Segurança Cibernética na Cadeia de Suprimentos de Infraestruturas Críticas

A segurança de uma operação crítica não depende apenas dos controles implementados dentro da própria organização.

Equipamentos industriais, softwares, firmwares, componentes, serviços de manutenção, integradores e fornecedores fazem parte de um ecossistema cada vez mais conectado. Isso significa que uma vulnerabilidade ou comprometimento em qualquer ponto dessa cadeia pode introduzir riscos no ambiente operacional.

Em setores como energia, essa preocupação ganha ainda mais relevância. Um único equipamento pode reunir componentes provenientes de diversos fabricantes e posteriormente ser integrado a outros sistemas antes de chegar à operação. Por isso, a segurança da cadeia de suprimentos precisa considerar todo o ciclo de vida da tecnologia, desde seu desenvolvimento e aquisição até implantação, manutenção e desativação.

Os Supply Chain Cybersecurity Principles do Departamento de Energia dos Estados Unidos (DOE) reforçam justamente essa visão de responsabilidade compartilhada entre fornecedores e usuários de tecnologias utilizadas em sistemas de energia e controle industrial.

O Risco Pode Estar Além dos Limites da Organização

A crescente interdependência entre organizações e fornecedores transforma a cadeia de suprimentos em uma parte importante da superfície de risco.

Em ambientes OT, essa relação pode envolver fabricantes de equipamentos, desenvolvedores de software, integradores, empresas de manutenção, fornecedores de serviços e profissionais que possuem algum tipo de acesso à infraestrutura.

Por isso, proteger apenas o perímetro da própria organização não é suficiente.

É necessário compreender quais terceiros participam da operação, quais tecnologias fornecem, quais ativos conseguem acessar, quais dependências existem e como a segurança desses produtos e serviços é mantida ao longo de seu ciclo de vida.

Em 2026, o DOE voltou a reforçar esse ponto ao destacar que praticamente todas as operações dependem de uma combinação complexa de hardware, firmware, software e serviços. Essa dependência pode introduzir vulnerabilidades que precisam ser identificadas, avaliadas e mitigadas por programas estruturados de gestão de riscos da cadeia de suprimentos.

Segurança Precisa Começar Antes da Aquisição

Uma das principais evoluções da segurança da cadeia de suprimentos é justamente deixar de avaliar riscos somente depois que uma tecnologia já está instalada.

Os requisitos de cibersegurança precisam fazer parte do processo de aquisição.

Antes de incorporar um equipamento, sistema ou serviço a uma operação crítica, a organização deve avaliar aspectos como práticas de desenvolvimento seguro do fornecedor, mecanismos de atualização, gestão e divulgação de vulnerabilidades, suporte durante o ciclo de vida e requisitos de segurança do produto.

Os princípios do DOE incluem, entre outros pontos, gestão de risco orientada a impacto, desenvolvimento e implementação seguros, transparência, suporte durante o ciclo de vida, gestão proativa de vulnerabilidades, resposta a incidentes e resiliência operacional.

Isso muda uma pergunta importante.

Em vez de avaliar apenas “essa tecnologia atende às necessidades da operação?”, organizações responsáveis por infraestruturas críticas também precisam perguntar “como a segurança dessa tecnologia será sustentada durante todo o período em que ela permanecer na operação?”

Fornecedores Também Fazem Parte da Superfície de Ataque

Outro ponto crítico são os acessos concedidos a terceiros.

Fabricantes, integradores e prestadores de serviços podem precisar acessar remotamente equipamentos industriais para manutenção, suporte ou diagnóstico. Esses acessos são necessários em muitas operações, mas precisam ser conhecidos e controlados.

Uma estratégia adequada deve estabelecer quem pode acessar os ambientes críticos, quais sistemas podem ser alcançados, quais privilégios são necessários, por quanto tempo o acesso permanece disponível e como essas atividades são monitoradas.

Isso também significa evitar acessos permanentes ou excessivamente privilegiados quando não forem necessários e garantir que credenciais e conexões de terceiros sejam gerenciadas de acordo com o risco da operação.

A cadeia de suprimentos, portanto, não termina quando determinado equipamento é entregue. A relação com fornecedores continua sendo parte da segurança durante todo o ciclo de vida do ativo.

Gestão de Vulnerabilidades ao Longo do Ciclo de Vida

Equipamentos industriais podem permanecer em operação durante décadas. Nesse período, vulnerabilidades podem ser descobertas, componentes podem deixar de receber suporte e novas ameaças podem surgir.

Por isso, organizações precisam conhecer não apenas seus ativos, mas também os fabricantes, versões de software e firmware, dependências e condições de suporte relacionadas a cada tecnologia.

