Diagnóstico de maturidade OT
Energia, saneamento, logística, siderurgia e petroquímica: OT/SCADA, adequação à ANEEL e ao ONS e risco operacional.
Quero o diagnósticoJornada de Cibersegurança · NIST CSF 2.0
Identificar: conheça o seu risco antes que ele pare a operação
A primeira fase da Jornada segue a função Identificar do NIST CSF 2.0: saber quais ativos sustentam o negócio, onde eles estão expostos e o que corrigir primeiro, em IT, OT e IA.
Em resumo: A fase Identificar da Jornada de Cibersegurança da Vortex segue a função Identify do NIST CSF 2.0, cujo resultado é este: os riscos de cibersegurança atuais da organização são compreendidos. Começa pelo Vortex Assessment, o diagnóstico de maturidade pelo NIST CSF 2.0 conduzido por especialistas da Vortex, com o mapa das lacunas e um roteiro em ondas de 3, 6 e 12 meses. Depois, o Vortex Cockpit mantém a identificação contínua: consolida o inventário de ativos de todas as ferramentas, lê a superfície externa todos os dias e mede a função Identificar no Vortex Score. Em OT, o risco é priorizado pelo impacto físico no processo, pelo Cyber-PHA da ISA/IEC 62443-3-2.
NIST CSF 2.0
O que a função Identificar pede, e como a Vortex entrega
No NIST CSF 2.0, a função Identificar tem três categorias e trabalha junto com a função Governar, que define o contexto da organização, a estratégia de gestão de risco, os papéis, a política e a gestão de risco da cadeia de suprimentos.
| Categoria | O que o framework pede | Como a Vortex entrega |
|---|---|---|
| Gestão de ativos (ID.AM) | Inventários de hardware, de software, serviços e sistemas, de dados e dos serviços de fornecedores; o mapa dos fluxos de rede autorizados; ativos priorizados por classificação, criticidade e impacto na missão; gestão ao longo do ciclo de vida (ID.AM-01 a ID.AM-08) | Inventário de ativos do Vortex Cockpit, consolidado de todas as fontes, com os ativos vistos por uma só fonte sinalizados como não gerenciados e uma ficha com criticidade, serviço de negócio e fim de suporte. Em OT, inventário passivo, sem impacto operacional, com o mapa da comunicação entre as zonas do modelo Purdue |
| Avaliação de risco (ID.RA) | Vulnerabilidades identificadas, validadas e registradas; inteligência de ameaças; impactos e probabilidades; riscos priorizados e respostas planejadas e acompanhadas; fornecedores críticos avaliados antes da contratação (ID.RA-01 a ID.RA-10) | Gestão de exposição em infraestrutura, aplicações web, contêineres, IaC e OT; inteligência de ameaças (IoCs, TTPs, atores) com contexto setorial e regional; superfície externa lida todos os dias, de forma passiva, como um atacante a veria; caminhos de ataque até os ativos críticos e os pontos de corte; Risk Assessment OT pelo Cyber-PHA da ISA/IEC 62443-3-2; avaliação e acompanhamento do risco de fornecedores (TPRM) |
| Melhoria (ID.IM) | Melhorias identificadas a partir de avaliações, de testes e exercícios, inclusive com fornecedores, e da operação; planos de resposta a incidentes mantidos e melhorados (ID.IM-01 a ID.IM-04) | Roteiro de correção com responsáveis e prazos; ações ordenadas pelo ganho de postura e pelo esforço; defesas validadas por simulação controlada (BAS), pentest e purple team; a nota da função Identificar no Vortex Score, sempre com a cobertura da medição |
Categorias e subcategorias em tradução livre da Vortex do NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, de 26/02/2024 (texto oficial).
Como a Vortex conduz
Do diagnóstico à identificação contínua
A fase Identificar começa com um diagnóstico e não termina nele: o inventário e a exposição são medidos todos os dias, e cada achado vira uma ação com dono e prazo.
Diagnóstico
Onde a organização está hoje?
O que você recebe
- Vortex Assessment: o momento do negócio e o estágio de maturidade, com especialistas
- O mapa das lacunas pelo NIST CSF 2.0
- Roteiro em ondas de 3, 6 e 12 meses, com responsáveis e prazos
Inventário
O que precisa ser protegido?
