Cibersegurança na Cadeia Industrial: os Riscos de Terceiros em 2026

Uma operação industrial não depende apenas dos sistemas e equipamentos que estão dentro de suas próprias instalações.

Fabricantes de equipamentos, fornecedores de software e hardware, integradores, empresas de manutenção, prestadores de serviços e outros parceiros fazem parte de um ecossistema cada vez mais conectado à operação.

Essa interdependência traz eficiência e especialização, mas também amplia o risco cibernético. Uma organização pode possuir controles robustos internamente e, ainda assim, estar exposta por meio de um fornecedor, produto ou serviço sobre o qual possui menor visibilidade.

Em 2026, esse desafio ganhou ainda mais relevância. Segundo o Global Cybersecurity Outlook 2026, do World Economic Forum, 65% das grandes empresas apontam vulnerabilidades de terceiros e da cadeia de suprimentos como seu maior desafio para a resiliência cibernética, contra 54% no ano anterior.

Para ambientes industriais e OT, a questão é ainda mais sensível: terceiros podem fornecer não apenas tecnologia, mas também possuir acesso a sistemas que sustentam processos críticos.

O Risco Não Termina nos Limites da Organização

Durante muito tempo, segurança da cadeia de suprimentos foi tratada principalmente como avaliação da maturidade dos fornecedores.

Esse continua sendo um componente importante, mas já não é suficiente.

O risco pode estar no software utilizado pela organização, em componentes incorporados a equipamentos industriais, no firmware de dispositivos, nos serviços contratados, nas credenciais utilizadas por terceiros ou nos próprios caminhos criados para permitir manutenção e suporte remoto.

O World Economic Forum identifica justamente o risco herdado como a principal preocupação relacionada à cadeia de suprimentos em 2026. Trata-se da dificuldade de assegurar a integridade de softwares, hardwares e serviços fornecidos por terceiros. Logo depois aparece a falta de visibilidade sobre essas dependências.

Isso muda a pergunta que uma organização precisa fazer.

Não basta saber “meu fornecedor possui controles de segurança?”

É preciso entender também “de que forma esse fornecedor, produto ou serviço se conecta à minha operação e o que poderia acontecer se ele fosse comprometido?”

Visibilidade Sobre a Cadeia Ainda é um Desafio

Quanto maior o número de fornecedores e dependências, mais difícil se torna compreender a extensão real da exposição.

Em 2026, 66% das organizações pesquisadas pelo World Economic Forum afirmaram avaliar a maturidade de segurança dos fornecedores e 65% envolver Segurança nos processos de aquisição.

Por outro lado, apenas 33% realizam um mapeamento abrangente do ecossistema da cadeia de suprimentos para compreender exposição e interdependências, e somente 27% simulam incidentes ou realizam exercícios de recuperação relacionados a esses riscos.

Existe, portanto, uma diferença importante entre avaliar um fornecedor e compreender o risco que ele representa para a operação.

Em ambientes industriais, esse mapeamento precisa considerar quais fornecedores possuem acesso à OT, quais ativos podem alcançar, quais produtos sustentam funções críticas e quais dependências poderiam provocar consequências operacionais em caso de comprometimento.

Segurança Precisa Começar Antes da Contratação

Uma das evoluções mais relevantes em 2026 está no papel da segurança durante o processo de aquisição.

Em julho, o NIST publicou a versão final do SP 1326, Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide.

A orientação reforça que decisões de aquisição precisam considerar os riscos relacionados ao fornecedor antes da contratação, por meio de processos estruturados de due diligence. Entre os componentes avaliados estão procedência, resiliência, práticas fundamentais de segurança e os diferentes níveis da cadeia de suprimentos.

Embora o SP 1326 seja especificamente direcionado a fornecedores de tecnologia da informação e comunicação, o princípio é relevante para organizações industriais:

segurança não deveria começar depois que uma tecnologia já está conectada à operação.

Requisitos de segurança precisam fazer parte da seleção, contratação e aquisição de produtos e serviços.

O Produto Também Faz Parte da Cadeia de Risco

Outro ponto que eu aprofundaria em relação ao artigo original é o papel dos próprios produtos industriais.

Quando uma organização adquire um controlador, sistema de automação ou outra tecnologia OT, ela também passa a depender das práticas adotadas pelo fabricante durante o desenvolvimento e ao longo do ciclo de vida desse produto.

A série ISA/IEC 62443 trata a segurança industrial de maneira ampla e estabelece requisitos para diferentes participantes do ecossistema, incluindo proprietários de ativos, prestadores de serviços e fabricantes de produtos e componentes.

Em agosto de 2026, ISA e Operational Technology Cybersecurity Coalition anunciaram uma colaboração justamente para ampliar a implementação e o reconhecimento da ISA/IEC 62443 como referência para cibersegurança OT.

