Zonas e conduítes
Cada área crítica recebe fronteiras lógicas, regras de comunicação e critérios de acesso alinhados ao risco operacional.
Solução · Redes & Cibersegurança OT
Redes Industriais e IEC 62443
Projetamos e implementamos redes industriais robustas, segmentadas e seguras, alinhadas ao modelo CPwE (Converged Plantwide Ethernet) e ao framework de cibersegurança IEC 62443. Defense in depth do chão de fábrica até a integração corporativa.
Referência técnica pública
CPwE como referência para segmentação OT/IT
Referência visual pública para explicar zonas, IDMZ, integração OT/IT e defesa em profundidade em redes industriais.
Fonte: Cisco + Rockwell Automation - CPwE Design and Implementation Guides · consultar documentação oficial relacionada · acesso em 12 jul. 2026
Arquitetura em camadas
Como segregamos o ambiente OT
Cada camada tem regras claras de quem fala com quem. Sem rede flat, sem caminho direto entre chão de fábrica e internet.
- N0-1
Camada de Controle
PLCs, IEDs IEC 61850, dispositivos EtherNet/IP. Comunicação determinística com latência controlada.
- N2
Camada de Supervisão
SCADA, servidores HMI, estações de operação. Segregada do controle por VLANs industriais.
- N3
Camada de Informação
Historian, AF Templates, dashboards. Saída estruturada para sistemas corporativos via DMZ.
- Transversal
Camada de Segurança
Firewalls industriais, controle de acesso, monitoramento de eventos OT, segmentação Purdue.
Arquitetura de referência Integra
O desenho que aplicamos na prática
Diagrama autoral da Integra: uma arquitetura de referência baseada em Purdue, IDMZ e Cell/Area Zones. Os controles de cada conduíte são definidos por risco e podem incluir firewall, ACL, gateway ou outros mecanismos documentados.
Referência técnica pública
IDMZ como padrão de referência para a fronteira OT/IT
Print público do guia ENET-TD013A-EN-P: no desenho CPwE, a IDMZ intermedeia serviços entre TI e OT e evita tráfego IACS direto. A IEC 62443 exige zonas, conduítes e controles definidos por risco, mas não prescreve uma topologia única.
Fonte: Cisco + Rockwell Automation · Securely Traversing IACS Data across the IDMZ (ENET-TD013A-EN-P) · abrir documento citado · acesso em 12 jul. 2026
IDMZ · zona-pivô do CPwE
Quando TI e OT se integram, a IDMZ reduz exposição direta
Em arquiteturas CPwE, a IDMZ intermedeia serviços como gateways de transferência, acesso remoto, atualização e replicação de dados, evitando sessões diretas entre enterprise e a zona de controle. A seleção dos serviços e dos controles depende dos fluxos, da análise de risco e da operação real da planta.
- ·Firewalls redundantes em modo high-availability, com regras documentadas e revisadas por mudança.
- ·Serviços replicados (Historian, AD, WSUS, Antivírus) em vez de acesso direto enterprise→industrial.
- ·Acesso remoto por gateway ou jump host controlado, com autenticação forte, autorização, logs e gravação de sessão quando compatível com o risco.
- ·Pontos de desconexão (Disconnect) explícitos para isolar a planta em incidente de cibersegurança.
Como atuamos
Do diagnóstico ao plano de resposta
Cibersegurança OT não é firewall na borda. É segmentação correta, endurecimento de configuração, gestão de identidades, auditoria de mudanças e plano de resposta. Aplicamos os controles da IEC 62443 com base no nível de segurança (SL-T) definido por zona.
IDMZ industrial
Quando há integração entre TI e OT, uma IDMZ é uma arquitetura de referência para intermediar serviços e evitar caminhos diretos até a zona de controle.
Alta disponibilidade
DLR, PRP, redundância de uplinks e desenho de anel entram quando o custo de indisponibilidade justifica a complexidade.
O que você recebe
- Diagnóstico de rede industrial existente com análise de risco e maturidade
- Projeto de topologia (anel de fibra, DLR, PRP) com switches Cisco e Stratix
- Segmentação Purdue / CPwE com VLANs, ACLs e firewalls industriais
- Endurecimento de configuração de switches (port security, BPDU guard, storm control)
- Integração OPC UA com camada de supervisão e informação
- Roteiro de cibersegurança orientado à IEC 62443 SL-T por zona
- Processo de patching OT com inventário e evidências; FactoryTalk AssetCentre pode apoiar auditoria e controle de ativos, mas não instala patches de sistema operacional
- Diagnóstico de tráfego, loops, broadcast storms, latência e saúde de switches
- Hardening de servidores, estações de engenharia, HMIs e switches industriais
- Plano de monitoramento OT e resposta a incidentes com evidências operacionais
- Documentação de rede, plano de resposta a incidentes e treinamento OT
Referência técnica pública
DLR, topologia e disponibilidade em rede industrial
Referência visual pública para contextualizar topologias de alta disponibilidade, DLR e integração de controladores em redes industriais.