Quando uma vulnerabilidade é identificada, é necessário avaliar seu risco para a operação, verificar as orientações do fornecedor e determinar a estratégia de tratamento mais adequada.

Em OT, isso nem sempre significa aplicar imediatamente um patch. Dependendo do ativo e de sua criticidade, podem ser necessários testes, homologação, planejamento para uma janela de manutenção ou adoção temporária de controles compensatórios.

A responsabilidade do fornecedor também é relevante nesse processo. O DOE inclui suporte e manutenção durante o ciclo de vida e gestão proativa de vulnerabilidades entre seus princípios para segurança da cadeia de suprimentos.

Responsabilidade Compartilhada em Ambientes OT

Uma das ideias mais importantes da abordagem atual é que segurança não pertence exclusivamente ao proprietário do ativo.

A série ISA/IEC 62443 trabalha justamente com o princípio de responsabilidade compartilhada entre diferentes participantes do ecossistema de automação, incluindo proprietários de ativos, fornecedores de produtos, integradores e prestadores de serviços.

Essa divisão de responsabilidades aparece em diferentes partes da série.

A ANSI/ISA-62443-2-1:2024, por exemplo, estabelece requisitos para programas de segurança de proprietários de ativos, enquanto a IEC 62443-2-4 estabelece requisitos relacionados aos prestadores de serviços de IACS. A série também contempla requisitos voltados ao desenvolvimento seguro de produtos e componentes.

Para organizações brasileiras, isso oferece uma referência importante para estabelecer critérios de segurança não somente internamente, mas também nas relações com empresas que fornecem tecnologias e serviços para ambientes industriais.

O Contexto Brasileiro

No setor elétrico brasileiro, a segurança cibernética também faz parte das estruturas estabelecidas para proteção da operação.

O Operador Nacional do Sistema Elétrico (ONS) publicou em 2021 a RO-CB.BR.01 – Controles Mínimos de Segurança Cibernética para o Ambiente Regulado Cibernético, estabelecendo controles a serem implementados pelo ONS e pelos agentes abrangidos pela rotina. A vigência começou em julho daquele mesmo ano, com requisitos e prazos definidos pelo documento.

Portanto, eu retiraria do artigo original a afirmação de que a rotina “se tornou obrigatória em 2022”. Essa descrição simplifica demais o processo e não corresponde ao que o próprio ONS informa sobre sua entrada em vigor.

Para empresas brasileiras de infraestrutura crítica, referências como as orientações do ONS e a ISA/IEC 62443 podem ajudar a estruturar responsabilidades, requisitos técnicos e critérios para relacionamento com fornecedores.

Resiliência Também Depende da Cadeia de Suprimentos

A gestão de riscos da cadeia de suprimentos não deve ter como objetivo apenas impedir a entrada de uma tecnologia vulnerável.

É necessário estar preparado para situações em que uma vulnerabilidade seja descoberta, um fornecedor seja comprometido, um componente deixe de receber suporte ou um serviço essencial fique indisponível.

Isso exige planos de resposta e recuperação que considerem também dependências externas.

Em 2026, o DOE tem reforçado justamente essa combinação entre segurança da cadeia, preparação e resiliência. No setor de óleo e gás, por exemplo, o CESER vem conduzindo exercícios para testar mecanismos de emergência, coordenação e possíveis lacunas nos planos de segurança das organizações.

Uma estratégia madura precisa, portanto, combinar gestão de fornecedores, requisitos de segurança na aquisição, controle de acessos de terceiros, gestão de vulnerabilidades, monitoramento, resposta a incidentes e planejamento de continuidade.

Da Gestão de Fornecedores para a Gestão de Risco da Cadeia

A principal mudança de perspectiva está aqui.

Segurança da cadeia de suprimentos não significa apenas avaliar se um fornecedor é seguro. Significa compreender como produtos, componentes, serviços, pessoas e dependências externas podem introduzir ou ampliar riscos para uma operação crítica.

Essa visão precisa acompanhar toda a vida útil da tecnologia.

Em 2026, o DOE mantém os Supply Chain Cybersecurity Principles como referência para fornecedores e usuários e, por meio do Energy Cyber Sense, busca identificar e reduzir vulnerabilidades presentes nas tecnologias que compõem a cadeia do setor energético.

Para a Cyrex Security, essa visão integrada é particularmente importante em ambientes OT. Conhecer dependências, avaliar riscos de terceiros e estabelecer controles adequados ajuda organizações a reduzir pontos cegos e fortalecer a resiliência de suas operações críticas.