control loops, coleta de informações operacionais e compreensão de como determinados processos físicos podem ser afetados.

Isso reforça uma mudança importante: proteger OT e ICS não significa apenas impedir o acesso a sistemas. Significa reduzir a possibilidade de que um incidente cibernético se transforme em impacto operacional.

O Risco Cibernético Está Cada Vez Mais Próximo da Operação

Durante muito tempo, muitos sistemas industriais foram projetados priorizando disponibilidade, confiabilidade e segurança operacional, em contextos nos quais a conectividade era significativamente menor.

Hoje, essa realidade mudou.

Integração entre TI e OT, manutenção remota, sistemas baseados em Windows, equipamentos conectados e dependências de infraestrutura corporativa criaram novos caminhos até os ambientes industriais.

Ao mesmo tempo, adversários estão ampliando seu conhecimento sobre esses sistemas.

Em 2025, período analisado no relatório publicado pela Dragos em 2026, grupos de ameaças foram observados coletando configurações, informações de alarmes e dados de processos industriais. A Dragos também identificou adversários estudando HMIs, atuadores, medidores, gateways e estações de engenharia para compreender como os sistemas de controle funcionam.

O risco, portanto, vai além da indisponibilidade de dados.

Em ambientes OT, um incidente pode afetar a capacidade de visualizar, controlar ou operar um processo físico.

Ransomware Continua Pressionando o Setor Industrial

O ransomware permanece como uma das ameaças de maior impacto para organizações industriais.

A Dragos acompanhou 119 grupos de ransomware com alcance sobre organizações industriais em 2025, contra 80 no ano anterior. Aproximadamente 3.300 organizações industriais foram impactadas, e a manufatura representou mais de dois terços das vítimas.

A pressão continuou em 2026.

Somente no segundo trimestre, a Dragos identificou 1.140 incidentes de ransomware envolvendo organizações industriais, crescimento de 12% em relação aos 1.020 identificados no primeiro trimestre. A manufatura concentrou 747 casos, seguida por organizações relacionadas a ICS, transporte e logística.

Mas existe uma diferença importante em relação à forma como esse risco era apresentado anteriormente.

Um ransomware não precisa necessariamente manipular diretamente um PLC ou outro sistema de controle para provocar consequências na produção.

Estações de engenharia, HMIs, sistemas corporativos, infraestrutura virtualizada e outras tecnologias das quais a operação depende podem ser comprometidas, fazendo com que um incidente inicialmente classificado como de TI gere consequências operacionais.

Por isso, ransomware industrial precisa ser analisado também como um problema de continuidade operacional.

Visibilidade Continua Sendo uma das Principais Lacunas

Não é possível proteger adequadamente um ambiente que a organização não consegue enxergar.

Conhecer os ativos existentes, suas comunicações, dependências, configurações e comportamentos é uma das bases da segurança OT.

No entanto, nas avaliações analisadas pela Dragos em seu relatório de 2026, apenas 46% apresentavam monitoramento adequado das redes OT. Além disso, 56% dos testes de penetração conseguiram utilizar ferramentas legítimas do próprio ambiente sem gerar alertas.

Essa falta de visibilidade pode dificultar a identificação de reconhecimento, movimentação lateral e outras atividades antes que um problema operacional apareça.

Por isso, inventário de ativos e monitoramento não deveriam ser tratados como iniciativas isoladas.

O objetivo é construir visibilidade suficiente para compreender o comportamento normal da operação e identificar quando algo começa a fugir desse padrão.

Segmentação Entre TI e OT Ainda é um Desafio

A conexão entre TI e OT não precisa ser eliminada. Ela precisa ser compreendida e controlada.

A Dragos identificou problemas de segmentação entre TI e OT em 81% das avaliações realizadas, enquanto 73% dos casos históricos de resposta a incidentes considerados pela empresa envolveram credenciais comprometidas de VPN ou jump hosts.

Uma arquitetura adequadamente segmentada ajuda a reduzir os caminhos disponíveis para um adversário e limita a possibilidade de que um comprometimento se espalhe entre diferentes ambientes.

A CISA também recomenda separar redes TI e OT e utilizar zonas intermediárias apropriadas para reduzir o potencial impacto das ameaças sobre operações essenciais.

Em vez de pensar apenas em uma divisão física entre “rede corporativa” e “rede industrial”, a organização precisa entender quais sistemas realmente precisam se comunicar, por quais caminhos e sob quais condições.

Acesso Remoto Também Precisa Fazer Parte da Estratégia

Outro ponto importante para a segurança industrial em 2026 é o acesso remoto.

Fabricantes, integradores, equipes internas e prestadores de manutenção frequentemente precisam acessar equipamentos e sistemas industriais sem estar fisicamente na planta.

