Zonas, Conduítes e SL-T (3-2)
Delimitar o Sistema sob Consideração (SuC), executar a avaliação de risco cibernético (ZCR 1 a ZCR 7), separar células de controle e sistemas instrumentados de segurança (SIS) e atribuir o Security Level Target (SL-T).
← Explorar tecnologias
Guia de normas · Cibersegurança industrial
IEC 62443: requisitos e responsabilidades ao longo da vida do sistema
Aplicar a série ISA/IEC 62443 em uma planta industrial exige delimitar o Sistema sob Consideração (SuC), particionar ativos em Zonas e Conduítes (IEC 62443-3-2), definir níveis de segurança alvo (SL-T) e traduzir requisitos técnicos (IEC 62443-3-3) e operacionais (IEC 62443-2-1/2-4) em controles verificáveis. Este guia estrutura as decisões de arquitetura, avaliação de risco e hardening em OT.
Visão geral
ISA/IEC 62443 na arquitetura e governança de IACS.
A série ISA/IEC 62443 é o referencial normativo internacional para cibersegurança de Sistemas de Automação e Controle Industrial (IACS). Diferente de normas genéricas de TI, ela organiza requisitos técnicos e processuais em quatro grupos e separa claramente três papéis ao longo do ciclo de vida: o proprietário do ativo (Asset Owner, partes 2-1 e 3-2), o integrador/provedor de serviços de manutenção (Service Provider, partes 2-4 e 3-3) e o fabricante do componente (Product Supplier, partes 4-1 e 4-2). Na prática de engenharia, toda especificação deve declarar exatamente a parte normativa, o escopo físico/lógico do SuC e os Security Levels (SL 1 a SL 4) aplicáveis.
Da tecnologia ao processo
Modelagem de zonas e conduítes, avaliação de risco e hardening em OT.
Requisitos de sistema e hardening (3-3)
Traduzir os sete Foundational Requirements (FR 1 a FR 7) em controles de engenharia: autenticação de usuários/dispositivos, restrição de fluxo nos conduítes, desativação de portas/serviços e auditoria sem impactar o tempo real.
Programa IACS e legados (2-1 / 2-4)
Estruturar gestão de mudanças, controle de acesso remoto, backup testado, inventário de ativos e medidas compensatórias em rede para CLPs e IHMs legados sem suporte nativo a criptografia.
Antes de implementar
Roteiro de engenharia para adequação à série ISA/IEC 62443.
- Fronteira do SuC e inventário: definir formalmente a fronteira do Sistema sob Consideração (SuC), inventariando controladores, servidores SCADA, switches, gateways IIoT e pontos de acesso externo.
- Modelagem de Zonas e Conduítes (3-2): agrupar os ativos em Zonas de segurança e mapear cada Conduíte de comunicação (protocolos CIP, OPC UA, Modbus, portas TCP/UDP, origem e destino) conforme a IEC 62443-3-2.
- Avaliação de risco e definição de SL-T: conduzir a análise de risco por zona e conduíte para estabelecer o SL-T (1 a 4) com base na severidade de impacto à segurança física (HSE), operação e ativos.
- Requisitos técnicos e hardening (3-3): comparar o SL-T com o nível alcançado (SL-A) frente aos System Requirements (SRs) da IEC 62443-3-3, especificando firewalls industriais, VLANs, ACLs e medidas compensatórias para ativos legados.
- Governança e manutenção segura (2-1 / 2-4): formalizar procedimentos de integração e manutenção (IEC 62443-2-4) e governança contínua do proprietário (IEC 62443-2-1) com critérios objetivos de aceitação em TAF/TAC.
Perguntas e respostas
Perguntas frequentes sobre IEC 62443.
- O que é a IEC 62443 e a quem ela se aplica?
- Quais partes da IEC 62443 são relevantes para um projeto?
- O que são zonas e conduítes na IEC 62443?
- Qual é a diferença entre SL-T, SL-C e SL-A?
- Uma avaliação de IEC 62443 já é uma certificação?
- Como a IEC 62443 trata sistemas industriais legados?
- Por que a IEC 62443 considera o ciclo de vida?
- Como começar um trabalho de adequação à IEC 62443?
O que é a IEC 62443 e a quem ela se aplica?
A ISA/IEC 62443 é a família de normas internacionais dedicada à cibersegurança de Sistemas de Automação e Controle Industrial (IACS). Sua estrutura reconhece que a segurança de uma planta não depende de um único ator: ela reparte responsabilidades explícitas entre o Proprietário dos Ativos (Asset Owner, que opera a planta), o Integrador de Sistemas e Prestador de Serviços de Manutenção (Service Provider) e o Fabricante de Hardware/Software (Product Supplier). Por isso, exigir "conformidade com a IEC 62443" em um edital só tem validade técnica quando especifica quais partes e papéis estão sendo contratados.
Referências: 1 · Voltar às perguntas
Quais partes da IEC 62443 são relevantes para um projeto?
Em projetos de engenharia e modernização de plantas, quatro partes formam o núcleo de referência: a IEC 62443-2-1 define os requisitos do programa de gestão de segurança cibernética do proprietário da planta; a IEC 62443-2-4 estabelece as práticas obrigatórias de segurança para integradores de sistemas durante projeto, comissionamento e manutenção; a IEC 62443-3-2 rege a avaliação de riscos e o particionamento em zonas e conduítes; e a IEC 62443-3-3 especifica os requisitos técnicos de sistema (SRs) e melhorias (REs). Já as partes 4-1 e 4-2 são exigidas dos fabricantes de CLPs, switches e softwares.
