MyCena Infraestrutura crítica

O padrão

Três incidentes. O mesmo ponto de entrada.

Toda grande violação de infraestrutura crítica na última década seguiu a mesma falha arquitetural. Uma credencial existia em mãos humanas. O operador não tinha nenhum mecanismo estrutural para controlá-la.

Colonial Pipeline — 2021

$4.4M

O fornecimento de combustível para 17 estados americanos foi interrompido por seis dias.

Invasores compraram uma única credencial de VPN de um ex-funcionário na dark web. A conta nunca havia sido desativada. Ninguém sabia que ela ainda estava ativa.

Ponto de entrada — credencial de VPN inativa, ex-funcionário

Rede elétrica da Ucrânia — 2015 e 2016

230.000

Clientes ficaram sem energia após ciberataques coordenados contra operadores da rede.

Os invasores usaram spear-phishing para roubar as credenciais dos operadores e, em seguida, usaram essas credenciais para acessar remotamente sistemas SCADA e abrir disjuntores. A credencial foi a porta de entrada para a camada de OT.

Ponto de entrada — credenciais de operador obtidas por phishing

Estação de tratamento de água de Oldsmar — 2021

111x

Um invasor acessou remotamente o sistema SCADA e tentou aumentar o hidróxido de sódio a 111 vezes o nível seguro.

Entrada por meio de software de área de trabalho remota com credenciais compartilhadas entre vários usuários.

Ponto de entrada — credenciais compartilhadas de acesso remoto

Em todos os casos, a própria rede de OT não foi a superfície de ataque inicial. O invasor se autenticou usando credenciais válidas na fronteira entre TI e OT — a camada de acesso remoto, a estação de trabalho de engenharia, a VPN do fornecedor. Todos os sistemas de segurança em vigor viram um usuário legítimo fazendo login, porque a credencial era legítima. A falha ocorreu antes de o invasor chegar à sala de controle.

Panorama de risco

Seis riscos de credenciais específicos da infraestrutura crítica

Os ambientes de infraestrutura crítica carregam a lacuna padrão de credenciais corporativas — além de riscos operacionais que não existem em nenhum outro lugar.

01 — Operacional

Acesso remoto de fornecedores e contratados

Engenheiros terceirizados se conectam às redes de OT via VPN ou área de trabalho remota, usando credenciais que a organização operadora não gerou e não consegue revogar instantaneamente. 82% dos ataques ciberfísicos usam essa camada de acesso remoto como vetor de entrada. A rotatividade de funcionários do fornecedor é uma exposição não controlada para o operador.

Quando a relação termina, com que rapidez você consegue revogar o acesso ao seu ambiente SCADA? Se a resposta envolve um chamado, você tem uma lacuna.

02 — Operacional

Credenciais de operador compartilhadas

Muitos ambientes de OT usam contas de login compartilhadas para sistemas de controle — uma arquitetura legada herdada de uma época anterior à existência de autenticação multiusuário nessas plataformas. Credenciais compartilhadas significam nenhuma atribuição individual, nenhuma trilha de auditoria e nenhuma capacidade de revogar o acesso de uma pessoa sem afetar toda a equipe.

Uma investigação forense sobre um incidente em Oldsmar foi complicada pelas credenciais compartilhadas. Não havia como saber quem estava conectado.

03 — Segurança

Comprometimento de credenciais atingindo processos físicos

Diferentemente de uma violação de TI, um comprometimento de credencial que atinge a camada de OT pode desencadear consequências físicas — válvulas se abrem, disjuntores disparam, parâmetros de processo mudam. O tempo entre o roubo da credencial e o impacto operacional em ambientes de OT é medido em horas. A detecção acontece depois do dano físico.

A credencial é o acesso ao processo. Controlar a credencial é a primeira linha de defesa da segurança física.

04 — Regulatório

Requisitos de evidência da NIS2 e do CAF B2

O Artigo 21 da NIS2 exige que operadores de serviços essenciais demonstrem governança de controle de acesso. O Princípio B2 do CAF da NCSC exige que as organizações gerenciem e mantenham rigorosamente a identidade e o controle de acesso de todos os usuários — incluindo sistemas automatizados. Documentos de política não satisfazem isso. Registros contínuos de credenciais com carimbo de data e hora satisfazem.