O que você recebe
- Registro único por ativo, a partir de todas as ferramentas
- Ativos vistos por uma só fonte sinalizados como não gerenciados
- OT inventariada de forma passiva, sem tocar no processo
Exposição e risco
Por onde um atacante chegaria, e o que isso custaria?
O que você recebe
- Superfície externa lida todos os dias, como um adversário a veria
- Caminhos de ataque até os ativos críticos e os pontos de corte
- Em OT, o risco pelo impacto físico no processo (Cyber-PHA)
Melhoria
O que muda primeiro, e como provar que melhorou?
O que você recebe
- Ações ordenadas pelo retorno: maior ganho com menor esforço
- Defesas validadas por simulação controlada e pentest
- Vortex Score da função Identificar, com a cobertura da medição
O roteiro do Identificar define o que a fase Proteger implementa, e o inventário alimenta o monitoramento da fase Detectar e Responder.
Comitê de compra
O que cada área leva da fase Identificar
Case · Saneamento
Identificar em OT: do inventário ao risco inaceitável reduzido a zero
Risk Assessment OT/ICS em duas estações de tratamento de água e no centro de controle operacional de uma companhia de saneamento, com dados anonimizados. A prioridade foi definida pelo impacto físico, e o risco inaceitável foi reduzido a zero sem trocar o parque de automação. Leia o case.
208 ativos inventariados, 40 deles de OT, com coleta passiva
26 funções de automação avaliadas, do PLC ao broker MQTT
96 cenários de risco avaliados
Por setor
Comece pelo diagnóstico do seu setor
Avaliação de maturidade
Da fábrica à produção farmacêutica e à medicina diagnóstica: produção, propriedade intelectual, P&D e fornecedores.
Quero a avaliaçãoDiagnóstico de dados de saúde
Hospitais e redes de saúde: LGPD e dados de pacientes, IoT médica e continuidade assistencial.
Quero o diagnósticoTecnologias e serviços da fase Identificar
Agrupados pelas três categorias da função Identificar e pela função Governar do NIST CSF 2.0, que define o contexto, a estratégia de gestão de risco, os papéis e a política que a fase Identificar aplica.
Gestão de ativos (ID.AM) 6
Gestão de ativos (ID.AM)
OT Inventory
Descoberta passiva e inventário contínuo de ativos OT e ICS (PLCs, IHMs, SCADA, historians, RTUs), com identificação sem impacto operacional e mapa da comunicação entre as zonas do modelo Purdue.
1 de 41
Gestão de ativos (ID.AM)
Attack Surface Management (ASM)
Descoberta e classificação contínuas da superfície de ataque, interna e externa, com priorização das exposições por risco e mapeamento contra os ativos mais críticos do negócio.
2 de 41
Gestão de ativos (ID.AM)
Data Discovery and Classification
Descoberta e classificação automatizadas de dados sensíveis, estruturados ou não, em compartilhamentos de arquivos, bancos de dados, armazenamento em nuvem, SaaS e endpoints. Base para DLP e DSPM eficazes.
3 de 41
Gestão de ativos (ID.AM)
Data Security Posture Management (DSPM)
Visibilidade contínua de onde estão os dados sensíveis, quem tem acesso, como estão configurados e onde há risco de exposição, com foco em nuvem e SaaS e correlação entre identidade, dado e configuração.
4 de 41
Gestão de ativos (ID.AM)
Data Lifecycle Management
Gestão do ciclo de vida do dado: políticas de retenção, arquivamento, eliminação segura e guarda legal conforme os requisitos regulatórios e do negócio.
5 de 41
Gestão de ativos (ID.AM)
AI Exposure Management
Descoberta e proteção das superfícies expostas ligadas a IA: modelos, prompts, endpoints de LLM, shadow AI corporativo e vazamento de dados sensíveis por chatbots.
6 de 41
Avaliação de risco (ID.RA) 18
Avaliação de risco (ID.RA)
External Attack Surface Management (EASM)
Descoberta e monitoramento contínuos dos ativos expostos à internet (domínios, subdomínios, IPs, serviços, certificados) do ponto de vista de um atacante externo: o que ele vê primeiro.
7 de 41
Avaliação de risco (ID.RA)
Infrastructure Vulnerability
A ferramenta de Infrastructure Vulnerability realiza a varredura e análise contínua de servidores, redes e dispositivos para identificar vulnerabilidades técnicas. Ela classifica os riscos encontrados, orienta correções e ajuda a manter a infraestrutura protegida contra ameaças exploráveis.
