42 dias ou 5: o que separa a fábrica que detecta um ataque da que descobre tarde demais

O dado brasileiro que ninguém queria ver

Entre janeiro e o início de julho de 2026, o Brasil registrou 99 ataques de ransomware. Em pouco mais de seis meses, o país chegou a 67% de tudo o que foi contabilizado ao longo de 2025 inteiro, quando foram 147 casos. No recorte regional, o Brasil respondeu por 36,3% dos 273 ataques identificados na América Latina, liderança isolada, à frente de México, Argentina e Colômbia (Vision Cybersecurity, spin-off da ISH Tecnologia, via CISO Advisor, jul/2026).

Dentro desse total, a manufatura é o segundo setor mais atingido do país, com 14 vítimas, 14,1% dos casos, atrás apenas de serviços corporativos. Os vetores mais recorrentes não são exóticos: dupla extorsão, credenciais corporativas vazadas e invasão de VPNs sem autenticação multifator. Para o segundo semestre de 2026, a projeção do mesmo estudo é de aumento das tentativas de exploração de sistemas expostos à internet, principalmente onde a atualização de segurança atrasa.

Nada disso é surpresa para quem opera planta. A parte que costuma passar batido é outra.

O número que realmente decide: 42 contra 5

O relatório anual de cibersegurança OT da Dragos, divulgado em fevereiro de 2026, mediu algo mais útil do que a contagem de ataques: quanto tempo o invasor fica lá dentro. A resposta foi um tempo médio de permanência de 42 dias em ambientes de tecnologia operacional. E o contraponto no mesmo estudo: as organizações com boa visibilidade do ambiente OT detectaram e contiveram os incidentes em média de 5 dias.

Trinta e sete dias de diferença. Esse intervalo é onde mora tudo o que dói de verdade: lote comprometido, receita alterada sem rastro, parada não planejada em cascata, registro eletrônico de produção que não se sustenta numa auditoria.

O restante dos números do relatório dá a escala do problema. Em 2025, a Dragos rastreou 119 grupos de ransomware com alcance em ambientes OT, contra 80 no ano anterior, alta de 49%, atingindo cerca de 3.300 organizações industriais, com a manufatura respondendo por mais de dois terços das vítimas. No primeiro trimestre de 2026, foram 1.020 incidentes industriais, com manufatura em 62% deles (Dragos, 2026 OT Cybersecurity Year in Review e Industrial Ransomware Analysis Q1 2026).

A pergunta errada está travando projeto de digitalização

Existe uma conversa que se repete há anos em comitê de investimento industrial: se eu conectar a planta, se eu levar dado para a nuvem, se eu colocar gêmeo digital, eu não estou aumentando meu risco?

Uma coluna publicada em 29 de julho de 2026 no principal veículo setorial de celulose e papel do Brasil coloca a resposta com precisão: a percepção é compreensível, mas equivocada, porque a maior parte das vulnerabilidades industriais nasce justamente da falta de integração, da presença de sistemas legados e da ausência de governança, e não da tecnologia moderna. A mesma coluna relembra o ataque de ransomware à WestRock em 2021, que paralisou a produção em 17 fábricas e retirou cerca de 85 mil toneladas de papel do mercado, e cita estudos da McKinsey segundo os quais a manutenção preditiva reduz o tempo de inatividade em 30% a 50% (NewsPulPaper, coluna Ponto de Vista, 29/07/2026).

Traduzindo para o chão de fábrica: o problema raramente é a arquitetura nova. É o CLP de 2009 sem inventário, o acesso remoto do fornecedor que entra direto na rede de controle, a planta B que tem um padrão de automação diferente da planta A, e a ausência de qualquer monitoramento contínuo na camada que comanda processo físico. É esse conjunto que produz 42 dias de permanência sem detecção.