A responsabilidade pessoal prevista na NIS2 para a alta gestão nomeada se aplica a operadores de infraestrutura crítica que não conseguem demonstrar controle de acesso estrutural.

05 — Cadeia de suprimentos

Acesso da cadeia de suprimentos de software e manutenção

Fornecedores de sistemas de OT — Siemens, Rockwell, Schneider, GE — rotineiramente exigem acesso remoto para atualizações, manutenção e monitoramento. O caso SolarWinds demonstrou que as credenciais de build do fornecedor são o ponto de entrada de maior risco nas cadeias de suprimentos corporativas. Em OT, o acesso do fornecedor atinge diretamente os sistemas de controle de processo.

Todo fornecedor com acesso remoto ao seu ambiente de OT carrega credenciais que ele próprio criou, não você. Você não pode revogar o que não é seu.

06 — Emergente

Credenciais de agentes de IA e automação

Implantações de IA industrial — manutenção preditiva, otimização automatizada de processos, detecção de anomalias — estão introduzindo identidades não humanas em ambientes de OT em grande escala. Cada agente de IA possui credenciais para os sistemas que monitora e controla. Essas credenciais são criadas pela equipe de desenvolvimento, não pela equipe de segurança operacional.

A proporção de 82 agentes de IA para cada humano em ambientes corporativos está chegando à infraestrutura crítica. Sem governança de credenciais, cada implantação de IA é um novo caminho de acesso não governado.

Onde a MyCena atua

A lacuna de credenciais na convergência TI/OT

A MyCena não substitui ferramentas de segurança específicas para OT — Dragos, Claroty e Nozomi governam a camada de rede de OT. A MyCena governa a camada de credenciais acima dela: a camada de acesso remoto, as estações de trabalho de engenharia e as conexões de fornecedores que serviram como ponto de entrada em todas as grandes violações de OT.

Onde o controle de credenciais se aplica em um ambiente de OT

A MyCena governa

Acesso remoto de fornecedores

Credenciais de engenheiros para o seu ambiente de OT

Engenheiros de manutenção terceirizados se conectam via VPN ou RDP. A MyCena gera essas credenciais de forma centralizada — o engenheiro nunca as possui — e revoga todo o acesso do fornecedor em segundos quando a janela de manutenção se encerra ou a relação termina.

✓ Ponto de entrada da Colonial Pipeline — fechado estruturalmente

A MyCena governa

Estações de trabalho de engenharia

Autenticação de operadores e engenheiros na camada de HMI

Operadores e engenheiros se autenticam em estações de trabalho HMI e interfaces SCADA por meio da MyCena. Sem credenciais compartilhadas. Cada evento de acesso é atribuído individualmente, registrado com carimbo de data e hora. O risco de credenciais compartilhadas no estilo Oldsmar é eliminado.

✓ Ponto de entrada de Oldsmar — fechado estruturalmente

A MyCena governa

Sistemas na fronteira TI/OT

Jump servers, sistemas historian, diodos de dados, aplicações em DMZ

A fronteira TI/OT — os sistemas que fazem a ponte entre a TI corporativa e a rede de OT — é onde o comprometimento de credenciais se transforma em risco operacional. A MyCena governa a autenticação em todos os sistemas de fronteira por meio de protocolos padrão.

✓ Padrão do ponto de entrada da rede elétrica ucraniana — fechado estruturalmente

A MyCena governa

Agentes de IA e automação

Agentes de IA industrial acessando dados de processo e interfaces de controle

Agentes de IA implantados para manutenção preditiva, detecção de anomalias e otimização de processos se autenticam por meio da MyCena. Suas credenciais são geradas de forma centralizada, atribuídas individualmente e revogáveis instantaneamente — na mesma plataforma usada para as credenciais de operadores humanos.

✓ Governança de agentes de IA — mesma arquitetura, identidades não humanas

Fora do escopo

Firmware de CLP e credenciais de dispositivos

Credenciais fixas em dispositivos, protocolos proprietários de CLP

Credenciais fixas embutidas no firmware de CLPs e em protocolos de dispositivos legados operam abaixo da camada padrão de autenticação. Elas são governadas por plataformas específicas de OT, como Dragos e Claroty. A MyCena opera acima dessa camada.

