// OF-02 · Segmentar
Segmentação de rede industrial e acesso remoto seguro para fornecedores.
Zonas e condutas alinhadas com a IEC 62443 e um acesso remoto em que cada fornecedor entra só onde precisa, com identidade, aprovação e registo. Desenhado para ser implementado por fases, sem paragens não planeadas.
O problema
Uma rede OT plana significa que um portátil infetado num escritório pode chegar a um PLC. Uma VPN partilhada por vários fornecedores significa que não se sabe quem entrou, quando, nem o que alterou.
Estes são, em muitas instalações, os dois riscos com mais impacto e com solução mais direta. O difícil não é a teoria: é segmentar uma rede que tem de continuar a produzir.
Segmentação: zonas e condutas
- Definição de zonas por função e criticidade: rede corporativa, DMZ industrial, operações, células de produção e sistemas de segurança.
- Condutas documentadas: cada fluxo permitido entre zonas, com protocolo, origem, destino e justificação.
- Níveis de segurança alvo (SL-T) por zona, segundo a IEC 62443-3-2 e 3-3, na medida certa para a instalação.
- Regras de firewall entre IT, DMZ industrial e células, e serviços partilhados (AD, historian, atualizações) colocados no sítio certo.
- Opções de implementação realistas com o equipamento existente: VLAN, ACL, firewalls industriais ou de nova geração.
Acesso remoto seguro para fornecedores
- Fim das VPN partilhadas e das portas abertas para a internet.
- Acesso por identidade, com autenticação forte e aprovação por pedido ou por janela de manutenção.
- Acesso apenas ao equipamento necessário, através de ZTNA, jump hosts na DMZ industrial ou ambos.
- Gravação de sessões e registo de quem acedeu, a quê e durante quanto tempo.
- Procedimento escrito simples para pedir, aprovar e retirar acessos.
Plano de migração sem paragens
A arquitetura alvo só tem valor se puder ser implementada. Por isso, o desenho inclui um plano faseado: primeiro observar os fluxos reais, depois aplicar regras em modo de monitorização, e só então bloquear, célula a célula, nas janelas de manutenção.
O que recebe
- Arquitetura alvo com zonas, condutas e níveis de segurança, em formato editável.
- Matriz de fluxos permitidos entre zonas.
- Desenho do acesso remoto de fornecedores e procedimento de aprovação.
- Plano de migração faseado, com riscos e pontos de reversão.
- Especificação técnica que serve de base a pedidos de proposta a integradores ou fabricantes.
Perguntas frequentes
É preciso ter feito uma avaliação antes?
Ajuda muito, porque a segmentação parte dos fluxos reais. Se já existir um inventário fiável, podemos começar diretamente pelo desenho. Caso contrário, propomos uma avaliação curta como primeira fase.
Recomendam algum fabricante de ZTNA ou firewall?
Não temos acordos com fabricantes. Definimos requisitos e comparamos opções com base no que já existe na instalação, no orçamento e na capacidade da equipa para operar a solução.
A segmentação obriga a trocar equipamento?
Nem sempre. Muitas instalações conseguem um primeiro nível de segmentação com VLAN, ACL e uma firewall na fronteira IT/OT. O plano separa o que é possível já do que exige investimento.
O que significa alinhar com a IEC 62443?
Usar o modelo de zonas e condutas e os níveis de segurança da norma como referência de desenho. Não é uma certificação; é uma linguagem comum com integradores, fabricantes e auditores.
Última atualização: novembro de 2026.