Em uma sociedade cada vez mais conectada, a segurança da informação pública tem impacto direto sobre a capacidade de uma cidade de continuar fornecendo água e energia elétrica, manter o transporte em funcionamento, preservar serviços essenciais durante uma emergência e proteger a saúde pública e a vida cotidiana. As redes digitais tornaram os serviços públicos mais eficientes, mas também conectaram com muito mais intensidade os sistemas de operação, as plataformas de controle e a coordenação de emergências. Uma interrupção em uma parte desse ambiente pode rapidamente afetar serviços muito além do ponto inicial da falha.
Por esse motivo, a segurança da informação pública não pode mais ser tratada apenas como uma questão de impedir vazamentos de dados, alterações indevidas de sites ou interrupções da rede de escritório. Ela precisa ser incorporada aos serviços públicos antes que um incidente ocorra, considerando controles de segurança, procedimentos operacionais e capacidades de recuperação como parte do planejamento normal da infraestrutura, e não como medidas acrescentadas somente depois de uma falha grave.
Relatórios públicos de autoridades estaduais e do setor de água indicaram que, em agosto de 2026, instalações de água potável ou de tratamento de águas residuais em pelo menos sete estados dos EUA, incluindo Minnesota e Michigan, foram afetadas por ciberataques. Embora a Pensilvânia ainda não tivesse confirmado um ataque local semelhante naquele momento, seu Departamento de Proteção Ambiental emitiu mesmo assim um alerta de segurança recomendando que organizações de água potável e esgoto reduzissem a exposição desnecessária à internet pública e atualizassem as senhas das contas. A resposta destaca um ponto importante: a ausência de um incidente confirmado não significa que as práticas de segurança existentes devam permanecer inalteradas.
A segurança da informação pública também deve ir além de sites governamentais, bancos de dados e informações pessoais. Para serviços de água, sistemas de energia, redes de transporte, infraestrutura de comunicações, saúde e serviços de gestão de emergências, conexões de rede, contas de dispositivos, sistemas de controle operacional, dados de serviço e continuidade operacional fazem parte do cenário de segurança. Quando esses sistemas são interrompidos, o impacto pode ir além da perda de informação e chegar à interrupção de serviços públicos essenciais.
Por que um ciberataque a um sistema de água se torna uma questão de segurança da informação pública?
Quando uma rede empresarial convencional é atacada, as consequências imediatas podem incluir arquivos inacessíveis, contas comprometidas, aplicativos indisponíveis ou dados expostos. A infraestrutura pública crítica é diferente porque seus sistemas digitais estão diretamente conectados à prestação de serviços no mundo real. Quando um ataque alcança a camada operacional, os ativos afetados deixam de se limitar a servidores e dados. Bombas, processos de tratamento, equipamentos de controle, fluxos de despacho e operadores de campo também podem ser envolvidos.
Os serviços de água são um exemplo claro. Plataformas de monitoramento, dispositivos de controle remoto, estações de bombeamento, instalações de tratamento e terminais de operadores precisam sustentar operação contínua. Se um incidente cibernético colocar sistemas de controle automatizado fora de serviço, os operadores podem ter que migrar para operação local ou manual. Em 2023, uma autoridade de água em Aliquippa, Pensilvânia, passou para operação manual após uma intrusão cibernética e interrompeu temporariamente parte de sua operação de bombeamento. Não houve relato de impacto significativo aos clientes, mas o incidente demonstrou como um problema de cibersegurança pode ultrapassar a rede de escritório e afetar operações físicas.
Para infraestrutura crítica, portanto, o objetivo da segurança da informação pública não pode ser reduzido a “manter hackers do lado de fora”. Um objetivo mais realista é impedir acesso não autorizado e, ao mesmo tempo, garantir que os serviços essenciais possam continuar se um ataque tiver sucesso e que a operação normal seja restabelecida o mais rápido possível. Cibersegurança, continuidade operacional, coordenação de emergências e procedimentos de campo precisam apoiar uns aos outros.
O risco não se limita mais à possibilidade de vazamento de dados
Programas tradicionais de segurança da informação geralmente começam por servidores, bancos de dados, sistemas de e-mail e redes corporativas. Esses ativos continuam importantes, mas a transformação digital ampliou bastante a superfície de ataque dos serviços públicos. Um invasor talvez não precise obter acesso imediato ao sistema central de controle. Uma interface de gerenciamento remoto esquecida, uma conta desatualizada ou um dispositivo exposto à internet com proteção inadequada pode oferecer acesso suficiente para avançar para outras partes do ambiente.
