Implementando Zonas de Segurança IEC 62443

Quando Usar

• Ao projetar uma arquitetura de rede OT "greenfield" para uma nova instalação industrial
• Ao implementar zonas de segurança em uma rede OT plana existente após uma constatação de avaliação
• Ao implementar segmentação de rede para cumprir os requisitos de certificação IEC 62443-3-2
• Ao atualizar de segmentação VLAN básica para arquitetura de zona/conduto aplicada por políticas
• Quando um projeto de convergência TI/OT requer a definição de limites de segurança entre redes corporativas e operacionais

Não usar para segmentação de rede apenas de TI (veja implementando-microsegmentação-de-rede), para segmentação de cargas de trabalho "cloud-native" (veja protegendo-kubernetes-na-nuvem), ou para projeto de zona de segurança física sem componente cibernético.

Pré-requisitos

• Avaliação de segurança de rede OT concluída com inventário de ativos e análise de fluxo de tráfego
• Compreensão do processo de projeto de zona/conduto IEC 62443-3-2 e do Modelo de Referência Purdue
• Firewalls industriais capazes de inspeção profunda de pacotes para protocolos OT (Palo Alto com OT Security, Fortinet OT, Cisco ISA-3000)
• Switches de rede que suportam VLANs, trunking 802.1Q e segurança de porta
• Aprovação da gerência de operações para alterações na arquitetura de rede durante janelas de manutenção

Fluxo de Trabalho

Etapa 1: Realizar Particionamento de Zonas Baseado em Avaliação de Risco

Particione o IACS em zonas com base em requisitos funcionais, requisitos de segurança, criticidade e consequência de comprometimento. Cada zona contém ativos com requisitos de segurança comuns.

# Documento de Definição de Zonas IEC 62443-3-2
facility: "Refinaria Petroquímica - Unidade 3"
assessment_date: "2026-02-23"
standard: "IEC 62443-3-2:2020"

zones:
  - zone_id: "Z1-SIS"
    name: "Sistemas Instrumentados de Segurança"
    purdue_level: 1
    security_level_target: "SL 3"
    criticality: "Crítico para Segurança"
    assets:
      - "Controlador de Segurança Triconex 3008 (SIS-01)"
      - "Controlador de Segurança Triconex 3008 (SIS-02)"
      - "Estação de Trabalho de Engenharia SIS"
    security_requirements:
      - "Fisicamente isolado de todas as outras zonas (air-gapped)"
      - "Estação de trabalho de engenharia dedicada com controles de mídia removível"
      - "Nenhum acesso remoto permitido sob quaisquer circunstâncias"
      - "Gerenciamento de mudanças requer autorização dupla"
    allowed_conduits: []  # Sem condutos de rede - totalmente air-gapped

  - zone_id: "Z2-BPCS"
    name: "Sistema Básico de Controle de Processo"
    purdue_level: "1-2"
    security_level_target: "SL 2"
    criticality: "Alto"
    assets:
      - "CLPs Allen-Bradley ControlLogix (PLC-01 a PLC-12)"
      - "IHMs Rockwell FactoryTalk View (HMI-01 a HMI-06)"
      - "Estação de Trabalho de Engenharia (EWS-01)"
    security_requirements:
      - "Firewall industrial na fronteira da zona com inspeção de protocolo"
      - "Acesso somente leitura do Nível 3 para aquisição de dados"
      - "Acesso de escrita restrito à sub-rede da estação de trabalho de engenharia"
      - "Portas USB desativadas nas IHMs"
    allowed_conduits: ["C1-BPCS-OPS"]

  - zone_id: "Z3-OPS"
    name: "Operações do Site"
    purdue_level: 3
    security_level_target: "SL 2"
    criticality: "Médio"
    assets:
      - "OSIsoft PI Historian (HIST-01)"
      - "Servidor OPC UA (OPC-01)"
      - "Servidor de Aplicação MES (MES-01)"
      - "Servidor de Gerenciamento de Alarmes (ALM-01)"
    security_requirements:
      - "Firewall entre as zonas de operações e controle"
      - "Firewall entre as zonas de operações e DMZ"
      - "Sem acesso direto à internet"
      - "Antivírus com assinaturas aprovadas para OT"
    allowed_conduits: ["C1-BPCS-OPS", "C2-OPS-DMZ"]

  - zone_id: "Z4-DMZ"
    name: "Zona Desmilitarizada Industrial"
    purdue_level: 3.5
    security_level_target: "SL 2"
    criticality: "Médio"
    assets:
      - "Interface PI-para-PI (DMZ-HIST-01)"
      - "Servidor de Gerenciamento de Patches (DMZ-WSUS-01)"
      - "Servidor Jump para Acesso Remoto (DMZ-JUMP-01)"
      - "Data Diode - Waterfall Security (DMZ-DD-01)"
    security_requirements:
      - "Firewalls dual-homed em ambos os lados"
      - "Sem travessia direta de tráfego - todas as conexões terminam na DMZ"
      - "Data diode para replicação unidirecional do historian"
      - "Servidor jump com MFA para acesso remoto"
    allowed_conduits: ["C2-OPS-DMZ", "C3-DMZ-ENT"]

  - zone_id: "Z5-ENT"
    name: "Rede Corporativa"
    purdue_level: 4
    security_level_target: "SL 1"
    criticality: "Baixo (da perspectiva OT)"
    assets:
      - "Sistemas corporativos acessando dados OT"
    security_requirements:

…