Acesso remoto seguro em máquinas industriais: guia prático

Por que o acesso remoto industrial exige uma arquitetura própria

Em um escritório, reiniciar um computador ou bloquear uma conta costuma ter impacto limitado. Em tecnologia operacional, uma alteração pode interromper a produção, mudar o comportamento de um movimento ou afetar a disponibilidade de uma função essencial. Por isso, aplicar à máquina a mesma solução usada para acessar computadores administrativos não é uma decisão automática.

Também existe uma diferença de ciclo de vida. CLPs, IHMs e supervisórios podem permanecer em operação por muitos anos, depender de versões específicas de software e não aceitar atualizações no mesmo ritmo da rede corporativa. A proteção precisa considerar essas restrições sem transformar a continuidade da produção em justificativa para manter acessos abertos e invisíveis.

O primeiro princípio é simples: o acesso remoto deve terminar em um ponto controlado, e não diretamente no dispositivo de automação. Um gateway, concentrador VPN ou estação intermediária administrada permite autenticar o usuário, limitar o destino e registrar a sessão. A tecnologia escolhida varia, mas o controle precisa existir antes de alguém alcançar a rede da máquina.

Cinco erros que deixam CLPs e IHMs mais expostos

O erro mais crítico é publicar portas do equipamento na internet para tornar o suporte mais rápido. Interfaces web, protocolos industriais e serviços de programação não foram criados para receber tráfego público indiscriminado. Mesmo quando existe senha, uma configuração incorreta, uma credencial reutilizada ou uma falha não corrigida pode ampliar o risco.

Outro problema frequente é o acesso compartilhado. Quando fornecedor, manutenção e engenharia utilizam o mesmo usuário, torna-se difícil saber quem entrou, por qual motivo e o que foi alterado. A ausência de prazo também cria contas esquecidas: o projeto termina, mas a permissão continua ativa por meses ou anos.

Por fim, uma rede plana permite que um incidente em um notebook ou servidor avance até as máquinas. Segmentação não significa apenas separar cabos; envolve definir zonas, rotas, regras e protocolos realmente necessários. O objetivo é impedir que qualquer equipamento conectado à rede corporativa converse livremente com todos os ativos de produção.

• Redirecionar portas do roteador diretamente para CLP, IHM ou supervisório.
• Usar senhas padrão, compartilhadas ou sem autenticação multifator.
• Misturar rede corporativa e rede de máquinas sem regras de comunicação.
• Manter acesso permanente quando a necessidade é apenas uma intervenção pontual.
• Permitir alterações sem registro, aprovação, backup ou plano de retorno.

Como montar um caminho de acesso mais seguro

Uma arquitetura prática começa com separação entre internet, rede corporativa e rede industrial. O usuário externo se autentica em um serviço controlado e, a partir dele, alcança somente a estação ou o ativo autorizado. Regras de firewall devem liberar o mínimo necessário: origem conhecida, destino específico, protocolo definido e janela de tempo compatível com a atividade.

Cada profissional precisa de uma conta identificável e protegida por autenticação multifator. O perfil deve seguir o princípio do menor privilégio: quem precisa visualizar diagnóstico não recebe automaticamente permissão para carregar programas; quem atende uma máquina não ganha acesso a toda a planta. A autorização pode exigir aprovação de uma pessoa responsável antes do início da sessão.

O acesso também deve ser temporário. Definir horário, duração e encerramento automático reduz permissões esquecidas. Quando a infraestrutura permitir, registre início e fim, origem, equipamento acessado e ações relevantes. Esses registros ajudam tanto na investigação de incidentes quanto na análise de uma parada ocorrida depois de uma intervenção.

• Gateway ou estação intermediária administrada, sem exposição direta do ativo.
• Segmentação entre TI e OT, com regras explícitas de firewall.
• Contas nominais, autenticação multifator e privilégio mínimo.
• Acesso aprovado, com prazo e escopo definidos para cada atendimento.
• Registro de sessão e procedimento claro para revogar permissões.

O que verificar antes de permitir suporte de um fornecedor

Antes da conexão, a empresa deve saber quem acessará, de qual organização, por qual ferramenta e com qual objetivo. Também é importante confirmar o ativo exato, os softwares que serão utilizados, o responsável interno que acompanhará o serviço e o critério para considerar a atividade encerrada.

Mudanças de programa, parâmetros ou firmware precisam seguir o controle de alterações da planta. Uma cópia aprovada deve ser gerada antes da intervenção, e o plano de retorno precisa indicar como recuperar a condição anterior se o teste falhar. O artigo da P.A.S sobre backup de CLP e IHM detalha como organizar versões e validar a restauração.

O notebook remoto também faz parte do risco. Ele deve estar atualizado, protegido e dedicado ao trabalho autorizado sempre que possível. Arquivos recebidos, ferramentas de engenharia e mídias removíveis precisam seguir a política da empresa. Encerrar a sessão não basta quando um software permanente continua instalado e configurado para iniciar sozinho.

• Quem solicitou e quem aprovou o acesso?
• Qual máquina, endereço e protocolo serão liberados?
• A sessão será acompanhada e registrada?
• Existe backup válido e um procedimento de retorno?
• Como a permissão será revogada ao final do atendimento?
• Quem confirmará os testes funcionais e a liberação da máquina?

Exemplo prático de atendimento remoto controlado

Imagine uma máquina que apresenta alarmes intermitentes na IHM. O integrador precisa observar estados do CLP e consultar o histórico do supervisório, mas não há necessidade inicial de alterar a lógica. Em vez de liberar o CLP na internet, a manutenção abre uma solicitação com horário e equipamento definidos.

O integrador acessa o gateway com sua conta nominal e autenticação multifator. A regra permite chegar somente à estação de engenharia daquela célula, em modo de consulta, durante duas horas. Um responsável da fábrica acompanha o diagnóstico e o registro da sessão permanece disponível. Se uma mudança for necessária, ela vira uma nova etapa: backup, aprovação, análise de risco, alteração controlada e teste funcional.

Ao final, a sessão é encerrada, a permissão temporária expira e o atendimento registra o que foi encontrado. Esse exemplo é hipotético, mas mostra uma diferença importante: acesso remoto seguro não depende apenas de uma ferramenta. Ele combina arquitetura, identidade, processo de manutenção e responsabilidade sobre a liberação da máquina.

Como incluir cibersegurança em retrofit e novos projetos

O melhor momento para definir o acesso remoto é durante o projeto. A topologia de rede pode reservar zonas, endereços, interfaces e pontos de controle antes da partida. A especificação também deve indicar quem administra as contas, onde ficam os registros e quais componentes continuarão recebendo suporte do fabricante.

Em retrofits, comece pelo inventário. Identifique dispositivos, versões, portas, conexões existentes e acessos instalados por fornecedores anteriores. Depois, classifique a criticidade da máquina e elimine caminhos que não possuem responsável ou necessidade comprovada. O trabalho deve envolver automação, manutenção, TI, segurança da informação, produção e segurança de máquinas conforme o impacto da mudança.

A P.A.S pode apoiar o levantamento dos ativos de automação, a organização da topologia, os backups e os requisitos do lado da máquina em conjunto com a equipe de TI ou cibersegurança do cliente. Essa integração evita que a conectividade seja adicionada no final do projeto sem documentação, testes ou definição de responsabilidade.