Uma organização de serviço público pode operar simultaneamente redes corporativas de TI, aplicações empresariais, conexões de manutenção remota, redes de tecnologia operacional, videomonitoramento, sistemas de comunicação e grandes quantidades de dispositivos de campo conectados. Esses sistemas podem trocar dados ou depender uns dos outros, enquanto seus controles de segurança podem variar bastante. O comprometimento de um dispositivo periférico pode se tornar mais grave se relações internas de confiança permitirem ao atacante avançar para sistemas mais sensíveis.
É por isso que a cibersegurança moderna de infraestrutura crítica se concentra cada vez mais na superfície de ataque completa, em vez de perguntar apenas se um servidor individual possui software de segurança instalado. Operadores de água, energia e outros serviços essenciais precisam considerar pelo menos três tipos de consequência:
Dados sensíveis ou configurações de sistema poderiam ser visualizados, alterados ou excluídos?
Equipamentos críticos ou plataformas operacionais poderiam perder controle ou se tornar indisponíveis?
Se os sistemas digitais forem interrompidos, os operadores ainda conseguem fornecer serviços públicos essenciais?
A terceira pergunta costuma ser a menos discutida, mas é uma das diferenças mais claras entre TI empresarial comum e infraestrutura pública crítica. A exigência final não é simplesmente manter todos os sistemas de informação conectados. É garantir que os serviços essenciais continuem disponíveis ao público mesmo quando alguns sistemas digitais estiverem operando de forma degradada.
Por que a exposição à internet e a segurança das contas continuam sendo riscos prioritários?
Reduzir a exposição desnecessária à internet pública e atualizar senhas estavam entre as precauções básicas destacadas nas recentes orientações de segurança. Essas recomendações não são novas, mas continuam relevantes porque muitos ataques bem-sucedidos começam explorando fraquezas relativamente simples, em vez de técnicas altamente sofisticadas.
Atacantes procuram rotineiramente interfaces de gerenciamento expostas à internet, vulnerabilidades conhecidas, credenciais padrão e serviços de acesso remoto mal protegidos. Os serviços públicos podem ficar especialmente expostos quando equipamentos permanecem em operação por muitos anos e diferentes métodos de manutenção remota vão se acumulando ao longo do tempo.
Uma página web de gerenciamento, um gateway VPN, um serviço de área de trabalho remota ou uma porta de manutenção de dispositivo pode ter sido aberta originalmente para comissionamento ou suporte temporário. Anos depois, ela ainda pode permanecer acessível pela internet simplesmente porque ninguém se lembrou de removê-la do projeto de rede.
O gerenciamento de contas cria um risco semelhante. Senhas padrão, contas administrativas compartilhadas, credenciais ainda ativas de ex-funcionários ou a reutilização da mesma senha em vários sistemas podem enfraquecer controles de segurança de rede muito mais robustos.
Por isso, uma revisão de segurança da informação pública deve começar respondendo a duas perguntas aparentemente simples:
Quais sistemas podem realmente ser acessados pela internet pública?
Quem atualmente tem permissão para acessá-los?
Se uma organização não consegue responder a essas perguntas com precisão, é provável que também tenha pontos cegos em outras áreas. Uma compreensão confiável da exposição à internet e dos direitos de acesso é a base para segmentação de rede, acesso remoto controlado, monitoramento e resposta a incidentes.
O que uma revisão de segurança da informação pública deve examinar primeiro?
Melhorar a segurança em infraestrutura crítica nem sempre começa pela compra de mais equipamentos de segurança. Em muitos ambientes, a tarefa mais urgente é entender os ativos existentes, as contas, as relações de rede e os procedimentos de emergência. Se uma organização não consegue identificar claramente quais sistemas existem, quem pode acessá-los e quem é responsável quando algo dá errado, acrescentar novas ferramentas não resolverá o problema automaticamente.
Serviços expostos à internet e gerenciamento de identidades devem ser revisados primeiro. Interfaces de administração, dispositivos de campo e serviços de acesso remoto podem permanecer diretamente expostos por razões históricas mesmo quando essa exposição já não é necessária. Senhas padrão, contas administrativas compartilhadas e credenciais que não são trocadas há anos podem criar uma fraqueza igualmente séria. Portanto, as organizações devem confirmar que todo serviço acessível externamente possui finalidade operacional legítima, remover exposições desnecessárias, utilizar contas individuais, fortalecer a autenticação, aplicar o princípio do menor privilégio e revogar rapidamente o acesso quando funcionários mudam de função ou deixam a organização.