8 de 41
Avaliação de risco (ID.RA)
Web Application Vulnerability
Essa solução foca na identificação de vulnerabilidades em aplicações web, como injeções SQL, XSS e problemas de autenticação. A ferramenta realiza testes automáticos e fornece relatórios detalhados para que os times de desenvolvimento possam agir rapidamente e de forma precisa.
9 de 41
Avaliação de risco (ID.RA)
SAST e DAST
Análise estática do código-fonte e teste dinâmico da aplicação em execução, para encontrar vulnerabilidades no desenvolvimento e em produção.
10 de 41
Avaliação de risco (ID.RA)
Application Security Review
Revisão da segurança de aplicações, da arquitetura ao código e às dependências, com recomendações para o ciclo de desenvolvimento.
11 de 41
Avaliação de risco (ID.RA)
Software Composition Analysis (SCA)
Análise de bibliotecas open source e componentes de terceiros para encontrar vulnerabilidades conhecidas (CVEs), problemas de licença e riscos de cadeia de suprimentos, como typosquatting e pacotes maliciosos.
12 de 41
Avaliação de risco (ID.RA)
Application Security Posture Management (ASPM)
Consolida e prioriza os achados de segurança de aplicações vindos de várias ferramentas (SAST, DAST, SCA, WAF, pentest) em uma plataforma única, com correlação e eliminação de duplicados.
13 de 41
Avaliação de risco (ID.RA)
Container Vulnerability
A ferramenta de Container Vulnerability analisa imagens de contêineres em busca de vulnerabilidades conhecidas e configurações inseguras. Ela permite que os ambientes baseados em contêineres sejam validados antes da publicação em produção, garantindo segurança desde a construção até a execução.
14 de 41
Avaliação de risco (ID.RA)
Infrastructure as Code (IaC) Vulnerability
Essa solução analisa arquivos de infraestrutura como código (IaC), como Terraform e CloudFormation, em busca de falhas de segurança na definição de ambientes. A ferramenta detecta configurações inseguras antes da criação da infraestrutura, garantindo ambientes seguros desde o início da automação.
15 de 41
Avaliação de risco (ID.RA)
Cloud Security Posture (CSPM/CIEM)
Combinação de CSPM (configuração) e CIEM (permissões de identidade na nuvem) para governar de forma contínua a postura e as permissões efetivas em ambientes multicloud.
16 de 41
Avaliação de risco (ID.RA)
Cloud Security Assessment
Avaliação da configuração, das identidades e da arquitetura de segurança em AWS, Azure e GCP, com base em benchmarks reconhecidos e plano de correção priorizado.
17 de 41
Avaliação de risco (ID.RA)
Identity Exposure
Mapeamento de exposições de identidade: contas privilegiadas mal configuradas, caminhos de escalação, ACLs perigosas e delegações desprotegidas em Active Directory e Entra ID.
18 de 41
Avaliação de risco (ID.RA)
OT Exposure Management
OT Exposure Management é uma ferramenta que identifica vulnerabilidades em ativos industriais, como PLCs, SCADAs e dispositivos de rede OT. Ela oferece visibilidade sobre falhas técnicas e orienta a priorização e correção de riscos em ambientes de missão crítica.
19 de 41
Avaliação de risco (ID.RA)
Attack Path Analysis
Grafo dos caminhos de ataque possíveis entre os pontos de entrada e os ativos mais críticos. Encontra os pontos de estrangulamento cuja correção quebra vários caminhos de uma vez e maximiza o retorno da remediação.
20 de 41
Avaliação de risco (ID.RA)
Threat Modeling
Modelagem de ameaças de sistemas e processos críticos, para antecipar vetores de ataque e definir controles ainda no desenho da solução.
21 de 41
Avaliação de risco (ID.RA)
Risk Assessment & Cyber Risk Management
Identificação, análise e tratamento dos riscos cibernéticos no contexto do negócio, para apoiar decisões de investimento e de aceitação de risco.
22 de 41
Avaliação de risco (ID.RA)
Security Rating
Avaliação externa e contínua da postura de segurança, em nota ou letra, com base em sinais observáveis de fora. Usada na gestão de risco de terceiros (TPRM) e em comparações com o mercado.
