MyCena Infraestrutura crítica

O padrão

Três incidentes. Mesmo ponto de entrada.

Cada grande violação de infraestrutura crítica na última década seguiu a mesma falha arquitetural. Uma credencial estava em mãos humanas. O operador não tinha mecanismo estrutural para controlá-la.

Colonial Pipeline — 2021

$4.4M

Abastecimento de combustível em 17 estados dos EUA interrompido por seis dias.

Atacantes compraram uma credencial VPN de um ex-funcionário na dark web. A conta nunca havia sido desativada.

Ponto de entrada — credencial VPN inativa de ex-funcionário

Rede Elétrica da Ucrânia — 2015 & 2016

230.000

Clientes sem energia após ataques coordenados contra operadores da rede.

Atacantes usaram phishing para roubar credenciais de operadores e acessar sistemas SCADA remotamente.

Ponto de entrada — credenciais de operador via phishing

Estação de Água de Oldsmar — 2021

111x

Um atacante acessou remotamente o SCADA e tentou aumentar substância química para níveis perigosos.

Entrada via credenciais de desktop remoto compartilhadas entre múltiplos usuários.

Ponto de entrada — credenciais compartilhadas de acesso remoto

Em todos os casos, a rede OT não foi o ponto inicial de ataque. O atacante autenticou-se com credenciais válidas na fronteira IT/OT. Todos os sistemas de segurança viram um usuário legítimo, porque a credencial era legítima. A falha ocorreu antes do acesso à sala de controle.

Panorama de riscos

Seis riscos de credenciais específicos para infraestrutura crítica

Ambientes de infraestrutura crítica carregam o mesmo gap de credenciais do ambiente corporativo — além de riscos operacionais que não existem em nenhum outro lugar.

01 — Operacional

Acesso remoto de fornecedores e prestadores

Engenheiros de terceiros conectam-se a redes OT via VPN ou desktop remoto usando credenciais que a organização não gerou e não pode revogar instantaneamente. 82% dos ataques ciberfísicos usam essa camada como vetor de entrada. A rotatividade do fornecedor se torna uma exposição não controlada do operador.

Quando a relação termina, quão rápido você consegue revogar o acesso ao seu ambiente SCADA? Se a resposta envolve um ticket, existe uma lacuna.

02 — Operacional

Credenciais compartilhadas de operadores

Muitos ambientes OT utilizam contas compartilhadas para sistemas de controle — uma arquitetura legada. Isso elimina a atribuição individual, o rastreamento de auditoria e a capacidade de revogar acessos individualmente.

Uma investigação forense em Oldsmar foi dificultada pelo uso de credenciais compartilhadas. Não havia como saber quem estava logado.

03 — Segurança

Comprometimento de credenciais afetando processos físicos

Diferente de uma violação de TI, um ataque em OT pode gerar impactos físicos diretos — válvulas, disjuntores e parâmetros de processo. O tempo entre roubo de credencial e impacto operacional é de horas.

A credencial é o acesso ao processo físico. Controlá-la é a primeira linha de defesa.

04 — Regulatório

Requisitos de evidência NIS2 e CAF B2

A NIS2 exige governança de controle de acesso demonstrável. O CAF B2 exige controle contínuo de identidade e acesso. Políticas não são suficientes — apenas logs contínuos e auditáveis atendem ao requisito.

A NIS2 impõe responsabilidade pessoal à gestão quando não há controle estrutural de acesso.

05 — Cadeia de suprimentos

Acesso de software e manutenção

Fornecedores OT exigem acesso remoto para manutenção e atualização. As credenciais de fornecedores são o maior vetor de risco da cadeia de suprimentos. No OT, esse acesso chega diretamente ao controle do processo.

Você não controla credenciais criadas por terceiros. E não pode revogar o que não possui.

06 — Emergente

Credenciais de IA e automação

Agentes de IA industrial estão introduzindo identidades não humanas em ambientes OT. Cada agente possui credenciais criadas por equipes de desenvolvimento, não por segurança operacional.

Cada implantação de IA cria um novo caminho de acesso não governado sem controle de credenciais adequado.

Onde o MyCena atua

A lacuna de credenciais na convergência IT/OT

O MyCena não substitui ferramentas de segurança específicas para OT — Dragos, Claroty e Nozomi governam a camada de rede OT. O MyCena governa a camada de credenciais acima dela: a camada de acesso remoto, as estações de engenharia e as conexões de fornecedores que foram o ponto de entrada de todas as grandes violações OT.

Onde o controle de credenciais se aplica em um ambiente OT

MyCena governa

Acesso remoto de fornecedores

Credenciais de engenheiros para seu ambiente OT

Engenheiros de manutenção terceirizados conectam via VPN ou RDP. O MyCena gera essas credenciais centralmente — o engenheiro nunca as possui — e revoga todo o acesso do fornecedor em segundos quando a janela de manutenção termina ou o relacionamento é encerrado.