O que a Siemens está colocando no mercado agora

A resposta tecnológica está chegando exatamente nesta janela. Em abril de 2026, a Siemens anunciou que o Industrial Edge receberá funções de segurança certificadas conforme a IEC 62443-4-2 e operação air-gapped, com isolamento físico em relação a redes externas, para infraestruturas críticas. Segundo a Siemens, o release está previsto para o segundo semestre de 2026.

• Industrial Edge Management 2.0, com gestão de dados e segurança reforçadas para infraestruturas distribuídas e suporte a hipervisores adicionais como OpenShift e Hyper-V, o que permite operar a camada de borda sobre a infraestrutura de TI que a empresa já tem.
• Industrial Information Hub com fluxo de dados bidirecional entre borda e sistemas centrais, e disponibilidade em dispositivos ARM como o SIMATIC IOT2050.
• WinCC Unified em disponibilidade geral e WinCC Open Architecture como Edge App e no PLC virtual SIMATIC S7-1500v, viabilizando SCADA descentralizado.
• Validação independente: a UL Solutions concedeu ao Industrial Edge e ao PLC virtual o selo Smart Systems Verified, Platinum, avaliando seis categorias, entre elas resiliência e cibersegurança.

“Siemens Industrial Edge está evoluindo para uma plataforma abrangente que combina IA, segurança e inovação de ecossistema”, disse Dr. Horst J. Kayser, CEO de Factory Automation da Siemens Digital Industries, no anúncio (Siemens, press release de 21/04/2026).

Vale registrar que borda governada não é teoria de laboratório em ambiente hostil. Nos resultados do programa Tech4Amazonia, apresentados pela Siemens na Hannover Messe 2026, uma solução de visão computacional embarcada no Industrial Edge atingiu mais de 95% de acurácia na classificação da castanha-do-Brasil operando em modo offline, e a plataforma Mendix levou a padronização e a rastreabilidade de ordens de produção de 0% para 100% em nanofábricas de bioingredientes. Todos esses resultados são do programa da Siemens.

Onde entra o integrador

Plataforma certificada não é planta protegida. Entre uma coisa e outra existe um trabalho de engenharia que ninguém faz por apresentação:

• Inventário de ativos por planta. Não dá para proteger o que não se sabe que existe. É o primeiro entregável, e costuma ser o mais desconfortável.
• Segmentação formal IT/OT. Zonas e condutos definidos, com regra explícita para acesso remoto de fornecedor. É aqui que a IEC 62443 sai do slide e vira topologia.
• Padrão único entre unidades. Multiplanta com três padrões de automação diferentes tem três superfícies de ataque e três custos de manutenção. Padronizar é segurança e é escala, ao mesmo tempo.
• Camada de borda governada. Coleta, contexto e execução local, com gestão centralizada de aplicações e atualizações, e capacidade de operar isolada quando o cenário exigir.
• Monitoramento contínuo da camada de automação. É literalmente o que separa 42 dias de 5.
• Rastreabilidade que sobrevive à auditoria. Aqui a camada de execução, com Opcenter, e a camada de dado operacional, com Insights Hub, deixam de ser projeto de eficiência e viram evidência de integridade de processo.

Esse é o trabalho da TDi. Somos integradora Siemens Xcelerator cobrindo do N0 ao N5 da ISA-95, e a nossa tese não mudou: leva-se a indústria do piloto à escala com governança. A leitura de 2026 apenas explicita o outro lado da mesma moeda. Digitalizar sem arquitetura não é só um projeto que não escala. É um projeto que amplia superfície de ataque.

Por onde começar

Se a resposta para a pergunta “em quantos dias eu saberia que um incidente começou na minha camada OT?” for um silêncio, o próximo passo não é comprar ferramenta. É levantar o mapa: ativos conectados por planta, pontos de exposição, caminhos de acesso remoto, diferenças de padrão entre unidades. Com esse mapa na mesa, a decisão de investimento para de ser uma aposta e vira um plano.

E aí, sim, a camada de borda governada, o MES e a IA industrial entram no lugar certo, na ordem certa.