23 de 41
Avaliação de risco (ID.RA)
Cyber Due Diligence
Avaliação da postura de segurança de empresas em processos de fusão e aquisição, para dimensionar riscos e passivos antes da transação.
24 de 41
Melhoria (ID.IM) 8
Melhoria (ID.IM)
Breach and Attack Simulation (BAS)
Simulação contínua e automatizada de técnicas conhecidas (MITRE ATT&CK) para validar os controles e a cobertura de detecção do SOC. Mostra a distância entre "temos a ferramenta" e "ela funciona".
25 de 41
Melhoria (ID.IM)
Continuous Automated Red Teaming (CART)
Red team autônomo e contínuo: simula adversários com objetivos definidos (ativos críticos, escalação, exfiltração) e revalida as defesas 24x7.
26 de 41
Melhoria (ID.IM)
Red Team & Adversary Simulation
Simulação de um adversário real, com objetivos definidos e técnicas do MITRE ATT&CK, para medir a capacidade da organização de prevenir e detectar um ataque direcionado e de responder a ele.
27 de 41
Melhoria (ID.IM)
Social Engineering & Phishing Campaign
Campanhas controladas de phishing e engenharia social para medir a exposição das pessoas e orientar as ações de conscientização.
28 de 41
Melhoria (ID.IM)
Tabletop Exercise & Incident Response Preparedness
Exercícios de mesa com a liderança e as equipes técnicas, simulando incidentes como ransomware, para testar planos de resposta, papéis e comunicação.
29 de 41
Melhoria (ID.IM)
SOC & Security Operations Maturity Assessment (SOC-CMM)
Avaliação da maturidade das operações de segurança pelo modelo SOC-CMM, em negócio, pessoas, processos, tecnologia e serviços, com plano de evolução.
30 de 41
Melhoria (ID.IM)
AI Security Assessment
Avaliação da governança e da segurança no uso de IA, com aderência a referências como ISO/IEC 42001, NIST AI RMF e LGPD.
31 de 41
Melhoria (ID.IM)
Gap Remediation Planning
Transformação das lacunas apontadas em assessments e auditorias em um plano de ação com responsáveis, prazos e prioridades.
32 de 41
Governar (GV) 9
Governar (GV)
vCISO e Fractional Security Leadership
Liderança de segurança sob demanda: um executivo da Vortex conduz o programa de cibersegurança, a governança e o reporte ao conselho.
33 de 41
Governar (GV)
Cyber Program Roadmap & Strategy
Definição da estratégia e do roadmap do programa de cibersegurança, com prioridades, investimentos e indicadores alinhados ao negócio.
34 de 41
Governar (GV)
Policy, Standards & Procedures Development
Elaboração e revisão de políticas, normas e procedimentos de segurança da informação alinhados aos frameworks e às exigências regulatórias.
35 de 41
Governar (GV)
Compliance Readiness
Preparação para a conformidade com a LGPD, o PCI DSS e a ISO/IEC 27001: análise de lacunas, plano de adequação e apoio até a auditoria.
36 de 41
Governar (GV)
Policy Compliance
Policy Compliance é uma ferramenta que avalia a aderência do ambiente de TI às políticas de segurança internas e aos requisitos regulatórios. Ela automatiza verificações e auditorias, aponta desvios e fornece recomendações para garantir que a empresa esteja em conformidade com normas como LGPD, ISO/IEC 27001 e outras.
37 de 41
Governar (GV)
Privacy Management
Automação dos processos de LGPD e GDPR: mapeamento do tratamento de dados pessoais, gestão de consentimento, atendimento aos direitos do titular e relatórios de impacto (DPIA/RIPD).
38 de 41
Governar (GV)
OT Governance
Governança de OT alinhada à IEC 62443 e ao NIST SP 800-82: políticas, procedimentos, papéis de TI e OT e gestão de mudanças no ambiente industrial.
39 de 41
Governar (GV)
AI Governance
Governança do uso de IA na organização: inventário dos sistemas de IA, avaliação de risco por caso de uso, conformidade com EU AI Act e NIST AI RMF, monitoramento de shadow AI e políticas de uso responsável.
40 de 41
Governar (GV)
Cyber Exposure Reporting
Consolidação e relatório executivo das exposições cibernéticas, com painéis, KPIs de redução de exposição, tendências e comparação com referências do setor para a alta direção.