✓ Ponto de entrada do Colonial Pipeline — fechado estruturalmente

MyCena governa

Estações de engenharia

Autenticação de operadores e engenheiros na camada HMI

Operadores e engenheiros autenticam-se em estações HMI e interfaces SCADA via MyCena. Sem credenciais compartilhadas. Cada evento de acesso é individualmente atribuído, com timestamp e registrado. Risco de credenciais compartilhadas como no caso Oldsmar eliminado.

✓ Ponto de entrada Oldsmar — fechado estruturalmente

MyCena governa

Sistemas de fronteira IT/OT

Jump servers, sistemas de historiadores, aplicações DMZ

A fronteira IT/OT — onde TI empresarial e OT se conectam — é onde o comprometimento de credenciais se torna risco operacional. O MyCena governa a autenticação em todos os sistemas de fronteira via protocolos padrão.

✓ Padrão de entrada da rede elétrica da Ucrânia — fechado estruturalmente

MyCena governa

Agentes de IA e automação

Agentes de IA industrial acessando dados de processo e interfaces de controle

Agentes de IA usados para manutenção preditiva, detecção de anomalias e otimização de processos autenticam-se via MyCena. Suas credenciais são geradas centralmente, atribuídas individualmente e revogáveis instantaneamente — na mesma plataforma que usuários humanos.

✓ Governança de agentes de IA — mesma arquitetura, identidades não humanas

Fora do escopo

Firmware de PLC e credenciais de dispositivos

Credenciais hardcoded, protocolos proprietários de PLC

Credenciais embutidas em firmware de PLC e protocolos legados operam abaixo da camada de autenticação padrão. Esses sistemas são governados por plataformas OT como Dragos e Claroty. O MyCena opera acima dessa camada.

A pilha OT — governança de credenciais por camada

MyCena governa · Nível 5

TI corporativa — estações, SaaS, e-mail

Governança completa de credenciais para usuários, fornecedores e agentes de IA. Geração central, injeção invisível e revogação instantânea.

MyCena governa · Nível 4

Fronteira IT/OT — jump servers, historiadores, DMZ

Camada crítica de convergência. Acesso remoto, VPN e aplicações de fronteira — ponto de entrada de todas as grandes violações OT.

MyCena governa · Nível 3

Rede operacional — estações HMI, interfaces SCADA

Autenticação de operadores e engenheiros nos sistemas de controle. Atribuição individual, eliminação de credenciais compartilhadas e trilha completa de auditoria.

Escopo OT · Nível 2

Rede de controle — PLCs, DCS, RTUs

Sistemas de controle de processo. Governados por Dragos, Claroty e Nozomi para monitoramento e detecção de anomalias.

Escopo OT · Nível 1

Dispositivos de campo — sensores, atuadores, instrumentação

Camada física do processo. Governança baseada em hardware. Fora do modelo de autenticação.

O que a MyCena entrega

Controle estrutural de credenciais na fronteira IT/OT

Os pontos de entrada que causaram todas as principais violações de OT na última década estão na camada de acesso remoto — e não dentro da rede de controle. A MyCena fecha esses pontos de entrada de forma estrutural.

Acesso remoto de fornecedores — gerado e revogado por você

Engenheiros de manutenção de terceiros se autenticam via MyCena. Você gera suas credenciais, eles nunca as veem, e você revoga todo o acesso em segundos ao final da janela de manutenção — ou imediatamente em caso de incidente suspeito.

Credenciais compartilhadas — eliminadas

Cada operador e engenheiro possui credenciais atribuídas individualmente e geradas de forma centralizada. Chega de logins compartilhados em equipe. Cada evento de acesso é rastreável até um indivíduo nomeado com carimbo de data e hora preciso — evidência forense sob demanda.

Phishing — sem alvo

Os operadores nunca veem nem digitam suas credenciais. Uma campanha de spear phishing contra um operador ou engenheiro não encontra credenciais para capturar. O vetor de ataque da rede elétrica da Ucrânia — credenciais de operadores obtidas por phishing — é fechado estruturalmente.

CAF B2 — atendido estruturalmente

O princípio CAF B2 do NCSC exige evidências contínuas de controle de identidade e acesso. A MyCena gera automaticamente um log com data e hora de cada evento de credencial — quem acessou o quê, quando e de onde. Os auditores recebem o log. Não um documento de política.

“No mundo físico, um operador de energia não pode entregar as chaves de sua subestação a um prestador de manutenção esperando que ele as devolva. No mundo digital, é exatamente isso que acontece todos os dias — e o atacante que compra essas chaves na dark web entra diretamente.”