Esses acessos podem ser necessários, mas também criam caminhos que precisam ser governados.

A CISA recomenda proteger acessos remotos a OT, utilizar autenticação multifator resistente a phishing, aplicar o princípio do menor privilégio e desabilitar contas que não sejam mais necessárias.

Isso significa que a organização precisa saber quem acessa OT, por qual caminho, quais ativos consegue alcançar e quais privilégios possui.

Gestão de Vulnerabilidades Não Significa Atualizar Tudo

Outro ponto que precisa ser revisto em relação às práticas tradicionais de TI é a gestão de vulnerabilidades.

O texto original recomendava manter todos os sistemas atualizados com os patches mais recentes. Para OT, essa orientação é simplificadora e pode até gerar riscos operacionais.

Equipamentos industriais podem possuir ciclos de vida longos, sistemas legados, requisitos específicos de disponibilidade e dependências que dificultam a aplicação imediata de atualizações.

Os próprios dados de 2026 reforçam esse desafio: a Dragos identificou que 25% das vulnerabilidades analisadas em ICS-CERT e NVD possuíam pontuações CVSS incorretas, 26% dos avisos não apresentavam patch ou mitigação fornecida pelo fabricante e apenas 2% das vulnerabilidades relevantes para ICS foram classificadas como prioridade imediata pelo modelo de risco utilizado pela empresa.

A gestão precisa, portanto, considerar criticidade do ativo, exposição, exploração conhecida, impacto operacional, disponibilidade de correção e controles compensatórios.

O NIST também reconhece que determinados controles podem não ser tecnicamente viáveis ou adequados em OT devido a possíveis impactos sobre desempenho, segurança física ou confiabilidade, sendo necessária a adoção de controles compensatórios em alguns cenários.

O objetivo não é corrigir tudo primeiro.

É reduzir primeiro aquilo que representa maior risco para a operação.

Detecção Precisa Estar Conectada ao Processo Industrial

Em OT, um dos primeiros sinais de um incidente pode não aparecer em um alerta tradicional de segurança.

Pode surgir como um comportamento inesperado da própria operação.

Segundo a Dragos, 30% dos casos de resposta a incidentes analisados começaram com problemas operacionais sem explicação, enquanto 82% das organizações avaliadas não possuíam critérios claros para determinar quando uma anomalia operacional deveria iniciar uma investigação cibernética.

Isso mostra por que Segurança, TI, Engenharia e Operações precisam trabalhar de maneira integrada.

Um operador pode perceber uma alteração no processo antes que uma equipe de segurança identifique um indicador tradicional de comprometimento.

Da mesma forma, uma equipe de segurança pode detectar uma atividade suspeita que só poderá ser corretamente interpretada com conhecimento sobre o processo industrial.

Detecção em OT precisa combinar contexto cibernético e contexto operacional.

Resposta a Incidentes Precisa Considerar a Operação Física

Ter um plano de resposta a incidentes é fundamental, mas um plano desenvolvido exclusivamente para TI pode não ser suficiente para OT.

Isolar um servidor corporativo e isolar um sistema responsável por um processo industrial são decisões muito diferentes.

Uma ação de contenção pode afetar produção, qualidade, disponibilidade e até segurança física.

Por isso, planos de resposta OT precisam definir previamente responsabilidades e envolver as áreas que conhecem o processo industrial.

Também precisam ser testados.

Exercícios de mesa e simulações ajudam a identificar lacunas antes de uma situação real: quem possui autoridade para interromper determinado processo, quais sistemas podem ser isolados com segurança, como operar durante uma indisponibilidade e quais informações precisam estar disponíveis para recuperação.

De Proteção de Sistemas para Resiliência Operacional

O cenário de 2026 mostra que a cibersegurança industrial está entrando em uma nova etapa.

Ransomware continua causando interrupções, mas adversários especializados em OT também estão desenvolvendo conhecimento mais profundo sobre sistemas de controle e processos físicos.

Ao mesmo tempo, lacunas básicas de visibilidade, segmentação, gestão de acessos e resposta continuam presentes em muitas organizações.

Por isso, fortalecer ICS não significa simplesmente adicionar novas ferramentas de segurança.

Significa conhecer os ativos e suas dependências, controlar os caminhos até a operação, priorizar vulnerabilidades de acordo com risco real, detectar comportamentos anormais e preparar as equipes para responder sem ampliar o impacto sobre o processo industrial.

Para a Cyrex Security, cibersegurança industrial significa conectar proteção cibernética e conhecimento da operação para fortalecer sua resiliência.

A pergunta deixa de ser apenas “nossos sistemas industriais estão protegidos?”

E passa a ser:

“Se um incidente chegar à OT, nossa operação estará preparada para detectá-lo, contê-lo e continuar funcionando?”