41 de 41
A Vortex atua de forma agnóstica: as tecnologias são indicadas pelo diagnóstico, de acordo com o ambiente e os riscos de cada organização.
Para se aprofundar
Guias e plataforma
Vortex Cockpit
Postura de controles, Vortex Score por função do NIST CSF 2.0, inventário de ativos e superfície externa, numa plataforma.
Conheça o CockpitGuia: IEC 62443, ANEEL 964 e ONS
O que a REN 964 e a rotina do ONS exigem, como a IEC 62443 se encaixa e um checklist prático.
Leia o guiaPerguntas frequentes
Quais são as funções do NIST CSF 2.0?
São seis: Governar (GV), Identificar (ID), Proteger (PR), Detectar (DE), Responder (RS) e Recuperar (RC). A versão 1.1, de 2018, tinha cinco; a versão 2.0, publicada pelo NIST em 26 de fevereiro de 2024, acrescentou Governar, e por isso ainda se ouve falar das "cinco funções" do NIST. Governar fica no centro do modelo, porque orienta como a organização implementa as outras cinco. A Jornada de Cibersegurança da Vortex segue as seis funções em três fases: Identificar, com Governar; Proteger; e Detectar e Responder, com Recuperar.
O que é a função Identificar do NIST CSF 2.0?
É a função cujo resultado é este: os riscos de cibersegurança atuais da organização são compreendidos. Ela reúne três categorias: gestão de ativos (ID.AM), avaliação de risco (ID.RA) e melhoria (ID.IM). Conhecer os ativos, os fornecedores e os riscos permite priorizar os esforços de acordo com a estratégia de risco definida na função Governar.
Qual a diferença entre Identificar e Governar no NIST CSF 2.0?
Governar, função criada na versão 2.0, define o contexto da organização, a estratégia de gestão de risco, os papéis e responsabilidades, a política, a supervisão e a gestão de risco da cadeia de suprimentos. Identificar aplica essa estratégia aos ativos, às vulnerabilidades e às ameaças de hoje e aponta as melhorias. O diagnóstico de maturidade da Vortex avalia as funções do CSF 2.0, inclusive Governar, e o Vortex Score mede as duas no dia a dia.
O que o diagnóstico de maturidade entrega?
O Vortex Assessment, conduzido por especialistas, mede a maturidade pelo NIST CSF 2.0 e mostra o momento do negócio e o estágio da jornada de cibersegurança. Entrega o mapa das lacunas, um roteiro em ondas de 3, 6 e 12 meses, com responsáveis e prazos, e a indicação agnóstica das tecnologias e estratégias para avançar.
O Identificar é um projeto pontual?
Não precisa ser. O diagnóstico é o ponto de partida, e o Vortex Cockpit mantém a identificação contínua: o inventário de ativos é consolidado de todas as ferramentas, a superfície externa é lida todos os dias e os controles são verificados diariamente. Medidas com mais de sete dias são desconsideradas, para que a nota reflita o presente.
Como identificar os ativos de OT sem parar a produção?
Com coleta passiva: o inventário de OT identifica PLCs, IHMs, SCADA, historians e RTUs sem impacto operacional e mapeia a comunicação entre as zonas do modelo Purdue. No case de saneamento, foram inventariados 208 ativos, 40 deles de OT, sem tocar no processo, e o risco foi priorizado pelo impacto físico, pelo Cyber-PHA da ISA/IEC 62443-3-2.
Fornecedores entram na fase Identificar?
Sim. O NIST CSF 2.0 pede o inventário dos serviços prestados por fornecedores (ID.AM-04) e a avaliação dos fornecedores críticos antes da contratação (ID.RA-10), e trata a gestão de risco da cadeia de suprimentos na função Governar (GV.SC). A Vortex avalia e acompanha o risco de fornecedores e parceiros com critérios proporcionais à criticidade de cada um. O guia de risco de terceiros e SCRM detalha o ciclo do fornecedor.
Comece pelo diagnóstico de maturidade
Conte um pouco do seu ambiente e do seu setor. Um especialista da Vortex retorna para combinar o diagnóstico.
- Diagnóstico de maturidade pelo NIST CSF 2.0
- Atendimento por especialistas da Vortex
- Indicação agnóstica de tecnologias
Atualizado em