Referências: 1 · 4 · Voltar às perguntas
O que são zonas e conduítes na IEC 62443?
Uma Zona é um agrupamento lógico ou físico de ativos (por exemplo, os CLPs e remotas de uma área de processo, a DMZ industrial ou o Sistema Instrumentado de Segurança — SIS) que compartilham os mesmos requisitos de segurança cibernética (mesmo SL-T) e criticidade operacional. Um Conduíte é o agrupamento exclusivo de canais de comunicação que interliga duas ou mais zonas e deve ser protegido contra acesso não autorizado, interceptação e propagação lateral. Na engenharia de rede, criar VLANs sem restringir os fluxos entre elas por firewall ou ACL não constitui separação válida de zonas e conduítes segundo a IEC 62443-3-2.
Referências: 2 · Voltar às perguntas
Qual é a diferença entre SL-T, SL-C e SL-A?
A norma distingue três dimensões do Nível de Segurança (Security Level, graduado de 1 a 4 conforme os recursos e a motivação do atacante): o SL-T (Target) é a meta de proteção determinada pela análise de risco (IEC 62443-3-2) para uma zona ou conduíte específico; o SL-C (Capability) é a capacidade máxima que um componente (IEC 62443-4-2) ou sistema (IEC 62443-3-3) consegue atingir quando configurado conforme seu manual de segurança; e o SL-A (Achieved) é o nível efetivamente comprovado em campo após a integração, o hardening e o comissionamento. Comprar um switch ou CLP certificado para SL-C 2 e deixá-lo com senhas padrão e portas abertas resulta em SL-A 0.
Referências: 5 · Voltar às perguntas
Uma avaliação de IEC 62443 já é uma certificação?
Não. Um diagnóstico técnico ou Gap Assessment realizado em uma planta industrial verifica o atendimento aos requisitos das partes 2-1, 3-2 e 3-3, entregando o mapa de risco, o diagrama de zonas/conduítes e o plano diretor de remediação. Já a certificação formal de conformidade (como os esquemas ISASecure ou IECEE CB) é emitida por organismos acreditados sobre um escopo fechado — seja o ciclo de desenvolvimento do fabricante (SDLA / 4-1), um componente (CSA / 4-2), um sistema integrado (SSA / 3-3) ou os processos de um integrador (2-4). Confundir certificações pessoais de profissionais com certificação da instalação é um erro grave de governança.
Referências: 6 · Voltar às perguntas
Como a IEC 62443 trata sistemas industriais legados?
A série reconhece que controladores, relés e estações de supervisão legados possuem vida útil de 15 a 25 anos e frequentemente não suportam autenticação forte, criptografia ou agentes de endpoint. Quando um ativo interno não possui SL-C suficiente para atingir o SL-T da zona, a IEC 62443-3-2 e a 3-3 permitem aplicar contramedidas compensatórias externas: isolar o ativo em uma microzona dedicada, inspecionar o conduíte com firewall industrial (deep packet inspection de protocolos OT), bloquear portas físicas nos switches, impor controle estrito de mídia removível e monitorar anomalias de tráfego de forma passiva.
Referências: 3 · Voltar às perguntas
Por que a IEC 62443 considera o ciclo de vida?
Porque vulnerabilidades introduzidas no código do firmware pelo fabricante (tratadas na parte 4-1), senhas compartilhadas ou regras permissivas deixadas no comissionamento pelo integrador (parte 2-4) e falhas na gestão de mudanças ou acesso remoto durante a operação (parte 2-1) comprometem a mesma planta. Abordar o ciclo de vida completo garante que o hardware nasça com recursos de hardening documentados, seja integrado com configurações seguras verificadas em TAF/TAC e mantenha seu nível de segurança (SL-A) preservado ao longo de anos de manutenção e expansões.
Referências: 4 · Voltar às perguntas
Como começar um trabalho de adequação à IEC 62443?
Inicie executando o fluxo ZCR da IEC 62443-3-2 sobre a planta ou linha crítica: levante o inventário real de ativos e topologia de rede (ZCR 1), faça a avaliação inicial de risco de alto nível (ZCR 2), particione o ambiente em Zonas e Conduítes separando corporativo, DMZ, supervisão, controle e safety (ZCR 3) e realize a avaliação detalhada de risco para atribuir o SL-T de cada zona (ZCR 5). Com os níveis SL-T aprovados pela direção, execute o Gap Assessment frente aos requisitos técnicos da IEC 62443-3-3 e priorize o cronograma de segmentação, hardening e backup por redução de risco operacional.
Referências: 2 · 3 · Voltar às perguntas
Para aprofundar
Fontes e documentação técnica.
Na especificação do projeto, valide a revisão normativa e a matriz de compatibilidade de firmware aplicáveis à sua instalação.
- ISA — ISA/IEC 62443 Series of Standards
- IEC 62443-3-2:2020 — Security risk assessment for system design
- IEC 62443-2-1:2024 — Security program requirements for IACS asset owners
- IEC 62443-4-1:2018 — Secure product development lifecycle requirements
- ISA — ISASecure Certifications Guide: Security Levels
- ISA — Certification and Certificate Programs
Próximo passo
Transforme o desafio da planta em um plano de engenharia executável.
Compartilhe o processo, a plataforma atual, as janelas de parada e o objetivo operacional. Estruturamos o escopo técnico com entregáveis claros, do diagnóstico ao startup e operação assistida.
Converse diretamente com Rafhael Feitosa