ISA/IEC 62443 para gestores de operação

Quem precisa entender IEC 62443

Na prática, IEC 62443 costuma ser tratada como assunto exclusivo do integrador de sistemas: aparece em proposta, gera mais um parágrafo de documentação, e some. Esse é exatamente o motivo pelo qual muitas plantas falham nas auditorias quando elas chegam.

A norma não é um produto que se compra. É um framework de governança de cibersegurança industrial que determina decisões em três níveis:

• Estratégico, gerentes de planta, diretores de operações, CFO
• Tático, engenheiros de projetos, gestores de contratos, TI
• Operacional, automação, manutenção, integradores

Se o nível estratégico não entende o framework, os outros dois ficam sem direção, e a planta acumula dívida técnica de cibersegurança.

O que a norma realmente exige

A IEC 62443 é dividida em quatro grupos de documentos:

• 62443-1, definições e conceitos gerais
• 62443-2, políticas e procedimentos (organização)
• 62443-3, requisitos de sistema (arquitetura, zonas/conduítes e requisitos por nível de segurança)
• 62443-4, requisitos de produto (fabricantes de equipamento)

Para um gerente de operações, o foco prático está em 62443-2-1 (programa de cibersegurança industrial) e 62443-3-3 (requisitos de sistema por nível de segurança).

Referência técnica pública

IEC 62443 como governança de risco operacional

Security Levels (SL), o que escolher

A norma define quatro níveis de segurança:

• SL-1, proteção contra violação casual
• SL-2, proteção contra ataques intencionais com recursos limitados
• SL-3, proteção contra ataques sofisticados
• SL-4, proteção contra ataques sofisticados e bem financiados

Para a maioria das plantas industriais brasileiras, SL-2 é o alvo realista para zonas críticas. SL-3 e SL-4 fazem sentido para infraestruturas críticas (energia, água, saneamento de grande porte) ou plantas-alvo de espionagem industrial.

O que mudou em compliance B2B

Empresas multinacionais, especialmente nos setores de alimentos, agronegócio e químico, passaram a exigir aderência a IEC 62443 em contratos de fornecimento e em auditorias de cadeia de suprimentos. Algumas seguradoras também já fazem perguntas específicas sobre maturidade de cibersegurança OT.

Isso significa que falhar em IEC 62443 deixa de ser apenas um risco operacional, vira risco contratual e risco de prêmio de seguro. O caminho estruturado para sair dessa exposição é um diagnóstico de redes e cibersegurança OT com gap analysis contra a norma, seguido de hardening dos ativos críticos por prioridade de risco.

O que perguntar ao seu integrador

Como gerente, você não precisa virar especialista em norma. Mas precisa saber o que perguntar:

1. “Que SL você está propondo para cada zona da minha planta?”
2. “Qual é a análise de risco que justifica esse SL?”
3. “Como vamos demonstrar conformidade em uma auditoria?”
4. “Que documentação fica comigo no fim do projeto?”
5. “Qual o plano de manutenção de patches e atualizações?”

Se o fornecedor responde com vendor pitch ou desconversa, você está falando com a pessoa errada.

Investimento que se paga

Cibersegurança OT não é gasto sem retorno. Na nossa experiência de engenharia em campo:

• Incidente em planta industrial não fica no custo direto de TI: ele combina parada de produção, recuperação manual, perda de batelada, laudos de seguro e impacto de marca. O custo de implantar controles desde o projeto é uma fração desse total.
• Plantas com programa estruturado de cibersegurança OT (inventário, segmentação, gestão de patches, backup, plano de resposta) costumam apresentar menos paradas não planejadas relacionadas a evento de segurança ou erro de mudança.
• Auditorias passam mais rápido quando o framework já está implementado e documentado, em vez de reconstruído sob pressão.

A conta fecha no longo prazo, e em prevenção, não em receita. Para referências externas sobre custo de incidentes em ambientes OT, fontes úteis são os relatórios anuais da ISA Global Cybersecurity Alliance, o IBM Cost of a Data Breach Report (que tem corte por setor industrial) e os boletins do CISA.

---

Sua planta tem uma análise de risco OT documentada? Se a resposta for não ou “não sei”, vale uma conversa estruturada.