Os limites de rede e o gerenciamento de ativos são igualmente importantes. Se as redes corporativas de TI e as redes de controle operacional não estiverem adequadamente separadas, um ataque de phishing contra um terminal de escritório comum pode criar um caminho para sistemas de operação mais sensíveis. Inventários incompletos de ativos criam outro problema: servidores, controladores e terminais de campo podem permanecer conectados sem um responsável claro ou um status atual de manutenção. Segmentar redes de acordo com a função de negócio e o nível de segurança, mantendo ao mesmo tempo um inventário atualizado de hardware e software, facilita entender como os sistemas estão conectados e quais caminhos devem ser isolados primeiro durante um incidente.
Por fim, registros, backups e resposta a incidentes determinam com que eficácia uma organização consegue agir depois de detectar atividade suspeita. Sem registros suficientes, investigadores talvez não saibam como um atacante entrou, o que foi alterado ou se a atividade maliciosa ainda está presente. Sem cópias de segurança testadas, sistemas danificados podem demorar muito mais para ser restaurados. Outra fraqueza comum é organizacional, e não técnica: as equipes podem não saber quem tem autoridade para investigar, isolar equipamentos, declarar um incidente ou iniciar a recuperação. Por isso, antes de uma emergência devem ser estabelecidos registros centralizados de logins, alterações de configuração, alarmes e atividades de rede anormais, combinados com testes regulares de restauração de cópias de segurança e responsabilidades de resposta claramente atribuídas.
Nenhuma dessas medidas parece particularmente avançada, mas elas determinam em grande parte se uma organização consegue detectar um incidente cedo, contê-lo e se recuperar sem uma interrupção prolongada. Também fornecem a base sobre a qual tecnologias de cibersegurança mais sofisticadas podem ser implantadas de forma eficaz posteriormente.
Por que a infraestrutura crítica deve combinar cibersegurança e continuidade operacional?
Um dos equívocos mais comuns em segurança da informação pública é acreditar que um sistema seguro é aquele que nunca pode ser comprometido. Nenhum ambiente conectado pode garantir que vulnerabilidades, credenciais roubadas, erros de configuração ou ataques ainda desconhecidos jamais ocorrerão.
Por isso, a infraestrutura crítica precisa de uma segunda camada de proteção: se parte da rede, do ambiente de servidores ou do sistema de controle automatizado ficar indisponível, as operações essenciais ainda devem ter uma maneira viável de continuar.
Isso pode assumir várias formas. As configurações críticas são armazenadas em uma cópia de segurança offline? Uma plataforma secundária pode assumir se o sistema principal ficar indisponível? Os operadores de campo podem continuar usando controles locais se o controle remoto for perdido? Existe um método independente de comunicação se a rede principal falhar? Despachantes, pessoal de plantão e equipes de emergência sabem como entrar em um modo de operação degradado?
Isso não significa assumir que todos os sistemas acabarão sendo comprometidos. É apenas reconhecer que infraestruturas complexas passarão por condições anormais. Sistemas públicos resilientes são projetados para que uma falha tecnológica não se transforme imediatamente em falha de serviço.
Para um serviço de água, a capacidade de mudar para operação manual pode ser uma medida importante de resiliência. Mas essa capacidade tem pouco valor se existir apenas em um manual de procedimentos. O pessoal precisa saber utilizá-la, fluxos de trabalho alternativos precisam ser testados e as equipes críticas ainda devem conseguir se comunicar quando os sistemas digitais normais estiverem indisponíveis.
Por que o monitoramento contínuo é mais importante do que investigar depois de uma interrupção?
As autoridades da Pensilvânia continuaram monitorando possíveis ataques mesmo sem um incidente local confirmado naquele momento, mantendo coordenação com parceiros de segurança federais, estaduais e locais. Essa abordagem reflete outro princípio importante da segurança da informação pública: a inteligência de ameaças não pode ficar presa dentro de uma única organização.
Os mesmos equipamentos de tratamento de água, controladores industriais, softwares de gerenciamento remoto ou produtos de rede podem ser usados por serviços públicos em muitas cidades e regiões. Se um operador identifica atividade de login incomum, varredura maliciosa ou uma nova técnica de ataque e compartilha rapidamente essa informação, outras organizações têm a oportunidade de verificar seus próprios sistemas antes de serem alvo da mesma forma.
Portanto, a segurança da informação pública não deve ficar sob responsabilidade exclusiva do departamento de TI. Equipes de operação, profissionais de cibersegurança, pessoal de manutenção de equipamentos, gestores de emergência e parceiros externos precisam de um processo claro para relatar e compartilhar informações de segurança.
