Quem opera a planta
É responsável por definir o nível de segurança alvo de cada zona e por manter a operação aderente a ele. Não precisa certificar produto: precisa provar decisão e registro.
IEC 62443
A IEC 62443 é a norma que define como se protege um sistema de automação industrial. Ela não descreve produtos: descreve um processo — quem é responsável por qual risco, como dividir a planta em zonas, e que nível de proteção cada zona exige.
É por isso que a maioria das empresas compra ferramenta antes de saber qual é o seu alvo. A norma começa pela pergunta que ninguém quer responder: qual é o risco aceitável para esta operação, e quem assina embaixo?
Atualizado em outubro de 2026
Leitura de 14 min
Conteúdo orientativo
O que a norma é e a quem se aplica
A mesma norma, três públicos. Cada um responde por uma parte diferente da segurança.
A IEC 62443 é uma norma internacional, com adoção no Brasil, escrita para três públicos diferentes: quem opera a planta (asset owner), quem integra os sistemas (integrator) e quem fabrica os equipamentos (product supplier). Cada um tem obrigações distintas dentro do mesmo documento.
Quem integra os sistemas
Responde pelos requisitos de segurança da integração — como os equipamentos são conectados, configurados e entregues em operação. É a camada em que a maior parte dos projetos brasileiros falha.
Quem fabrica equipamentos
Responde pelo ciclo de desenvolvimento seguro e pelas características de segurança embutidas no produto. É a camada em que o comprador não tem controle, apenas exigência contratual.
Saber em qual dos três papéis sua empresa está é o primeiro passo. Tentar cumprir os três ao mesmo tempo é o erro mais comum.
A norma em quatro camadas
Confundir as camadas é a razão pela qual muita empresa acha que está conforme quando não está.
- 1.62443-1 — Conceitos e vocabulário
Define os termos que todo o resto usa: zona, conduto, nível de segurança, papel. Sem esse vocabulário, a discussão vira opinião. - 2.62443-2 — O sistema de gestão do asset owner
Estabelece como a operação deve organizar o programa de segurança cibernética: política, avaliação de risco, resposta a incidente e gestão de fornecedor. - 3.62443-3 — Zonas, condutos e avaliação de risco
É a camada mais usada na prática. Define como dividir a planta em zonas por criticidade e como avaliar o risco de cada uma antes de escolher o nível de segurança. - 4.62443-4 — Requisitos de produto e ciclo de desenvolvimento seguro
Define o que o fabricante deve cumprir para que o produto seja considerado seguro por construção, e como o integrador deve entregar o sistema.
Zonas e condutos na prática
Tudo que compartilha o mesmo risco pode ficar junto. Tudo que atravessa fronteira precisa de controle.
Zona é um agrupamento de ativos com o mesmo requisito de segurança. Conduto é o caminho por onde os dados atravessam de uma zona para outra. A regra é simples: tudo que compartilha o mesmo risco pode ficar junto; tudo que atravessa fronteira precisa de controle.
Zona de emergênciaIntertravamentos e parada segura. Nível alvo mais alto.
Zona de controleCLPs, IHMs e supervisório da linha de processo.
IDMZHistórico, atualização e jump hosts entre os mundos.
CorporativoE-mail, ERP e estações administrativas.
Cinco passos para desenhar as zonas
- 1.Liste os ativos e agrupe por função operacional, não por local físico.
- 2.Atribua a cada grupo um nível de segurança alvo, com base no impacto de parada e no risco físico.
- 3.Desenhe os condutos: por onde cada grupo se comunica com os outros.
- 4.Posicione o controle em cada travessia de zona — firewall industrial, bastion host ou diodo de dados.
- 5.Documente e revise. Zona sem documento não existe para auditoria.
Zona definida no papel e não implementada na rede é pior do que zona inexistente: cria a falsa impressão de controle.
Sua arquitetura de zonas existe no diagrama ou existe na rede?
O que é IDMZ e por que ela é obrigatória
A fronteira entre o escritório e a planta é onde a maioria dos ataques encontra caminho livre.
IDMZ é a zona desmilitarizada industrial, posicionada entre a rede corporativa e a rede de controle. Ela existe para uma função específica: permitir que os dados passem entre os dois mundos sem que uma conexão direta entre eles exista.
O que fica dentro da IDMZ
Servidores de histórico, réplicas de banco de dados, servidores de atualização e jump hosts. Nunca o controlador.
O que nunca atravessa
Sessão direta da rede corporativa para a rede de controle. Todo acesso passa por um ponto intermediário auditável.
Por que a conexão direta é o problema
Um comprometimento no ambiente de escritório alcança a planta sem precisar de segunda falha.
Como isso aparece na prática: sem IDMZ, o notebook de engenharia faz ponte entre os dois mundos todos os dias.
A IDMZ não impede o ataque. Ela impede que o ataque chegue sozinho.
Níveis de segurança (SL1 a SL4) em linguagem de negócio
O nível mede a resistência esperada contra um tipo de atacante, não a qualidade do produto.