Isso reforça um princípio fundamental para a cadeia industrial:

a segurança de uma operação também depende de como os produtos utilizados nela foram desenvolvidos, mantidos e suportados.

Acesso de Terceiros Precisa Ser Controlado

Fornecedores e prestadores frequentemente precisam acessar ambientes industriais para manutenção, diagnóstico, configuração ou suporte.

Esses acessos podem ser necessários para a operação, mas não deveriam permanecer disponíveis sem governança.

A organização precisa conhecer quem possui acesso, quais sistemas podem ser alcançados, quais privilégios foram concedidos, durante quanto tempo o acesso permanece ativo e como essas atividades são monitoradas.

O princípio do menor privilégio torna-se especialmente importante nesse contexto.

Um prestador que precisa acessar um equipamento específico para uma manutenção não deveria, por consequência, possuir caminhos desnecessários para outras partes da rede industrial.

Mais do que controlar fornecedores, o objetivo é reduzir a exposição criada pelas conexões necessárias à operação.

Gestão do Risco Precisa Acompanhar Todo o Ciclo de Vida

Outro problema do artigo original é tratar avaliação de fornecedores como uma atividade predominantemente periódica.

A segurança da cadeia não termina depois da contratação.

Produtos recebem atualizações. Empresas mudam de estrutura. Novos terceiros são adicionados. Vulnerabilidades são descobertas. Tecnologias chegam ao fim do suporte. Prestadores deixam de trabalhar com a organização.

Por isso, o gerenciamento de riscos da cadeia precisa acompanhar aquisição, implantação, operação, manutenção e desativação.

O próprio NIST reforçou essa abordagem em 2026. Além do SP 1326, publicou em junho a revisão do SP 800-18, incorporando planos de Cybersecurity Supply Chain Risk Management ao planejamento de segurança dos sistemas.

Isso ajuda a tirar o tema de uma lógica de checklist e colocá-lo dentro da gestão contínua de riscos.

Avaliar Fornecedores Não Significa Apenas Exigir Certificações

Normas e certificações continuam sendo referências importantes, mas não devem substituir a análise do contexto.

Uma certificação pode ajudar a demonstrar determinada maturidade ou conformidade, mas não responde sozinha qual impacto aquele fornecedor poderia provocar sobre uma operação específica.

Em OT, a ISA/IEC 62443 possui especial relevância justamente por abordar segurança de sistemas industriais e diferentes responsabilidades existentes no ecossistema.

A avaliação precisa considerar também questões práticas: criticidade do serviço, tipo de acesso, dependência operacional, produtos fornecidos, capacidade de resposta a vulnerabilidades, suporte durante o ciclo de vida e procedimentos em caso de incidente.

Quanto maior o impacto potencial de um fornecedor sobre a operação, maior deve ser a profundidade dessa avaliação.

Resiliência Também Precisa Incluir os Fornecedores

O cenário de 2026 mostra outra lacuna importante.

Embora muitas organizações avaliem fornecedores antes ou durante a contratação, poucas testam efetivamente o que aconteceria se uma dependência crítica fosse comprometida ou ficasse indisponível.

Apenas 27% das organizações pesquisadas pelo World Economic Forum afirmaram realizar simulações de incidentes cibernéticos ou exercícios de recuperação relacionados à cadeia de suprimentos.

Para operações industriais, isso pode significar testar perguntas como:

O que acontece se determinado fornecedor perder acesso aos seus sistemas?

A operação consegue continuar se uma tecnologia crítica ficar indisponível?

Existe uma alternativa para determinado componente ou serviço?

Como a organização seria informada se um fornecedor identificasse um incidente que pudesse afetá-la?

Quais acessos precisariam ser revogados imediatamente?

Esses cenários ajudam a transformar gestão de fornecedores em resiliência operacional.

Segurança da Cadeia é uma Responsabilidade Compartilhada

Nenhuma organização consegue eliminar completamente os riscos existentes em uma cadeia industrial.

Também não é realista exigir que todos os fornecedores possuam exatamente o mesmo nível de maturidade.

O objetivo é conhecer as dependências, identificar quais relações representam maior risco e aplicar controles proporcionais à criticidade.

Isso exige participação conjunta de Segurança, TI, OT, Engenharia, Suprimentos, Jurídico, Gestão de Riscos e das próprias empresas fornecedoras.

Em 2026, o desafio deixou de ser apenas “meus fornecedores são seguros?”.

A pergunta mais importante é:

“Se um fornecedor crítico for comprometido, sabemos até onde esse incidente pode chegar dentro da nossa operação?”

Para a Cyrex Security, fortalecer a cadeia industrial significa ampliar a visão de risco para além dos limites da própria organização, conectando segurança de terceiros, tecnologia e continuidade operacional.