A pilha de OT — governança de credenciais por camada

A MyCena governa · Nível 5

TI corporativa — estações de trabalho de usuários, SaaS, e-mail

Governança completa de credenciais para todos os usuários corporativos, fornecedores e agentes de IA. Geração centralizada, injeção invisível, revogação instantânea.

A MyCena governa · Nível 4

Fronteira TI/OT — jump servers, historians, DMZ

A camada crítica de convergência. Acesso remoto, pontos de extremidade de VPN, aplicações de fronteira. O ponto de entrada em todas as grandes violações de OT.

A MyCena governa · Nível 3

Rede de operações — estações HMI, interfaces SCADA

Autenticação de engenharia e de operadores nas interfaces dos sistemas de controle. Atribuição individual, eliminação de credenciais compartilhadas, trilha de auditoria completa.

Escopo da plataforma de OT · Nível 2

Rede de controle — CLPs, DCS, RTUs

Sistemas de controle de processo. Governados por Dragos, Claroty e Nozomi para monitoramento de rede e detecção de anomalias. Abaixo da camada padrão de autenticação.

Escopo da plataforma de OT · Nível 1

Dispositivos de campo — sensores, atuadores, instrumentação

Camada de processo físico. Governança específica de hardware. Fora do modelo de credenciais de autenticação.

O que a MyCena entrega

Controle estrutural de credenciais na fronteira TI/OT

Os pontos de entrada que causaram todas as grandes violações de OT na última década estão na camada de acesso remoto — não dentro da rede de controle. A MyCena fecha esses pontos de entrada de forma estrutural.

Acesso remoto de fornecedores — gerado e revogado por você

Engenheiros de manutenção terceirizados se autenticam por meio da MyCena. Você gera as credenciais deles, eles nunca as veem, e você revoga todo o acesso em segundos quando a janela de manutenção se encerra — ou imediatamente diante de um incidente suspeito.

Credenciais compartilhadas — eliminadas

Cada operador e engenheiro possui credenciais atribuídas individualmente e geradas de forma centralizada. Chega de logins de equipe compartilhados. Cada evento de acesso pode ser rastreado até uma pessoa identificada, com carimbo de data e hora preciso — evidência forense pronta sob demanda.

Phishing — sem alvo

Os operadores nunca veem ou digitam suas credenciais. Uma campanha de spear-phishing direcionada a um operador ou engenheiro não encontra nenhuma credencial para capturar. O vetor de ataque da rede elétrica ucraniana — credenciais de operador obtidas por phishing — é fechado estruturalmente.

CAF B2 — satisfeito estruturalmente

O Princípio B2 do CAF da NCSC exige evidência contínua de identidade e controle de acesso. A MyCena gera automaticamente um registro com carimbo de data e hora de cada evento de credencial — quem acessou o quê, quando, de onde. Os auditores recebem o registro. Não um documento de política.

“No mundo físico, um operador de energia não pode entregar as chaves de sua subestação a um contratado de manutenção e simplesmente esperar que ele as devolva. No mundo digital, é exatamente isso que acontece todos os dias — e o invasor que compra essas chaves na dark web entra sem barreiras.”

A questão da Colonial Pipeline

A Colonial Pipeline pagou US$ 4,4 milhões porque uma credencial de VPN inativa de um ex-funcionário nunca foi revogada. O invasor a comprou na dark web. Se a Colonial tivesse implantado a MyCena, a credencial não teria existido em mãos humanas — não haveria nada para comprar. A média do setor de 3,2 dias de atraso no desligamento de acessos representa, neste exato momento, milhares de janelas de exposição de credenciais ativas.

Como funciona na fronteira TI/OT

Controle de credenciais sem tocar nos sistemas de OT

A MyCena é implantada como uma camada de software sobre a fronteira TI/OT. Nenhum sistema de OT é modificado. Nenhuma rede de controle é alterada. Nenhum processo de produção é tocado.

Etapa 01

Geração centralizada de credenciais na fronteira

Todas as credenciais de operadores, engenheiros e fornecedores para sistemas de fronteira — jump servers, pontos de extremidade de VPN, estações HMI, acesso a historians — são geradas pela MyCena de forma centralizada. Nenhum indivíduo cria seu próprio acesso. Nenhum fornecedor traz suas próprias credenciais para o seu ambiente.