O nível de segurança não mede a qualidade do produto: mede a resistência esperada contra um tipo de atacante. Escolher o nível errado custa caro nos dois sentidos — para cima, orçamento desperdiçado; para baixo, proteção insuficiente.
| Nível | Contra quem protege | O que isso significa na prática |
|---|---|---|
| SL 1 | Atacante casual, sem motivação específica | Proteção contra erro e acesso não intencional. Não resiste a alguém determinado. |
| SL 2 | Atacante com conhecimento genérico e baixa motivação | Resiste a ataques oportunistas, comuns em ambiente industrial conectado. |
| SL 3 | Atacante com conhecimento específico do setor e recursos | Nível exigido na maior parte das infraestruturas críticas, incluindo energia. |
| SL 4 | Atacante com recursos significativos e motivação alta | Reservado para o que não pode falhar de forma alguma. Custo e complexidade elevados. |
A decisão do nível é de negócio, não de tecnologia. Quem escolhe SL 4 para tudo não tem prioridade; quem escolhe SL 1 para tudo não tem proteção.
Os requisitos que quase ninguém implementa
Não são os mais difíceis tecnicamente. São os que ficam para depois porque não têm dono claro.
Estes são os requisitos que aparecem com mais frequência como lacuna em avaliação de aderência. Não são os mais difíceis tecnicamente: são os que ficam para depois porque não têm dono claro.
| Requisito | O que exige na prática | Por que fica para depois |
|---|---|---|
| Integridade de software | Verificação de que o software e o firmware instalados são os legítimos, antes da instalação. | Exige processo de homologação que a operação não tem. |
| Controle de acesso baseado em papel | Cada pessoa acessa apenas o que sua função exige, com registro de quem fez o quê. | Contas compartilhadas resolvem o plantão, e ninguém quer quebrar a rotina. |
| Monitoramento de uso | Detecção de comando ou configuração fora do padrão esperado, em tempo real. | Exige conhecer o protocolo da planta, não apenas a rede. |
| Resposta a incidente | Plano documentado e testado, com papel definido para cada área durante a crise. | Testar implica admitir que pode acontecer. |
| Gestão de fornecedor | Exigência contratual de requisitos de segurança do integrador e do fabricante. | O contrato é assinado por compras, não por segurança. |
| Documentação de zonas | Registro atualizado das zonas, condutos, níveis alvo e controles implementados. | Ninguém mantém documento sem auditoria que cobre por ele. |
O ciclo de vida completo, fase por fase
A norma não é um projeto com início e fim. É um ciclo que volta a cada mudança de arquitetura, de fornecedor ou de nível alvo.
A maior parte do mercado entrega uma fatia: alguém faz o gap analysis, outro desenha a arquitetura, um terceiro implanta. O resultado é um conjunto de entregáveis que não conversa entre si — e uma auditoria que não fecha. A DoutorNet percorre as oito fases, do inventário à reavaliação periódica, mantendo a mesma linha de evidência do começo ao fim.
Escopo e inventário
Definição do sistema sob consideração (SUC), inventário passivo de ativos de automação, versões de firmware e responsáveis.
Risco evitado: Zona desenhada sobre inventário inexistente não sobrevive à primeira auditoria.
Particionamento em zonas e condutos
Agrupamento por criticidade operacional, mapa de travessias e arquitetura alvo documentada.
Risco evitado: Zona no papel e não na rede cria falsa sensação de controle.
Avaliação de risco
Análise conforme a 62443-3-2, com cenários de ameaça aplicáveis ao processo físico e priorização por impacto operacional.
Risco evitado: Nível alvo escolhido por intuição custa caro nos dois sentidos.
Definição de nível alvo (SL-T)
Nível de segurança alvo por zona, com justificativa de negócio registrada e assinada.
Risco evitado: SL definido pelo fornecedor vira orçamento sem prioridade.
Desenho de controles
Especificação técnica dos controles por zona, incluindo IDMZ, controle de acesso, monitoramento e gestão de mudança.
Risco evitado: Compra de ferramenta antes do desenho.
Implantação
Execução em janela acordada com a operação, com controles compensatórios ativos e sem interrupção de processo.
Risco evitado: Implantação que derruba a planta uma vez perde a confiança para sempre.
Verificação e evidência
Avaliação do nível alcançado, teste de eficácia dos controles e dossiê de aderência recuperável para auditoria.
Risco evitado: Auditoria não avalia intenção, avalia registro.
Operação e melhoria contínua
Monitoramento contínuo, gestão de mudança, resposta a incidente e reavaliação periódica do nível alvo.
Risco evitado: Aderência obtida uma vez e não mantida deixa de existir no ciclo seguinte.
Cada fase produz o insumo da seguinte. É isso que permite chegar à auditoria com uma linha de evidência, e não com uma pilha de relatórios desconectados.
Serviços por fase do ciclo
Contratação modular: você pode entrar em uma fase específica ou percorrer o ciclo inteiro.
Cada serviço abaixo entrega um artefato nomeado — documento, relatório ou configuração verificada. Nenhum deles termina em apresentação sem registro.