Fonte: Rockwell Automation - ControlLogix High Availability Reference Architectures · consultar documentação oficial relacionada · acesso em 12 jul. 2026
Rede industrial não é cabeamento: é arquitetura operacional
A proposta técnica da Integra inclui EtherNet/IP, OPC UA, Modbus TCP/RTU, IEC 61850, Foundation Fieldbus, Profibus PA e HART quando o processo exige. O desenho define onde cada protocolo entra, quais dados cruza, qual zona protege e como a manutenção diagnostica falhas sem depender de tentativa e erro.
Ver tecnologias de redes e OTFrameworks e referências aplicadas
-
ISA/IEC 62443Cibersegurança OT (zonas e SL) -
NIST SP 800-82Guia de segurança ICS/OT -
CPwEArquitetura Rockwell + Cisco + Panduit -
IEC 61850Comunicação em subestações -
DLR / PRPRedes de alta disponibilidade -
OPC UAComunicação segura entre sistemas
Perguntas frequentes
IEC 62443 é obrigatória no Brasil?
Não há lei brasileira específica obrigando IEC 62443. Ela é referência internacional adotada como base de cibersegurança industrial, citada em auditorias corporativas e em requisitos de clientes finais em diversos setores. É o padrão técnico que recomendamos para projetos novos.
Como vocês fazem segmentação sem parar a planta?
Trabalhamos por fases: primeiro mapeamos o tráfego real, desenhamos a segmentação alvo, validamos em homologação ou laboratório quando possível e fazemos o cutover em janela planejada com plano de rollback. A necessidade e a duração da parada dependem da topologia e das dependências encontradas.
Vocês entregam o equipamento de rede também?
Não fornecemos hardware diretamente. Como integradores, especificamos opções compatíveis com o projeto, como Stratix ou Cisco IE, e orientamos a aquisição por canais apropriados. Modelo, revisão, licenças e quantidade devem ser conferidos no pedido e no recebimento; a especificação reduz divergências, mas não substitui essa validação.
Como CPwE se relaciona com IEC 62443?
CPwE (Converged Plantwide Ethernet) é a arquitetura de referência conjunta da Rockwell e da Cisco para implementar os princípios de IEC 62443 em redes industriais: segmentação, defense-in-depth e zonas de segurança. Aplicamos os dois em conjunto.
Por onde começar uma jornada IEC 62443 numa planta legada?
Pelo diagnóstico: inventário de ativos, fluxos de comunicação, zonas implícitas e gaps contra SL-T desejado. Sem mapa, qualquer ação vira achismo. O diagnóstico orienta um roadmap progressivo, fasado por área crítica conforme prioridade de risco.
Quanto tempo leva implementar IDMZ numa planta existente?
Inclui análise de tráfego, desenho, aquisição de firewalls e servidores, migração de serviços replicados (PI-to-PI, RD Gateway, AD industrial, WSUS) e validação. O cronograma específico depende do escopo, das integrações existentes e das janelas operacionais disponíveis.
Posso ter rede industrial sem IDMZ se a planta for isolada?
Sim. A IEC 62443 exige que zonas, conduítes e controles sejam definidos pela análise de risco; ela não impõe uma topologia IDMZ pelo nome. Quando existem fluxos entre TI e OT, uma IDMZ é a arquitetura de referência recomendada pelo CPwE para intermediar serviços e reduzir caminhos diretos. Em ambiente realmente isolado, os controles e os riscos de mídia removível, manutenção e acesso local continuam precisando ser tratados.
Qual a diferença entre IEC 62443 SL-2 e SL-3?
Os níveis representam capacidades crescentes do adversário e requisitos por fundamento de segurança. O SL-T deve resultar da análise de risco de cada zona e pode ser um vetor, não uma etiqueta única para toda a planta. SL-3 normalmente exige controles mais robustos que SL-2, mas não se resume a uma lista genérica como 'MFA obrigatório'; os requisitos aplicáveis precisam ser avaliados por fundamento e arquitetura.
Patch management em OT atrasa a planta?
Pode exigir janela ou degradação controlada. Um programa maduro combina avaliação de aplicabilidade, homologação, backup, janela e rollback para equilibrar risco cibernético e disponibilidade. Nem todo patch é imediato nem toda postergação é segura; a decisão precisa ser registrada por ativo e vulnerabilidade.
Vocês fazem teste de penetração em rede OT?
Não executamos testes intrusivos em produção sem escopo, análise de risco e autorização formal. Quando há necessidade, trabalhamos com parceiros especializados, preferencialmente em ambiente espelho ou em janela controlada, com limites técnicos, monitoramento e plano de recuperação aprovados.
Aplicações por setor
Como zonas, conduítes e disponibilidade aparecem no processo
A topologia de rede deve seguir áreas, fluxos permitidos, operação remota e consequência de falha de cada setor.
Setor industrial
Armazenagem de grãos
Unidades distribuídas, telemetria, acesso remoto e rotas de transporte.
Setor industrial
Alimentos e bebidas
Segmentação entre produção, qualidade, utilidades e sistemas corporativos.
Setor industrial
Frigoríficos
Linhas, frio industrial e acesso controlado a ambientes de utilidades.
Setor industrial
Etanol de milho
Arquitetura plant-wide para processo contínuo, batelada e pacotes integrados.
Sua planta precisa de uma análise de rede e cibersegurança OT?
Começamos com diagnóstico documentado: o que existe hoje, qual o risco operacional, qual o gap até IEC 62443 SL-T desejado. Sem alarmismo, sem checklist de produto.