A questão do Colonial Pipeline

O Colonial Pipeline pagou 4,4 milhões de dólares porque uma credencial VPN inativa de um ex-funcionário nunca foi revogada. O atacante a comprou na dark web. Se o Colonial tivesse implantado a MyCena, a credencial não teria existido em mãos humanas — não haveria nada para comprar. O atraso médio de desligamento de 3,2 dias no setor representa milhares de janelas de exposição de credenciais ativas neste momento.

Como funciona na fronteira IT/OT

Controle de credenciais sem tocar nos sistemas OT

O MyCena é implantado como uma camada de software na fronteira IT/OT. Nenhum sistema OT é modificado. Nenhuma rede de controle é alterada. Nenhum processo de produção é impactado.

Etapa 01

Geração centralizada de credenciais na fronteira

Cada credencial de operador, engenheiro e fornecedor para sistemas de fronteira — servidores jump, endpoints VPN, estações HMI, acesso a historiadores — é gerada centralmente pelo MyCena. Nenhum usuário cria seus próprios acessos. Nenhum fornecedor traz suas próprias credenciais para o seu ambiente.

Etapa 02

Injeção invisível — nada para phishing ou compartilhamento

Operadores e engenheiros conectam-se aos sistemas de fronteira com um clique. O MyCena injeta as credenciais no momento da autenticação — eles nunca as veem, digitam ou armazenam. Nenhuma campanha de spear phishing pode roubar uma credencial que o operador não conhece. Nenhum engenheiro de manutenção pode compartilhar algo que nunca viu.

Etapa 03

Mapa completo de acessos — mantido automaticamente

Cada evento de credencial é registrado individualmente — qual operador, qual sistema de fronteira, quando e de onde. O mapa de acesso está sempre completo e atualizado. Quando uma investigação começa, o histórico forense já está disponível. Nenhuma reconstrução. Nenhuma incerteza sobre quem estava conectado.

Etapa 04

Revogação instantânea — fornecedor ou operador, qualquer sistema

Fim da janela de manutenção: um comando, acesso do fornecedor revogado em todos os sistemas simultaneamente em segundos. Suspeita de incidente interno: mesmo comando, mesma velocidade. Auditoria regulatória: prova de revogação com timestamp sob demanda. A lacuna da Colonial Pipeline está fechada.

Estrutura regulatória

NIS2, CAF, NERC CIP e IEC 62443 — todos exigem o que o MyCena entrega

Todos os frameworks que regem o controle de acesso em infraestruturas críticas exigem evidências demonstráveis de quem acessou o quê, quando — e que esse acesso foi revogado imediatamente quando a relação mudou. O MyCena gera essas evidências automaticamente.

NIS2 — Artigos 20 & 21

Operadores de serviços essenciais devem demonstrar governança de controle de acesso. O Artigo 20 cria responsabilidade pessoal para a gestão nomeada. O Artigo 21 exige segurança da cadeia de suprimentos, incluindo governança de acesso de terceiros. Documentos de política não são suficientes — é necessária evidência contínua.

✓ Risco de responsabilidade pessoal mitigado estruturalmente

NCSC CAF — Princípio B2

Controle de identidade e acesso — organizações devem gerenciar e manter rigorosamente o acesso de todos os usuários, dispositivos e sistemas, incluindo funções automatizadas. O princípio B2 exige que isso seja aplicado arquiteturalmente, não apenas por procedimentos. O MyCena atende ao B2 de forma estrutural.

✓ B2 atendido arquiteturalmente, não proceduralmente

NERC CIP — CIP-004 & CIP-011

Os padrões de proteção de infraestrutura crítica para utilities elétricas exigem gestão de acesso de pessoal, controle de acesso a ativos cibernéticos críticos e perímetro de segurança eletrônico. Atribuição individual e revogação instantânea são requisitos explícitos.

✓ Requisitos de gestão de acesso CIP atendidos

IEC 62443 — IAM

O framework ISA/IEC 62443 reconhece que, sem gestão adequada de identidade e acesso, outros controles técnicos podem ser contornados por atacantes com credenciais válidas. O modelo baseado em zonas exige autenticação individual — sem contas compartilhadas.

✓ Controles IAM da IEC 62443 atendidos nas camadas de fronteira

NIST SP 800-82

As diretrizes dos EUA para segurança de sistemas OT exigem controle de acesso, auditoria e responsabilidade, além de autenticação e identificação. A governança de acesso remoto e de fornecedores é explicitamente identificada como ponto crítico de segurança ICS.

✓ Controles de acesso remoto e fornecedores atendidos

Seguro cibernético

Operadores de infraestrutura crítica enfrentam maior escrutínio na governança de acesso remoto de fornecedores na renovação de seguros. O controle estrutural de credenciais — com evidência de revogação com timestamp — fornece a prova exigida pelos subscritores, que documentos de política não conseguem oferecer. Redução de prêmio aplicável.

✓ Maturidade nível 4–5 — redução de prêmio aplicável