Etapa 02

Injeção invisível — nada para phishing ou compartilhamento

Operadores e engenheiros clicam para se conectar aos sistemas de fronteira. A MyCena injeta a credencial no momento da autenticação — eles nunca a veem, digitam ou possuem. Nenhuma campanha de spear-phishing consegue roubar uma credencial que o operador não conhece. Nenhum engenheiro de manutenção pode compartilhar o que nunca viu.

Etapa 03

Mapa de acesso completo — mantido automaticamente

Cada evento de credencial é registrado individualmente — qual operador, qual sistema de fronteira, quando, de onde. O mapa de acesso está completo e atualizado a todo momento. Quando começa uma investigação de incidente, a trilha forense já está pronta. Sem reconstrução. Sem incerteza sobre quem estava conectado.

Etapa 04

Revogação instantânea — fornecedor ou operador, qualquer sistema

Uma janela de manutenção se encerra: um único comando, e o acesso do fornecedor é revogado simultaneamente em todos os sistemas de fronteira em segundos. Um incidente interno suspeito: mesmo comando, mesma velocidade. Uma auditoria regulatória: evidência de revogação com carimbo de data e hora produzida sob demanda. A lacuna da Colonial Pipeline, fechada.

Estrutura regulatória

NIS2, CAF, NERC CIP e IEC 62443 — todos exigem o que a MyCena entrega

Toda estrutura que governa o controle de acesso à infraestrutura crítica exige evidência demonstrável de quem acessou o quê, quando — e de que o acesso foi revogado imediatamente quando a relação mudou. A MyCena gera essa evidência automaticamente.

NIS2 — Artigos 20 e 21

Operadores de serviços essenciais devem demonstrar governança de controle de acesso. O Artigo 20 cria responsabilidade pessoal para a alta gestão nomeada. O Artigo 21 exige segurança da cadeia de suprimentos, incluindo governança de acesso de terceiros. Documentos de política não satisfazem isso — evidência contínua sim.

✓ Risco de responsabilidade pessoal mitigado estruturalmente

NCSC CAF — Princípio B2

Identidade e controle de acesso — as organizações devem gerenciar e manter rigorosamente o acesso de todos os usuários, dispositivos e sistemas, incluindo funções automatizadas. O princípio B2 exige explicitamente que isso seja imposto de forma arquitetural, não apenas alegado por procedimento. A MyCena satisfaz o B2 estruturalmente.

✓ B2 satisfeito de forma arquitetural, não procedimental

NERC CIP — CIP-004 e CIP-011

Os padrões de Proteção de Infraestrutura Crítica para concessionárias de energia elétrica exigem gestão de acesso de pessoal, controle de acesso a ativos cibernéticos críticos e controles de perímetro de segurança eletrônica. Atribuição individual de usuário e revogação instantânea são requisitos explícitos.

✓ Requisitos de gestão de acesso do CIP satisfeitos

IEC 62443 — requisitos de IAM

A estrutura ISA/IEC 62443 reconhece que, sem gestão adequada de identidade e acesso, outros controles técnicos podem ser contornados por invasores com credenciais válidas. O controle de acesso baseado em zonas exige autenticação individual de usuário — sem contas compartilhadas.

✓ Controles de IAM da IEC 62443 satisfeitos nas camadas de fronteira

NIST SP 800-82

A orientação americana para proteger sistemas de OT exige controles de acesso, auditoria e responsabilização, além de controles de identificação e autenticação. A governança de acesso remoto e de fornecedores é explicitamente identificada como ponto de controle crítico para a segurança de ICS.

✓ Controles de governança de acesso remoto e de fornecedores satisfeitos

Seguro cibernético

Operadores de infraestrutura crítica enfrentam escrutínio crescente sobre a governança de acesso remoto de fornecedores na renovação do seguro. O controle estrutural de credenciais — com evidência de revogação com carimbo de data e hora — fornece a evidência de subscrição que documentos de política não conseguem fornecer. O argumento de redução de prêmio é diretamente aplicável.

✓ Maturidade de nível 4–5 — redução de prêmio justificada