Diagnóstico de aderência IEC 62443
Avaliação de lacunas contra a 62443-3-3, com matriz de requisitos, evidência encontrada e plano priorizado por esforço e impacto.
Definição de escopo e inventário OT
Levantamento passivo de ativos, topologia real e identificação de ativos fora de qualquer inventário corporativo.
Particionamento em zonas e condutos
Desenho da arquitetura alvo com justificativa de negócio por zona e mapa completo de travessias.
Avaliação de risco 62443-3-2
Análise de cenários de ameaça aplicados ao processo físico, com priorização por impacto operacional e financeiro.
Definição de nível alvo de segurança
SL-T por zona, com memória de cálculo, premissas e aprovação formal registrada.
Arquitetura de segurança e IDMZ
Especificação de zona desmilitarizada industrial, segmentação, controle de acesso remoto e monitoramento passivo.
Implantação de controles em OT
Execução em janela de manutenção, com controles compensatórios e validação de não regressão antes de liberar a produção.
Avaliação de nível alcançado
Verificação de eficácia dos controles implantados e comparação formal entre SL-T e SL-A.
Dossiê de evidência para auditoria
Consolidação documental recuperável, alinhada à IEC 62443, REN 964, Portaria 102 da ANP e NIST CSF 2.0.
Avaliação de fornecedor e integrador
Análise de aderência de terceiros e integradores contra os requisitos aplicáveis, com parecer técnico para contratação.
Capacitação e certificação ISA/IEC 62443
Formação de equipe no programa oficial ISA, incluindo preparatório para certificação de pessoal.
Monitoramento e resposta a incidente OT
Detecção de anomalia em protocolo industrial, playbook de resposta e retainer de contenção sem parada de linha.
Você pode contratar a fase que falta ou o ciclo inteiro. O que não fazemos é entregar diagnóstico sem plano de ação.
Qual fase do ciclo sua operação está hoje?
Como avaliar sua aderência sem começar pelo produto
Quatro perguntas que podem ser respondidas em uma semana, com o que a empresa já tem.
A avaliação de aderência não começa com a compra de ferramenta. Começa por quatro perguntas que podem ser respondidas em uma semana, com o que a empresa já tem.
Inventário
Existe lista de ativos com versão, responsável e localização? Sem isso, nenhuma zona pode ser definida.
Fronteiras
Está documentado por onde a rede de controle se comunica com o resto? Toda travessia precisa de controle identificado.
Propriedade
Existe nome e cargo responsáveis pelo risco cibernético de OT? Risco sem dono não gera plano.
Evidência
As decisões estão registradas de forma recuperável? Auditoria não avalia intenção, avalia registro.
Checklist das quatro perguntas
0 de 4
As marcações ficam salvas neste navegador. Nada é enviado a servidores.
Por que a DoutorNet fala sobre esta norma com propriedade
Participação técnica direta em comitês e fóruns de normalização.
- Integra o comitê técnico da norma IEC 62443 no Brasil.
- Participa da ABNT nos fóruns de normalização de segurança cibernética.
- É pesquisadora do Laboratório de Cibersegurança para Sistemas Ciberfísicos do IME (LaSC).
- Seu fundador é instrutor oficial do programa de certificação ISA/IEC 62443.
Norma não se aprende lendo: se aprende participando de quem a escreve.
Perguntas frequentes
Respostas curtas para as dúvidas mais comuns antes da primeira conversa técnica.
Minha empresa é obrigada a seguir a IEC 62443?
A norma é referência técnica voluntária. A obrigação vem do regulador setorial — como a REN 964 da ANEEL na energia elétrica ou a Portaria 102 da ANP em óleo e gás — que costuma adotá-la como base.
Preciso certificar minha planta?
Não necessariamente. A certificação é uma escolha; a aderência é uma necessidade. A maioria das operações precisa provar aderência, não exibir certificado.
Qual a diferença entre IEC 62443 e ISO 27001?
A ISO 27001 trata da gestão de segurança da informação. A IEC 62443 trata da segurança do sistema de automação, incluindo o equipamento e o processo físico.
Por onde começar se não tenho nada documentado?
Pelo inventário de ativos e pelo mapa das fronteiras de rede. São os dois insumos que permitem definir zonas.
Quanto tempo leva para ficar aderente?
Depende do ponto de partida e do nível alvo. O diagnóstico de maturidade indica a ordem e o esforço estimado.
A DoutorNet faz só o diagnóstico ou implanta também?
Faz o ciclo completo, da definição de escopo à reavaliação periódica. Também é possível contratar apenas a fase em que sua operação está travada.
Vocês avaliam integradores e fornecedores?
Sim. A 62443-2-4 trata exatamente dos requisitos de segurança na integração, e o parecer técnico pode ser usado como critério de contratação.
Próximo passo
Definir zona é fácil. Difícil é provar que ela existe.
A avaliação de aderência começa pelo inventário e pelo mapa de fronteiras. É o que mostramos no diagnóstico de maturidade OT.