O monitoramento contínuo também precisa ir além de verificar se um dispositivo está simplesmente conectado ou desconectado. Logins em horários incomuns, falhas repetidas de autenticação, alterações inesperadas de configuração, dispositivos desconhecidos aparecendo na rede, conexões de saída anormais e operações remotas incompatíveis com os padrões normais de trabalho podem fornecer sinais antecipados de um problema.
Passar da investigação pós-incidente para uma consciência situacional contínua dá aos operadores uma chance maior de detectar atividade suspeita enquanto ela ainda está se desenvolvendo, em vez de descobrir o problema apenas depois que um serviço público já foi interrompido.
O que um programa eficaz de segurança da informação pública realmente precisa construir?
Ciberataques contra sistemas de água são uma porta de entrada para uma questão muito mais ampla. À medida que mais serviços públicos dependem de redes IP, plataformas em nuvem e gerenciamento remoto, a segurança da informação pública se torna inseparável da confiabilidade do serviço.
A questão principal já não é se uma organização comprou produtos de segurança suficientes. É se ela realmente entende como seus sistemas estão conectados, quem tem permissão para acessá-los, como atividades suspeitas serão detectadas, como um ataque será contido e se as operações essenciais podem continuar enquanto os sistemas digitais estão sendo restaurados.
Para infraestrutura crítica, um programa maduro de segurança da informação pública deve oferecer pelo menos seis capacidades: reduzir exposição desnecessária, controlar o acesso, monitorar continuamente a atividade, limitar a propagação de uma intrusão, manter as operações essenciais e recuperar rapidamente os serviços.
A tecnologia dá suporte a essas capacidades, mas sozinha não é suficiente. Políticas, conscientização dos funcionários, procedimentos operacionais, treinamento e coordenação entre departamentos determinam se as medidas de segurança funcionam quando um incidente real acontece.
Operar por anos sem um grande ciberataque é uma condição normal, não uma prova de que a proteção pode ser relaxada. Grande parte do valor da cibersegurança é difícil de perceber durante a operação normal. Sua importância se torna visível quando ocorre um evento anormal e a organização consegue limitar o impacto, preservar os serviços essenciais e restaurar a operação normal sem atrasos desnecessários.
Esse é o verdadeiro objetivo da segurança da informação pública: não afirmar que os sistemas públicos nunca falharão, mas garantir que, quando algo der errado, os serviços essenciais para a cidade e para a população possam continuar.
FAQ
Como a segurança da informação pública difere da cibersegurança empresarial comum?
Muitas das tecnologias subjacentes são as mesmas, mas a segurança da informação pública dá maior ênfase à continuidade de serviços essenciais. Se um sistema de água, transporte, energia ou gestão de emergências parar de funcionar, o efeito pode ir muito além dos funcionários de uma única organização. Por isso, o planejamento de segurança deve considerar conjuntamente proteção de rede, operações físicas e recuperação de emergência. Uma empresa pode medir o risco cibernético principalmente em termos de perda de dados e prejuízo financeiro, enquanto a infraestrutura pública crítica também precisa considerar segurança pública e impacto social.
A ausência de um ciberataque atual significa que uma região está segura?
Não. A ausência de um incidente confirmado significa apenas que nenhum ataque específico foi confirmado naquele momento. Isso não prova que não existam serviços expostos à internet, senhas fracas, sistemas desatualizados ou riscos de configuração. As revisões de segurança devem continuar conforme os ativos e o perfil de risco da organização, em vez de começar apenas depois que um ataque for detectado. Algumas intrusões também podem permanecer despercebidas por um período prolongado antes de gerar efeitos operacionais visíveis.
Por que os serviços públicos devem reduzir a exposição direta à internet?
Cada interface de gerenciamento ou dispositivo exposto à internet aumenta o número de sistemas que agentes externos podem descobrir, varrer e testar. Quando o acesso remoto é operacionalmente necessário, ele deve ser fornecido por caminhos de acesso controlados, com autenticação e autorização adequadas, em vez de manter serviços de gerenciamento desnecessários permanentemente expostos. Reduzir a exposição direta elimina oportunidades para atacantes antes mesmo de controles de segurança mais complexos serem considerados.
Por que instalações críticas ainda precisam de capacidade de operação manual ou local?
Se uma rede, servidor ou plataforma de controle remoto for interrompida por um incidente cibernético ou uma falha técnica, controles locais e manuais podem fornecer um modo degradado de operação para serviços essenciais. Essas capacidades não substituem a cibersegurança, mas reduzem o risco de que a falha de um único sistema digital interrompa toda a operação. Para infraestrutura crítica, os sistemas digitais devem melhorar eficiência e visibilidade sem se tornarem a única maneira possível de manter um processo essencial em funcionamento.
