O modelo do castelo e do fosso: como pensa (e falha) a ciberseguranca OT clássica

Se alguma vez falou com um engenheiro de cibersegurança sobre como proteger uma instalação industrial, provavelmente já ouviu a expressão "modelo castelo e fosso" (castle-and-moat). É uma das analogias mais antigas — e mais úteis — do setor para explicar, sem jargão técnico, como as redes industriais (OT) foram tradicionalmente protegidas. E é também a analogia perfeita para explicar porque é que essa proteção, sozinha, já não é suficiente.

A ideia original: uma única muralha grande

Um castelo medieval defendia-se com uma lógica simples: uma muralha alta, um fosso à volta, um único portão vigiado. Tudo o que estava dentro era considerado "de confiança"; tudo o que estava fora era hostil. Se a muralha aguentasse, o interior estava protegido.

Durante décadas, as redes OT (os sistemas que controlam PLCs, SCADA, robôs e linhas de produção) foram concebidas exatamente assim:

• A muralha é a firewall perimetral entre a rede da fábrica (OT) e a rede corporativa (IT).
• O fosso é a separação física ou lógica que dificulta o acesso direto a partir do exterior.
• O portão vigiado é o único ponto de acesso remoto, normalmente uma VPN ou um servidor de salto (jump server).
• O interior do castelo é toda a rede da fábrica: PLCs, HMIs, historiadores de dados — tudo tratado como "zona de confiança" depois de lá dentro.

Esta lógica funcionou razoavelmente bem enquanto as redes OT estavam fisicamente isoladas ("air-gapped") e ninguém de fora precisava de aceder. O problema é que essa premissa deixou de ser verdadeira há mais de uma década.

Porque é que o castelo de uma só muralha já não protege

O modelo de perímetro único tem uma falha estrutural: quem ultrapassa a muralha tem acesso a tudo. E hoje há muitas mais formas de a ultrapassar do que quando o modelo foi concebido:

• Um fornecedor externo liga-se com o seu próprio portátil para dar suporte a uma máquina — e esse portátil já está infetado.
• Um colaborador liga uma pen USB com uma atualização de firmware que traz malware sem saber.
• Uma VPN de manutenção remota foi aberta há anos e ninguém a reviu desde então.
• A convergência IT/OT (impulsionada pela Indústria 4.0, manutenção preditiva, dashboards na cloud) multiplica os pontos de ligação entre a rede corporativa e a fábrica.

Em todos estes casos, o atacante não salta a muralha a partir de fora: já está dentro do fosso, e o modelo castelo-e-fosso não tem qualquer resposta para isso. É a mesma razão pela qual o setor IT tem migrado há anos para modelos "zero trust" — com a diferença de que em OT não se pode aplicar zero trust da mesma forma: um PLC de 2008 não consegue autenticar-se com certificados modernos, e uma paragem não planeada causada por um incidente de segurança pode custar muito mais do que num servidor de escritório.

A tradução real: zonas e condutas (IEC 62443)

É aqui que a analogia deixa de ser uma metáfora bonita e passa a ser engenharia aplicada. A norma IEC 62443 — a referência para cibersegurança em sistemas de automação e controlo industrial — não propõe "uma muralha maior". Propõe muitas muralhas mais pequenas, organizadas por criticidade.

Em termos de castelo: em vez de um único perímetro exterior, há um pátio exterior, uma muralha interior, uma torre de menagem — e cada anel tem o seu próprio portão e o seu próprio nível de vigilância. Em termos da IEC 62443, isto chama-se segmentação em zonas e condutas:

• Zonas: os ativos são agrupados por função e criticidade — a rede de um PLC de segurança funcional não é igual à de uma impressora de etiquetas. Cada zona tem o seu próprio nível de segurança-alvo (Security Level, SL 1 a 4).
• Condutas: cada comunicação entre zonas passa por um ponto controlado e auditado — sem tráfego livre só "porque já estamos dentro do castelo".
• Defesa em profundidade: se um atacante compromete uma zona, a segmentação limita o movimento lateral para zonas mais críticas — o pátio exterior pode cair sem que a torre de menagem caia com ele.

Isto não elimina o perímetro (a muralha exterior continua necessária), mas deixa de ser a única linha de defesa. A pergunta já não é "a muralha aguenta?", mas sim "se a muralha cair, o que é que o atacante consegue realmente alcançar?"

O que isto significa numa auditoria real

Quando auditamos uma fábrica, a pergunta que realmente importa não é se têm firewall (quase todos têm), mas sim:

1. A rede da fábrica está segmentada por zonas de criticidade real, ou é uma única rede plana com uma firewall à entrada?
2. Há visibilidade sobre o que comunica entre zonas, ou assume-se que "tudo o que é interno é de confiança"?
3. Os acessos remotos (fornecedores, manutenção) passam por uma conduta auditada, ou é uma VPN aberta desde 2015?
4. Os ativos mais críticos — os que param a produção ou colocam pessoas em risco — estão na zona com o nível de segurança mais alto, ou misturados com o resto?

Um castelo de uma só muralha é mais barato de construir. Mas quando cai, cai por inteiro. Uma fábrica segmentada em zonas e condutas custa mais a projetar — mas quando algo falha, falha uma zona, não a fábrica inteira.

Se quiser saber em que ponto deste espetro está a sua instalação, é exatamente isso que avaliamos numa auditoria IEC 62443: não se tem uma muralha, mas quantas muralhas tem e onde estão colocadas.