Tratando cada acesso remoto como um caminho controlado até a planta: uma entrada única, numa zona intermediária e monitorada, com autenticação multifator, credencial individual, janela de tempo aprovada e sessão registrada, sem conexão direta de fora para a rede de controle. A pressa tem motivo. No resumo de óleo e gás do Year in Review 2026, o Dragos diz que o acesso remoto é essencial para a operação do setor e, ao mesmo tempo, o principal caminho que os adversários usam para entrar. Para o Dragos, MFA, jump hosts e governança rigorosa de acesso não são controles opcionais nesse ambiente.
O que o Dragos encontrou em óleo e gás
O texto, publicado em abril de 2026, resume para o setor os achados do Dragos OT/ICS Cybersecurity Year in Review 2026, com dados de 2025:
- segmentação ruim entre IT e OT em 29% dos achados de óleo e gás, a maior proporção entre os setores; redes planas deixam o atacante e o ransomware se moverem quase sem resistência depois da entrada;
- credenciais padrão ou fracas em 26%;
- gestão de vulnerabilidades em 31% dos achados e falhas de proteção e detecção de malware em 37%, os maiores índices entre os setores;
- em 13% dos casos de resposta a incidentes do Dragos em 2025, o malware rodou sem gerar nenhum alerta.
O caso mais grave citado é o do grupo VOLTZITE, que comprometeu gateways celulares em operações de midstream nos Estados Unidos, chegou a estações de engenharia e extraiu arquivos de configuração e dados de alarme. Esses equipamentos costumam ficar na borda da rede de OT, sem monitoramento, e muitas vezes a TI nem sabe que eles existem. A recomendação do Dragos é que gateways celulares, conexões de fornecedores e caminhos de acesso remoto terminem em zonas monitoradas e controladas, e não direto na rede de OT.
O que a rotina do ONS já exige
No setor elétrico, a regra não é nova. A RO-CB.BR.01 do ONS, na revisão 02, vigente desde 22/03/2023, determina que:
- o Ambiente Regulado Cibernético (ARCiber) não seja acessível diretamente pela internet, mesmo protegido por firewalls, e que seus ativos não consigam se conectar à internet (item 4.1.2);
- o acesso a partir de redes externas valha só para atividades autorizadas e passe por VPN, ou tecnologia similar, por meio de um gateway ou serviço com controles de segurança (4.1.3);
- as credenciais sejam individuais; onde não for possível, a empresa mantenha a lista das pessoas autorizadas a usar as contas compartilhadas (4.5.1.1);
- as credenciais privilegiadas tenham aprovação com revisão periódica, uso só em tarefas administrativas, trilha de auditoria e múltiplos fatores de autenticação (4.5.1.5);
- cada ativo com credencial embarcada tenha senha própria (4.5.1.6).
Os prazos de implantação venceram em 9 de janeiro de 2023, para os itens 4.1.2 e 4.1.3, e em 9 de outubro de 2023, para a gestão de acessos (4.5.1). O que não foi implantado precisa de exceção documentada e aprovada pelo gestor do ARCiber (5.1).
Um desenho que a operação aceita
- Inventariar todos os caminhos de fora para dentro: VPNs, gateways celulares, modems de fornecedor e software de suporte remoto instalado em estações e IHMs.
- Concentrar a entrada numa DMZ industrial, com jump server, e fazer o segundo salto até o ativo só a partir dela.
- Dar a cada técnico de terceiro uma credencial individual e temporária, com MFA, janela pré-aprovada e aprovação do engenheiro responsável.
- Gravar a sessão e levar os registros a um monitoramento de segurança que entenda protocolos industriais.
- Rever os acessos com compras: quem saiu do fornecedor, quem ainda tem conta e que acesso o contrato prevê.
No case de saneamento publicado pela Vortex, a arquitetura-alvo leva o acesso remoto para dois saltos, um central na DMZ e outro local na rede industrial, e os terceiros deixam de chegar direto à rede OT; entre os controles priorizados estão o jump server em DMZ industrial e a credencial temporária de terceiros.
Perguntas para o comitê de compra
- COO ou diretor industrial: quantos fornecedores conseguem chegar hoje a um ativo que, se mexido, para a produção?
- Manutenção e automação: o acesso seguro atrasa o atendimento de emergência do fabricante? Se atrasa, alguém vai criar um atalho.
- TI industrial e OT: quem aprova cada sessão, e onde ela fica registrada?
- Compras: o contrato com integradores e fabricantes define como eles acessam, com que credencial e sob que controle?
- Regulatório e compliance: as exceções à RO-CB.BR.01 estão documentadas e aprovadas?
Como a Vortex ajuda
O programa de segurança convergente IT e OT da Vortex junta SOC OT no Cyber Defense Center, segmentação, acesso remoto seguro e inventário de ativos industriais. Pela linha Security Integration, a Vortex indica, implanta, integra e gerencia tecnologias de OT sem se prender a um fabricante, entre elas o OT-Secure Remote Access, que controla, autentica e monitora as conexões remotas de fornecedores, técnicos e operadores, com rastreabilidade e criptografia. A Vortex já fez dezenas de projetos de adequação à RO-CB.BR.01. Veja na página de infraestrutura crítica e energia, no guia IEC 62443, REN ANEEL 964 e rotina do ONS e em segurança para ambientes industriais.